Android Güvenlik Danışmanlığı — 2016-03-18

18 Mart 2016 tarihinde yayınlandı

Android Güvenlik Önerileri, Nexus Güvenlik Bültenlerinin tamamlayıcısıdır. Güvenlik Önerileri hakkında daha fazla bilgi için özet sayfamıza bakın.

Özet

Google, bazı Android cihazlarda çekirdekte yama uygulanmamış bir yerel ayrıcalık yükselmesi güvenlik açığı kullanan bir köklendirme uygulamasının farkına varmıştır ( CVE-2015-1805 ). Bu uygulamanın bir cihazı etkilemesi için önce kullanıcının onu yüklemesi gerekir. Google, bu güvenlik açığını kullanan köklendirme uygulamalarının (hem Google Play içinde hem de Google Play dışında) Doğrulama Uygulamalarını kullanarak yüklenmesini zaten engelliyor ve sistemlerimizi bu güvenlik açığını kullanan uygulamaları tespit edecek şekilde güncelledi.

Bu sorun için son bir savunma katmanı sağlamak amacıyla iş ortaklarına 16 Mart 2016'da bu sorun için bir yama sağlandı. Nexus güncellemeleri oluşturuluyor ve birkaç gün içinde yayınlanacak. Bu sorun için kaynak kodu yamaları Android Açık Kaynak Projesi (AOSP) deposunda yayınlandı.

Arka fon

Bu, yukarı akış Linux çekirdeğinde Nisan 2014'te düzeltilen ancak bir güvenlik düzeltmesi olarak çağrılmayan ve 2 Şubat 2015'e kadar CVE-2015-1805 atanan bilinen bir sorundur. 19 Şubat 2016'da C0RE Ekibi Google'a şunu bildirdi: Sorun Android'de kullanılabilir ve düzenli olarak planlanan aylık güncellemeye dahil edilmek üzere bir yama geliştirilmiştir.

15 Mart 2016'da Google, Zimperium'dan bu güvenlik açığının bir Nexus 5 cihazında kötüye kullanıldığına dair bir rapor aldı. Google, cihaz kullanıcısına kök ayrıcalıkları sağlamak için Nexus 5 ve Nexus 6'da bu güvenlik açığını kötüye kullanan, herkese açık bir köklendirme uygulamasının varlığını onayladı.

Bu sorun, yerel bir ayrıcalık yükseltme ve yerel kalıcı aygıt güvenliği ihlallerine yol açan rastgele kod yürütme olasılığı nedeniyle Kritik önem düzeyi sorunu olarak derecelendirilmiştir.

Dürbün

Bu tavsiye, tüm Nexus cihazları da dahil olmak üzere, 3.4, 3.10 ve 3.14 çekirdek sürümlerindeki tüm yama uygulanmamış Android cihazları için geçerlidir. Linux çekirdeği sürüm 3.18 veya üzerini kullanan Android cihazlar savunmasız değildir.

Hafifletmeler

Aşağıdakiler, kullanıcıların bu sorundan etkilenme olasılığını azaltan azaltıcı önlemlerdir:

• Uygulamaların, Google Play'in içinde ve dışında bu güvenlik açığından yararlanmaya çalıştığını öğrendiğimiz uygulamaların yüklenmesini engelleyecek şekilde güncellendi.
• Google Play, bu sorundan yararlanmaya çalışan uygulamalar gibi köklendirme uygulamalarına izin vermez.
• Linux çekirdeği sürüm 3.18 veya üzerini kullanan Android cihazlar savunmasız değildir.

Teşekkür

Android, bu danışma belgesine katkılarından dolayı C0RE Ekibine ve Zimperium'a teşekkür eder.

Önerilen eylemler

Android, tüm kullanıcıları, uygun olduklarında cihazlarına yönelik güncellemeleri kabul etmeye teşvik eder.

Düzeltmeler

Google, birden çok çekirdek sürümü için AOSP deposunda bir düzeltme yayınladı. Android iş ortaklarına bu düzeltmeler hakkında bilgi verildi ve bunları uygulamaları teşvik edildi. Daha fazla güncelleme gerekirse, Android bunları doğrudan AOSP'de yayınlayacaktır.

Genel Sorular ve Cevaplar

1. Sorun nedir?

Çekirdekteki bir ayrıcalık yükselmesi güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdekte rasgele kod yürütmesine olanak verebilir. Bu sorun, yerel kalıcı bir aygıt ihlali olasılığı nedeniyle Kritik önem derecesi olarak derecelendirilmiştir ve muhtemelen işletim sisteminin yeniden başlatılmasıyla aygıtın onarılması gerekebilir.

2. Saldırgan bu sorundan nasıl yararlanmaya çalışır?

Bu sorundan yararlanmaya çalışan bir uygulama yükleyen kullanıcılar risk altındadır. Google Play'de köklendirme uygulamaları (bu sorundan yararlananlar gibi) yasaktır ve Google, bu uygulamanın Google Play dışına yüklenmesini Uygulamaları Doğrula aracılığıyla engelliyor. Saldırganın, kullanıcıyı etkilenen bir uygulamayı el ile yüklemeye ikna etmesi gerekir.

3. Hangi cihazlar etkilenebilir?

Google, bu açığın Nexus 5 ve 6'da çalıştığını onayladı; ancak tüm yama uygulanmamış Android sürümleri bu güvenlik açığını içerir.

4. Google, bu güvenlik açığının kötüye kullanıldığına dair kanıt gördü mü?

Evet, Google, herkese açık bir köklendirme aracı kullanılarak bir Nexus 5'te bu güvenlik açığının kötüye kullanıldığına dair kanıtlar gördü. Google, "kötü amaçlı" olarak sınıflandırılabilecek herhangi bir istismar gözlemlemedi.

5. Bu konuyu nasıl ele alacaksınız?

Google Play , bu sorundan yararlanmaya çalışan uygulamaları yasaklar. Benzer şekilde, Uygulamaları Doğrula, Google Play'in dışından bu sorundan yararlanmaya çalışan uygulamaların yüklenmesini engeller. Google Nexus cihazlarına da bir güncelleme hazır olur olmaz yama uygulanacaktır ve benzer güncellemeleri yayınlayabilmeleri için Android ortaklarını bilgilendirdik.

6. Bu sorun için bir düzeltme içeren bir cihazım olup olmadığını nasıl anlarım?

Android, iş ortaklarımıza cihazlarının bu sorundan etkilenmediğini bildirmeleri için iki seçenek sunmuştur. 18 Mart 2016 güvenlik düzeltme eki düzeyine sahip Android cihazlar savunmasız değildir. Güvenlik düzeltme eki düzeyi 2 Nisan 2016 ve sonrası olan Android cihazlar bu sorundan etkilenmez. Güvenlik düzeltme eki düzeyinin nasıl kontrol edileceğine ilişkin talimatlar için bu makaleye bakın.

Revizyonlar

• 18 Mart 2016: Danışma belgesi yayınlandı.