Android-Sicherheitsbulletin – Juni 2016

Veröffentlicht am 06. Juni 2016 | Aktualisiert am 8. Juni 2016

Das Android Security Bulletin enthält Einzelheiten zu Sicherheitslücken, die Android-Geräte betreffen. Parallel zum Bulletin haben wir über ein Over-the-Air-Update (OTA) ein Sicherheitsupdate für Nexus-Geräte veröffentlicht. Die Nexus-Firmware-Images wurden auch auf der Google Developer-Website veröffentlicht. Sicherheitspatch-Level vom 1. Juni 2016 oder später beheben diese Probleme. Informationen zum Überprüfen des Sicherheitspatch-Levels finden Sie in der Nexus-Dokumentation .

Die Partner wurden am 2. Mai 2016 oder früher über die im Bulletin beschriebenen Probleme informiert. Gegebenenfalls wurden Quellcode-Patches für diese Probleme im Android Open Source Project (AOSP)-Repository veröffentlicht.

Das schwerwiegendste Problem ist eine kritische Sicherheitslücke, die bei der Verarbeitung von Mediendateien die Remote-Codeausführung auf einem betroffenen Gerät über verschiedene Methoden wie E-Mail, Webbrowsing und MMS ermöglichen könnte. Die Bewertung des Schweregrads basiert auf den Auswirkungen, die das Ausnutzen der Schwachstelle möglicherweise auf ein betroffenes Gerät hätte, vorausgesetzt, dass die Plattform- und Service-Abhilfemaßnahmen für Entwicklungszwecke deaktiviert oder erfolgreich umgangen werden.

Uns liegen keine Berichte über eine aktive Ausbeutung oder einen Missbrauch dieser neu gemeldeten Probleme durch Kunden vor. Einzelheiten zu den Android-Sicherheitsplattformschutzmaßnahmen und Dienstschutzmaßnahmen wie SafetyNet, die die Sicherheit der Android- Plattform verbessern, finden Sie im Abschnitt „Abhilfemaßnahmen für Android- und Google-Dienste“.

Wir empfehlen allen Kunden, diese Updates für ihre Geräte zu akzeptieren.

Abhilfemaßnahmen für Android- und Google-Dienste

Dies ist eine Zusammenfassung der Abhilfemaßnahmen, die die Android-Sicherheitsplattform und Dienstschutzmaßnahmen wie SafetyNet bieten. Diese Funktionen verringern die Wahrscheinlichkeit, dass Sicherheitslücken auf Android erfolgreich ausgenutzt werden können.

  • Die Ausnutzung vieler Probleme auf Android wird durch Verbesserungen in neueren Versionen der Android-Plattform erschwert. Wir empfehlen allen Benutzern, nach Möglichkeit auf die neueste Android-Version zu aktualisieren.
  • Das Android-Sicherheitsteam überwacht aktiv Missbrauch mit Verify Apps und SafetyNet , die Benutzer vor potenziell schädlichen Anwendungen warnen sollen. „Apps überprüfen“ ist auf Geräten mit Google Mobile Services standardmäßig aktiviert und besonders wichtig für Benutzer, die Anwendungen von außerhalb von Google Play installieren. Geräte-Rooting-Tools sind bei Google Play verboten, aber Verify Apps warnt Benutzer, wenn sie versuchen, eine erkannte Rooting-Anwendung zu installieren – unabhängig davon, woher sie stammt. Darüber hinaus versucht Verify Apps, die Installation bekannter Schadanwendungen zu identifizieren und zu blockieren, die eine Sicherheitslücke bei der Rechteausweitung ausnutzen. Wenn eine solche Anwendung bereits installiert wurde, benachrichtigt Verify Apps den Benutzer und versucht, die erkannte Anwendung zu entfernen.
  • Gegebenenfalls leiten Google Hangouts- und Messenger-Anwendungen Medien nicht automatisch an Prozesse wie Mediaserver weiter.

Danksagungen

Wir möchten diesen Forschern für ihre Beiträge danken:

  • Di Shen ( @returnsme ) von KeenLab ( @keen_lab ), Tencent: CVE-2016-2468
  • Gal Beniamini ( @laginimaineb ): CVE-2016-2476
  • Gengjia Chen ( @chengjia4574 ), pjf ( weibo.com/jfpan ) von IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-2492
  • Hao Chen, Guang Gong und Wenlin Yang vom Mobile Safe Team, Qihoo 360 Technology Co. Ltd.: CVE-2016-2470, CVE-2016-2471, CVE-2016-2472, CVE-2016-2473, CVE-2016- 2498
  • Iwo Banas : CVE-2016-2496
  • Jianqiang Zhao ( @jianqiangzhao ) und pjf ( weibo.com/jfpan ) von IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-2490, CVE-2016-2491
  • Lee Campbell von Google: CVE-2016-2500
  • Maciej Szawłowski vom Google-Sicherheitsteam: CVE-2016-2474
  • Marco Nelissen und Max Spector von Google: CVE-2016-2487
  • Markieren Sie die Marke von Google Project Zero: CVE-2016-2494
  • Mingjian Zhou ( @Mingjian_Zhou ), Chiachih Wu ( @chiachih_wu ) und Xuxian Jiang vom C0RE-Team : CVE-2016-2477, CVE-2016-2478, CVE-2016-2479, CVE-2016-2480, CVE-2016-2481 , CVE-2016-2482, CVE-2016-2483, CVE-2016-2484, CVE-2016-2485, CVE-2016-2486
  • Scott Bauer ( @ScottyBauer1 ): CVE-2016-2066, CVE-2016-2061, CVE-2016-2465, CVE-2016-2469, CVE-2016-2489
  • Wassili Wassilew: CVE-2016-2463
  • Weichao Sun ( @sunblate ) von Alibaba Inc.: CVE-2016-2495
  • Xiling Gong von der Abteilung für Sicherheitsplattformen von Tencent: CVE-2016-2499
  • Zach Riggle ( *ebeip90 ) vom Android-Sicherheitsteam: CVE-2016-2493

Details zur Sicherheitslücke

In den folgenden Abschnitten stellen wir Einzelheiten zu den einzelnen Sicherheitslücken bereit, die für den Patch-Level 2016-06-01 gelten. Es gibt eine Beschreibung des Problems, eine Begründung für den Schweregrad und eine Tabelle mit dem CVE, dem zugehörigen Android-Fehler, dem Schweregrad, aktualisierten Nexus-Geräten, aktualisierten AOSP-Versionen (sofern zutreffend) und dem gemeldeten Datum. Sobald verfügbar, verknüpfen wir die AOSP-Änderung, die das Problem behoben hat, mit der Fehler-ID. Wenn sich mehrere Änderungen auf einen einzelnen Fehler beziehen, werden zusätzliche AOSP-Referenzen mit Nummern verknüpft, die der Fehler-ID folgen.

Sicherheitslücke bezüglich Remotecodeausführung in Mediaserver

Eine Sicherheitslücke bei der Remotecodeausführung in Mediaserver könnte es einem Angreifer ermöglichen, mithilfe einer speziell gestalteten Datei eine Speicherbeschädigung während der Mediendatei- und Datenverarbeitung zu verursachen. Dieses Problem wird aufgrund der Möglichkeit einer Remote-Codeausführung im Kontext des Mediaserver-Prozesses als kritisch eingestuft. Der Mediaserver-Prozess hat Zugriff auf Audio- und Videostreams sowie Zugriff auf Berechtigungen, auf die Apps von Drittanbietern normalerweise nicht zugreifen können.

Die betroffene Funktionalität wird als Kernbestandteil des Betriebssystems bereitgestellt, und es gibt mehrere Anwendungen, die den Zugriff auf Remote-Inhalte ermöglichen, insbesondere MMS und Browser-Wiedergabe von Medien.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-2463 27855419 Kritisch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 25. März 2016

Sicherheitslücken bei der Remotecodeausführung in libwebm

Sicherheitslücken bei der Remotecodeausführung in libwebm könnten es einem Angreifer ermöglichen, mithilfe einer speziell gestalteten Datei eine Speicherbeschädigung während der Mediendatei- und Datenverarbeitung zu verursachen. Dieses Problem wird aufgrund der Möglichkeit einer Remote-Codeausführung im Kontext des Mediaserver-Prozesses als kritisch eingestuft. Der Mediaserver-Prozess hat Zugriff auf Audio- und Videostreams sowie Zugriff auf Berechtigungen, auf die Apps von Drittanbietern normalerweise nicht zugreifen können.

Die betroffene Funktionalität wird als Kernbestandteil des Betriebssystems bereitgestellt, und es gibt mehrere Anwendungen, die den Zugriff auf Remote-Inhalte ermöglichen, insbesondere MMS und Browser-Wiedergabe von Medien.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-2464 23167726 [ 2 ] Kritisch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google-intern

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-Grafiktreiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-Grafiktreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da die Möglichkeit einer lokalen dauerhaften Gerätekompromittierung besteht, die möglicherweise ein erneutes Flashen des Betriebssystems zur Reparatur des Geräts erfordert.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2465 27407865* Kritisch Nexus 5, Nexus 5X, Nexus 6, Nexus 6P 21. Februar 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-Soundtreiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Qualcomm-Soundtreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da die Möglichkeit einer lokalen dauerhaften Gerätekompromittierung besteht, die möglicherweise ein erneutes Flashen des Betriebssystems zur Reparatur des Geräts erfordert.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2466 27947307* Kritisch Nexus 6 27. Februar 2016
CVE-2016-2467 28029010* Kritisch Nexus 5 13. März 2014

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-GPU-Treiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-GPU-Treiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da die Möglichkeit einer lokalen dauerhaften Gerätekompromittierung besteht, die möglicherweise ein erneutes Flashen des Betriebssystems zur Reparatur des Geräts erfordert.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2468 27475454* Kritisch Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 2. März 2016
CVE-2016-2062 27364029* Kritisch Nexus 5X, Nexus 6P 6. März 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm Wi-Fi-Treiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm Wi-Fi-Treiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da die Möglichkeit einer lokalen dauerhaften Gerätekompromittierung besteht, die möglicherweise ein erneutes Flashen des Betriebssystems zur Reparatur des Geräts erfordert.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2474 27424603* Kritisch Nexus 5X Google-intern

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Broadcom Wi-Fi-Treiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Broadcom Wi-Fi-Treiber könnte es einer lokalen bösartigen Anwendung ermöglichen, Systemaufrufe aufzurufen, die die Geräteeinstellungen und das Verhalten ändern, ohne über die entsprechenden Berechtigungen zu verfügen. Dieses Problem wird als „Hoch“ eingestuft, da es dazu genutzt werden könnte, lokalen Zugriff auf erweiterte Funktionen zu erhalten.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2475 26425765* Hoch Nexus 5, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Nexus Player, Pixel C 6. Januar 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-Soundtreiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-Soundtreiber könnte es einer böswilligen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines Dienstes erfordert, der den Fahrer anrufen kann.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2066 26876409* Hoch Nexus 5, Nexus 5X, Nexus 6, Nexus 6P 29. Januar 2016
CVE-2016-2469 27531992* Hoch Nexus 5, Nexus 6, Nexus 6P 4. März 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in Mediaserver

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in Mediaserver könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext einer erhöhten Systemanwendung auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da es verwendet werden könnte, um lokalen Zugriff auf erhöhte Funktionen zu erhalten, z. B. Signatur- oder SignatureOrSystem -Berechtigungen, auf die eine Drittanbieteranwendung nicht zugreifen kann.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-2476 27207275 [ 2 ] [ 3 ] [ 4 ] Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11. Februar 2016
CVE-2016-2477 27251096 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 17. Februar 2016
CVE-2016-2478 27475409 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 3. März 2016
CVE-2016-2479 27532282 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 6. März 2016
CVE-2016-2480 27532721 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 6. März 2016
CVE-2016-2481 27532497 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 6. März 2016
CVE-2016-2482 27661749 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 14. März 2016
CVE-2016-2483 27662502 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 14. März 2016
CVE-2016-2484 27793163 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 22. März 2016
CVE-2016-2485 27793367 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 22. März 2016
CVE-2016-2486 27793371 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 22. März 2016
CVE-2016-2487 27833616 [ 2 ] [ 3 ] Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google-intern

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-Kameratreiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-Kameratreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines Dienstes erfordert, der den Fahrer anrufen kann.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2061 27207747* Hoch Nexus 5X, Nexus 6P 15. Februar 2016
CVE-2016-2488 27600832* Hoch Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013) Google-intern

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-Grafiktreiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-Grafiktreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines Dienstes erfordert, der den Fahrer anrufen kann.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2489 27407629* Hoch Nexus 5, Nexus 5X, Nexus 6, Nexus 6P 21. Februar 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im NVIDIA-Kameratreiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im NVIDIA-Kameratreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zunächst die Kompromittierung eines Dienstes erforderlich ist, um den Fahrer anzurufen.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2490 27533373* Hoch Nexus 9 6. März 2016
CVE-2016-2491 27556408* Hoch Nexus 9 8. März 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm Wi-Fi-Treiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm Wi-Fi-Treiber könnte es einer böswilligen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines Dienstes erfordert, der den Fahrer anrufen kann.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2470 27662174* Hoch Nexus 7 (2013) 13. März 2016
CVE-2016-2471 27773913* Hoch Nexus 7 (2013) 19. März 2016
CVE-2016-2472 27776888* Hoch Nexus 7 (2013) 20. März 2016
CVE-2016-2473 27777501* Hoch Nexus 7 (2013) 20. März 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im MediaTek Power Management-Treiber

Eine Rechteerweiterung im MediaTek-Energieverwaltungstreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da es zunächst eine Kompromittierung des Geräts und eine Erhöhung zum Root erfordert, um den Treiber aufzurufen.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2492 28085410* Hoch Android One 7. April 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in der SD-Kartenemulationsebene

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in der Userspace-Emulationsschicht der SD-Karte könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext einer erhöhten Systemanwendung auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da es verwendet werden könnte, um lokalen Zugriff auf erhöhte Funktionen zu erhalten, z. B. Signatur- oder SignatureOrSystem -Berechtigungen, auf die eine Drittanbieteranwendung nicht zugreifen kann.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-2494 28085658 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 7. April 2016

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Broadcom Wi-Fi-Treiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Wi-Fi-Treiber von Broadcom könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zunächst die Kompromittierung eines Dienstes erforderlich ist, um den Fahrer anzurufen.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2493 26571522* Hoch Nexus 5, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus Player, Pixel C Google-intern

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Remote-Denial-of-Service-Sicherheitslücke in Mediaserver

Eine Remote-Denial-of-Service-Schwachstelle in Mediaserver könnte es einem Angreifer ermöglichen, eine speziell gestaltete Datei zu verwenden, um einen Geräteabsturz oder einen Neustart zu verursachen. Dieses Problem wird aufgrund der Möglichkeit eines Remote-Denial-of-Service als „Hoch“ eingestuft.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-2495 28076789 [ 2 ] Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 6. April 2016

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in der Framework-Benutzeroberfläche

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Berechtigungsdialogfenster der Framework-Benutzeroberfläche könnte es einem Angreifer ermöglichen, auf nicht autorisierte Dateien im privaten Speicher zuzugreifen. Dieses Problem wird als mittelschwer eingestuft, da es dazu genutzt werden könnte, auf unrechtmäßige Weise „ gefährliche “ Berechtigungen zu erlangen.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-2496 26677796 [ 2 ] [ 3 ] Mäßig Alles Nexus 6.0, 6.1 26. Mai 2015

Sicherheitslücke bezüglich der Offenlegung von Informationen im Qualcomm Wi-Fi-Treiber

Eine Offenlegung von Informationen im Qualcomm Wi-Fi-Treiber könnte es einer lokalen Schadanwendung ermöglichen, auf Daten außerhalb ihrer Berechtigungsstufen zuzugreifen. Dieses Problem wird als mittelschwer eingestuft, da es zunächst die Kompromittierung eines Dienstes erfordert, der den Fahrer anrufen kann.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2498 27777162* Mäßig Nexus 7 (2013) 20. März 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Offenlegung von Informationen in Mediaserver

Eine Sicherheitslücke bei der Offenlegung von Informationen in Mediaserver könnte es einer Anwendung ermöglichen, auf vertrauliche Informationen zuzugreifen. Dieses Problem wird als „Mittel“ eingestuft, da es dazu genutzt werden könnte, ohne Erlaubnis auf Daten zuzugreifen.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-2499 27855172 Mäßig Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 24. März 2016

Sicherheitslücke in Bezug auf die Offenlegung von Informationen im Aktivitätsmanager

Eine Sicherheitslücke bei der Offenlegung von Informationen in der Activity Manager-Komponente könnte es einer Anwendung ermöglichen, auf vertrauliche Informationen zuzugreifen. Dieses Problem wird als „Mittel“ eingestuft, da es zum Zugriff auf Daten ohne Erlaubnis verwendet werden könnte.

CVE Android-Fehler Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-2500 19285814 Mäßig Alles Nexus 5.0.2, 5.1.1, 6.0, 6.0.1 Google-intern

Häufige Fragen und Antworten

In diesem Abschnitt werden häufige Fragen beantwortet, die nach dem Lesen dieses Bulletins auftreten können.

1. Wie kann ich feststellen, ob mein Gerät aktualisiert wurde, um diese Probleme zu beheben?

Sicherheitspatch-Level vom 1. Juni 2016 oder später beheben diese Probleme (Anweisungen zum Überprüfen des Sicherheitspatch-Levels finden Sie in der Nexus-Dokumentation ). Gerätehersteller, die diese Updates einbinden, sollten die Patch-String-Ebene auf Folgendes festlegen: [ro.build.version.security_patch]:[2016-06-01]

2. Wie kann ich feststellen, welche Nexus-Geräte von den einzelnen Problemen betroffen sind?

Im Abschnitt „Details zur Sicherheitslücke“ enthält jede Tabelle eine Spalte „Aktualisierte Nexus-Geräte“, die den Bereich der betroffenen Nexus-Geräte abdeckt, der für jedes Problem aktualisiert wurde. Diese Spalte bietet einige Optionen:

  • Alle Nexus-Geräte : Wenn ein Problem alle Nexus-Geräte betrifft, wird in der Tabelle in der Spalte „ Aktualisierte Nexus-Geräte “ „Alle Nexus“ angezeigt. „Alle Nexus“ umfasst die folgenden unterstützten Geräte : Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player und Pixel C.
  • Einige Nexus-Geräte : Wenn ein Problem nicht alle Nexus-Geräte betrifft, werden die betroffenen Nexus-Geräte in der Spalte „Aktualisierte Nexus-Geräte“ aufgeführt.
  • Keine Nexus-Geräte : Wenn keine Nexus-Geräte von dem Problem betroffen sind, wird in der Tabelle in der Spalte „Aktualisierte Nexus-Geräte“ „Keine“ angezeigt.

Überarbeitungen

  • 6. Juni 2016: Bulletin veröffentlicht.
  • 07. Juni 2016:
    • Bulletin überarbeitet, um AOSP-Links aufzunehmen.
    • CVE-2016-2496 aus dem Bulletin entfernt.
  • 8. Juni 2016: CVE-2016-2496 wieder zum Bulletin hinzugefügt.