Google se compromete a promover la equidad racial para las comunidades negras. Ver cómo.
Se usó la API de Cloud Translation para traducir esta página.
Switch to English

Boletín de seguridad de Nexus: septiembre de 2015

Publicado el 9 de septiembre de 2015

Hemos lanzado una actualización de seguridad para dispositivos Nexus a través de una actualización inalámbrica (OTA) como parte de nuestro proceso de lanzamiento mensual de Android Security Bulletin (Build LMY48M). Las actualizaciones para dispositivos Nexus y parches de código fuente para estos problemas también se han lanzado al repositorio de origen del Proyecto de Código Abierto de Android (AOSP). El más grave de estos problemas es una vulnerabilidad de seguridad crítica que podría permitir la ejecución remota de código en un dispositivo afectado.

Las imágenes de firmware de Nexus también se han lanzado al sitio para desarrolladores de Google . Las versiones LMY48M o posteriores abordan estos problemas. Los socios fueron notificados sobre estos problemas el 13 de agosto de 2015 o antes.

No hemos detectado la explotación del cliente de los problemas recientemente informados. La excepción es el problema existente (CVE-2015-3636). Consulte la sección Mitigaciones para obtener detalles sobre las protecciones de la plataforma de seguridad de Android y las protecciones de servicios como SafetyNet, que reducen la probabilidad de que las vulnerabilidades de seguridad puedan explotarse con éxito en Android.

Tenga en cuenta que las actualizaciones de seguridad críticas (CVE-2015-3864 y CVE-2015-3686) abordan vulnerabilidades ya reveladas. No hay vulnerabilidades críticas de seguridad recientemente reveladas en esta actualización. La evaluación de la gravedad se basa en el efecto que la explotación de la vulnerabilidad podría tener en un dispositivo afectado, suponiendo que las mitigaciones de plataforma y servicio estén deshabilitadas para fines de desarrollo o si se omiten con éxito.

Alentamos a todos los clientes a aceptar estas actualizaciones en sus dispositivos.

Mitigaciones

Este es un resumen de las mitigaciones proporcionadas por la plataforma de seguridad de Android y las protecciones de servicios como SafetyNet. Estas capacidades reducen la probabilidad de que las vulnerabilidades de seguridad puedan explotarse con éxito en Android.

  • La explotación de muchos problemas en Android se hace más difícil por las mejoras en las versiones más recientes de la plataforma Android. Alentamos a todos los usuarios a actualizar a la última versión de Android cuando sea posible.
  • El equipo de seguridad de Android está monitoreando activamente el abuso con Verify Apps y SafetyNet, que alertará sobre las aplicaciones potencialmente dañinas que se instalarán. Las herramientas de rooteo de dispositivos están prohibidas en Google Play. Para proteger a los usuarios que instalan aplicaciones desde fuera de Google Play, Verify Apps está habilitado de forma predeterminada y advertirá a los usuarios sobre las aplicaciones de rooteo conocidas. Verify Apps intenta identificar y bloquear la instalación de aplicaciones maliciosas conocidas que explotan una vulnerabilidad de escalada de privilegios. Si dicha aplicación ya se ha instalado, Verify Apps notificará al usuario e intentará eliminar dichas aplicaciones.
  • Según corresponda, las aplicaciones Google Hangouts y Messenger no pasan automáticamente los medios a procesos como el servidor de medios.

Agradecimientos

Nos gustaría agradecer a estos investigadores por sus contribuciones:

  • Jordan Gruskovnjak de Exodus Intelligence (@jgrusko): CVE-2015-3864
  • Michał Bednarski: CVE-2015-3845
  • Guang Gong de Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
  • Brennan Lautner: CVE-2015-3863
  • jgor (@indiecom): CVE-2015-3860
  • Wish Wu de Trend Micro Inc. (@wish_wu): CVE-2015-3861

Detalles de vulnerabilidad de seguridad

En las siguientes secciones, proporcionamos detalles para cada una de las vulnerabilidades de seguridad en este boletín. Hay una descripción del problema, una justificación de la gravedad y una tabla con el CVE, el error asociado, la gravedad, las versiones afectadas y la fecha informada. Donde esté disponible, hemos vinculado el cambio de AOSP que solucionó el problema con la identificación del error. Cuando varios cambios se relacionan con un solo error, las referencias adicionales de AOSP se vinculan a los números que siguen a la identificación del error.

Vulnerabilidad de ejecución remota de código en Mediaserver

Durante el procesamiento de archivos y datos multimedia de un archivo especialmente diseñado, las vulnerabilidades en el servidor de medios podrían permitir que un atacante cause corrupción de memoria y ejecución remota de código como el proceso del servidor de medios.

La funcionalidad afectada se proporciona como una parte central del sistema operativo y existen múltiples aplicaciones que permiten acceder a ella con contenido remoto, especialmente MMS y reproducción de medios en el navegador.

Este problema se clasifica como una gravedad crítica debido a la posibilidad de ejecución remota de código dentro del contexto del servicio de servidor de medios. El servicio de servidor de medios tiene acceso a transmisiones de audio y video, así como acceso a privilegios a los que normalmente no pueden acceder las aplicaciones de terceros.

Este problema está relacionado con el ya informado CVE-2015-3824 (ANDROID-20923261). La actualización de seguridad original no fue suficiente para abordar una variante de este problema originalmente informado.

CVE Error con enlaces AOSP Gravedad Versiones afectadas
CVE-2015-3864 ANDROID-23034759 Crítico 5.1 y abajo

Vulnerabilidad de privilegios de elevación en el kernel

Una vulnerabilidad de elevación de privilegios en el manejo de los sockets de ping del kernel de Linux podría permitir que una aplicación maliciosa ejecute código arbitrario en el contexto del kernel.

Este problema se clasifica como una gravedad crítica debido a la posibilidad de ejecución de código en un servicio privilegiado que puede eludir las protecciones de los dispositivos, lo que puede llevar a un compromiso permanente (es decir, que requiere volver a flashear la partición del sistema) en algunos dispositivos.

Este problema se identificó públicamente por primera vez el 1 de mayo de 2015. Se ha incluido una vulnerabilidad de esta vulnerabilidad en una serie de herramientas de "enraizamiento" que el propietario del dispositivo puede utilizar para modificar el firmware de su dispositivo.

CVE Error (es) con enlaces AOSP Gravedad Versiones afectadas
CVE-2015-3636 ANDROID-20770158 Crítico 5.1 y abajo

Elevación de la vulnerabilidad de privilegios en Binder

Una vulnerabilidad de elevación de privilegios en Binder podría permitir que una aplicación maliciosa ejecute código arbitrario dentro del contexto del proceso de la otra aplicación.

Este problema se clasifica como de gravedad alta porque permite que una aplicación malintencionada obtenga privilegios a los que no puede acceder una aplicación de terceros.

CVE Error (es) con enlaces AOSP Gravedad Versiones afectadas
CVE-2015-3845 ANDROID-17312693 Alto 5.1 y abajo
CVE-2015-1528 ANDROID-19334482 [ 2 ] Alto 5.1 y abajo

Elevación de la vulnerabilidad de privilegios en Keystore

Una vulnerabilidad de elevación de privilegios en Keystore podría permitir que una aplicación maliciosa ejecute código arbitrario dentro del contexto del servicio de almacén de claves. Esto podría permitir el uso no autorizado de claves almacenadas por Keystore, incluidas las claves respaldadas por hardware.

Este problema se clasifica como de gravedad alta porque se puede utilizar para obtener privilegios a los que no puede acceder una aplicación de terceros.

CVE Error (es) con enlaces AOSP Gravedad Versiones afectadas
CVE-2015-3863 ANDROID-22802399 Alto 5.1 y abajo

Elevación de la vulnerabilidad de privilegios en la región

Una vulnerabilidad de elevación de privilegios en la Región podría, mediante la creación de un mensaje malicioso a un servicio, permitir que una aplicación maliciosa ejecute código arbitrario dentro del contexto del servicio objetivo.

Este problema se clasifica como de gravedad alta porque se puede utilizar para obtener privilegios a los que no puede acceder una aplicación de terceros.

CVE Error (es) con enlaces AOSP Gravedad Versiones afectadas
CVE-2015-3849 ANDROID-20883006 [ 2 ] Alto 5.1 y abajo

La vulnerabilidad de elevación de privilegios en SMS permite omitir notificaciones

Una vulnerabilidad de elevación de privilegios en la forma en que Android procesa los mensajes SMS podría permitir que una aplicación maliciosa envíe un mensaje SMS que omita la notificación de advertencia de SMS de tarifa premium.

Este problema se clasifica como de gravedad alta porque se puede utilizar para obtener privilegios a los que no puede acceder una aplicación de terceros.

CVE Error (es) con enlaces AOSP Gravedad Versiones afectadas
CVE-2015-3858 ANDROID-22314646 Alto 5.1 y abajo

Elevación de la vulnerabilidad de privilegios en la pantalla de bloqueo

Una vulnerabilidad de elevación de privilegios en Lockscreen podría permitir que un usuario malintencionado omita la pantalla de bloqueo haciendo que se bloquee. Este problema se clasifica como una vulnerabilidad solo en Android 5.0 y 5.1. Si bien es posible hacer que la IU del sistema se bloquee desde la pantalla de bloqueo de una manera similar en 4.4, no se puede acceder a la pantalla de inicio y el dispositivo debe reiniciarse para recuperarse.

Este problema se clasifica como una gravedad moderada porque potencialmente permite a alguien con acceso físico a un dispositivo instalar aplicaciones de terceros sin que el propietario del dispositivo apruebe los permisos. También puede permitir al atacante ver datos de contacto, registros telefónicos, mensajes SMS y otros datos que normalmente están protegidos con un permiso de nivel "peligroso".

CVE Error (es) con enlaces AOSP Gravedad Versiones afectadas
CVE-2015-3860 ANDROID-22214934 Moderar 5.1 y 5.0

Vulnerabilidad de denegación de servicio en Mediaserver

Una vulnerabilidad de denegación de servicio en el servidor de medios podría permitir que un atacante local bloquee temporalmente el acceso a un dispositivo afectado.

Este problema se califica como de gravedad baja porque un usuario puede reiniciar en modo seguro para eliminar una aplicación maliciosa que está explotando este problema. También es posible hacer que el servidor de medios procese el archivo malicioso de forma remota a través de la web o sobre MMS, en ese caso el proceso del servidor de medios falla y el dispositivo sigue siendo utilizable.

CVE Error (es) con enlaces AOSP Gravedad Versiones afectadas
CVE-2015-3861 ANDROID-21296336 Bajo 5.1 y abajo