คำแนะนำด้านความปลอดภัยของ Android — 2016-03-18

เผยแพร่เมื่อวันที่ 18 มีนาคม 2016

คำแนะนำด้านความปลอดภัยของ Android เป็นส่วนเสริมของกระดานข่าวความปลอดภัยของ Nexus โปรดดู หน้าสรุป ของเราสำหรับข้อมูลเพิ่มเติมเกี่ยวกับคำแนะนำด้านความปลอดภัย

สรุป

Google ได้รับทราบถึงการรูทแอปพลิเคชันโดยใช้การยกระดับสิทธิ์ในเคอร์เนลบนอุปกรณ์ Android บางรุ่น ( CVE-2015-1805 ) ที่ไม่ได้รับการติดตั้งแพตช์ เพื่อให้แอปพลิเคชันนี้มีผลกับอุปกรณ์ ผู้ใช้จะต้องติดตั้งก่อน Google ได้บล็อกการติดตั้งแอปพลิเคชันการรูทที่ใช้ช่องโหว่นี้แล้ว ทั้งภายใน Google Play และภายนอก Google Play โดยใช้ ยืนยันแอป และได้อัปเดตระบบของเราเพื่อตรวจจับแอปพลิเคชันที่ใช้ช่องโหว่เฉพาะนี้

เพื่อให้การป้องกันขั้นสุดท้ายสำหรับปัญหานี้ พันธมิตรได้รับแพตช์สำหรับปัญหานี้เมื่อวันที่ 16 มีนาคม 2016 การอัปเดต Nexus กำลังถูกสร้างขึ้นและจะเผยแพร่ภายในไม่กี่วัน แพทช์ซอร์สโค้ดสำหรับปัญหานี้ได้รับการเผยแพร่ไปยังพื้นที่เก็บข้อมูล Android Open Source Project (AOSP) แล้ว

พื้นหลัง

นี่เป็นปัญหาที่ทราบแล้วในเคอร์เนลอัปสตรีม Linux ที่ได้รับการแก้ไขในเดือนเมษายน 2014 แต่ไม่ได้เรียกว่าเป็นการแก้ไขด้านความปลอดภัย และมอบหมาย CVE-2015-1805 จนถึงวันที่ 2 กุมภาพันธ์ 2015 ในวันที่ 19 กุมภาพันธ์ 2016 ทีมงาน C0RE แจ้งให้ Google ทราบว่า ปัญหานี้สามารถถูกโจมตีได้บน Android และมีการพัฒนาแพตช์เพื่อรวมไว้ในการอัปเดตรายเดือนตามกำหนดการที่กำลังจะมีขึ้น

เมื่อวันที่ 15 มีนาคม 2016 Google ได้รับรายงานจาก Zimperium ว่ามีการละเมิดช่องโหว่นี้ในอุปกรณ์ Nexus 5 Google ได้ยืนยันการมีอยู่ของแอปพลิเคชันการรูทที่เผยแพร่ต่อสาธารณะซึ่งใช้ช่องโหว่นี้บน Nexus 5 และ Nexus 6 ในทางที่ผิดเพื่อให้สิทธิ์รูทแก่ผู้ใช้อุปกรณ์

ปัญหานี้ได้รับการจัดอันดับเป็น ปัญหาระดับร้ายแรง เนื่องจากความเป็นไปได้ที่สิทธิ์ในเครื่องจะขยายขนาดและการใช้รหัสโดยอำเภอใจ ซึ่งนำไปสู่การประนีประนอมอุปกรณ์ถาวรในเครื่อง

ขอบเขต

คำแนะนำนี้ใช้กับอุปกรณ์ Android ที่ไม่ได้รับการติดตั้งทั้งหมดบนเคอร์เนลเวอร์ชัน 3.4, 3.10 และ 3.14 รวมถึงอุปกรณ์ Nexus ทั้งหมด อุปกรณ์ Android ที่ใช้เคอร์เนล Linux เวอร์ชัน 3.18 ขึ้นไปไม่มีช่องโหว่

การบรรเทาผลกระทบ

ต่อไปนี้เป็นการบรรเทาปัญหาที่ลดโอกาสที่ผู้ใช้จะได้รับผลกระทบจากปัญหานี้:

• ตรวจสอบแอปได้รับการอัปเดตเพื่อบล็อกการติดตั้งแอปพลิเคชันที่เราได้เรียนรู้ว่าพยายามใช้ประโยชน์จากช่องโหว่นี้ทั้งภายในและภายนอก Google Play
• Google Play ไม่อนุญาตให้รูทแอปพลิเคชัน เช่นเดียวกับที่ต้องการหาช่องโหว่นี้
• อุปกรณ์ Android ที่ใช้ เคอร์เนล Linux เวอร์ชัน 3.18 ขึ้นไปไม่มีช่องโหว่

รับทราบ

Android ขอขอบคุณ ทีมงาน C0RE และ Zimperium สำหรับการสนับสนุนคำแนะนำนี้

การดำเนินการที่แนะนำ

Android สนับสนุนให้ผู้ใช้ทุกคนยอมรับการอัปเดตอุปกรณ์ของตนเมื่อพร้อมใช้งาน

แก้ไข

Google ได้เปิดตัวการแก้ไขในพื้นที่เก็บข้อมูล AOSP สำหรับเคอร์เนลหลายเวอร์ชัน พันธมิตร Android ได้รับแจ้งถึงการแก้ไขเหล่านี้แล้ว และได้รับการสนับสนุนให้นำไปใช้ หากจำเป็นต้องมีการอัปเดตเพิ่มเติม Android จะเผยแพร่โดยตรงไปยัง AOSP

คำถามและคำตอบทั่วไป

1. มีปัญหาอะไร?

การยกระดับช่องโหว่ของสิทธิ์การใช้งานในเคอร์เนลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองในเคอร์เนลได้ ปัญหานี้ได้รับการจัดอันดับเป็นระดับความรุนแรงขั้นวิกฤตเนื่องจากความเป็นไปได้ที่อุปกรณ์จะเสียหายอย่างถาวรในเครื่อง และอุปกรณ์อาจจำเป็นต้องได้รับการซ่อมแซมโดยการแฟลชระบบปฏิบัติการอีกครั้ง

2. ผู้โจมตีจะพยายามใช้ประโยชน์จากปัญหานี้อย่างไร?

ผู้ใช้ที่ติดตั้งแอปพลิเคชันที่ต้องการใช้ประโยชน์จากปัญหานี้มีความเสี่ยง การรูทแอปพลิเคชัน (เช่นเดียวกับที่ใช้ประโยชน์จากปัญหานี้) เป็นสิ่งต้องห้ามใน Google Play และ Google กำลังบล็อกการติดตั้งแอปพลิเคชันนี้นอก Google Play ผ่านทาง Verify Apps ผู้โจมตีจะต้องโน้มน้าวให้ผู้ใช้ติดตั้งแอปพลิเคชันที่ได้รับผลกระทบด้วยตนเอง

3. อุปกรณ์ใดบ้างที่อาจได้รับผลกระทบ?

Google ยืนยันว่าการหาประโยชน์นี้ใช้ได้กับ Nexus 5 และ 6; อย่างไรก็ตาม Android เวอร์ชันที่ไม่ได้รับการติดตั้งทั้งหมดมีช่องโหว่อยู่

4. Google เห็นหลักฐานว่ามีการละเมิดช่องโหว่นี้หรือไม่

ใช่ Google ได้เห็นหลักฐานว่ามีการละเมิดช่องโหว่นี้ใน Nexus 5 โดยใช้เครื่องมือรูทที่เปิดเผยต่อสาธารณะ Google ไม่พบการแสวงหาผลประโยชน์ใดๆ ที่อาจจัดอยู่ในประเภท "เป็นอันตราย"

5. คุณจะแก้ไขปัญหานี้อย่างไร?

Google Play ห้ามมิให้แอปที่พยายามใช้ประโยชน์จากปัญหานี้ ในทำนองเดียวกัน ตรวจสอบแอปจะบล็อกการติดตั้งแอปจากภายนอก Google Play ที่พยายามใช้ประโยชน์จากปัญหานี้ อุปกรณ์ Google Nexus จะได้รับการติดตั้งทันทีที่การอัปเดตพร้อม และเราได้แจ้งให้พันธมิตร Android ทราบเพื่อให้สามารถเผยแพร่การอัปเดตที่คล้ายกันได้

6. ฉันจะรู้ได้อย่างไรว่าฉันมีอุปกรณ์ที่มีการแก้ไขปัญหานี้หรือไม่?

Android ได้ให้ทางเลือกสองทางแก่พันธมิตรของเราในการแจ้งว่าอุปกรณ์ของพวกเขาไม่เสี่ยงต่อปัญหานี้ อุปกรณ์ Android ที่มีระดับแพตช์ความปลอดภัยในวันที่ 18 มีนาคม 2016 จะไม่มีความเสี่ยง อุปกรณ์ Android ที่มีระดับแพตช์ความปลอดภัยเป็นวันที่ 2 เมษายน 2016 และใหม่กว่าจะไม่เสี่ยงต่อปัญหานี้ ดู บทความนี้ สำหรับคำแนะนำเกี่ยวกับวิธีการตรวจสอบระดับแพตช์ความปลอดภัย

การแก้ไข

• 18 มีนาคม 2559: เผยแพร่คำแนะนำ