Google si impegna a promuovere l'equità razziale per le comunità nere. Vedi come.
Questa pagina è stata tradotta dall'API Cloud Translation.
Switch to English

Bollettino sulla sicurezza del Nexus - settembre 2015

Pubblicato il 9 settembre 2015

Abbiamo rilasciato un aggiornamento di sicurezza per i dispositivi Nexus tramite un aggiornamento over-the-air (OTA) nell'ambito del nostro processo di rilascio mensile del bollettino sulla sicurezza di Android (Build LMY48M). Gli aggiornamenti per i dispositivi Nexus e le patch del codice sorgente per questi problemi sono stati rilasciati anche nel repository di sorgenti Android Open Source Project (AOSP). Il più grave di questi problemi è una vulnerabilità di sicurezza critica che potrebbe consentire l'esecuzione di codice in modalità remota su un dispositivo interessato.

Le immagini del firmware Nexus sono state anche rilasciate sul sito per sviluppatori Google . Le build LMY48M o successive risolvono questi problemi. I partner sono stati informati di questi problemi il 13 agosto 2015 o prima.

Non abbiamo rilevato lo sfruttamento da parte dei clienti dei problemi appena segnalati. L'eccezione è il problema esistente (CVE-2015-3636). Fare riferimento alla sezione Mitigazioni per dettagli sulle protezioni della piattaforma di sicurezza Android e protezioni di servizio come SafetyNet, che riducono la probabilità che le vulnerabilità di sicurezza possano essere sfruttate con successo su Android.

Si noti che entrambi gli aggiornamenti critici per la sicurezza (CVE-2015-3864 e CVE-2015-3686) risolvono vulnerabilità già divulgate. Non ci sono vulnerabilità di sicurezza critiche appena rivelate in questo aggiornamento. La valutazione della gravità si basa sull'effetto che lo sfruttamento della vulnerabilità potrebbe avere su un dispositivo interessato, presupponendo che le mitigazioni della piattaforma e del servizio siano disabilitate a fini di sviluppo o se vengano aggirate correttamente.

Incoraggiamo tutti i clienti ad accettare questi aggiornamenti per i loro dispositivi.

Fattori attenuanti

Questo è un riepilogo delle mitigazioni fornite dalla piattaforma di sicurezza Android e delle protezioni del servizio come SafetyNet. Queste funzionalità riducono la probabilità che le vulnerabilità di sicurezza possano essere sfruttate con successo su Android.

  • Lo sfruttamento per molti problemi su Android è reso più difficile dai miglioramenti nelle nuove versioni della piattaforma Android. Incoraggiamo tutti gli utenti ad aggiornare all'ultima versione di Android ove possibile.
  • Il team di sicurezza di Android sta monitorando attivamente gli abusi con Verify Apps e SafetyNet, che avvertiranno che potrebbero essere installate applicazioni potenzialmente dannose. Gli strumenti di rooting dei dispositivi sono vietati in Google Play. Per proteggere gli utenti che installano applicazioni all'esterno di Google Play, Verifica app è abilitato per impostazione predefinita e avvisa gli utenti delle applicazioni di rooting note. Verifica App tenta di identificare e bloccare l'installazione di applicazioni dannose note che sfruttano una vulnerabilità di escalation di privilegi. Se tale applicazione è già stata installata, Verifica App avviserà l'utente e tenterà di rimuovere tali applicazioni.
  • Se del caso, le applicazioni di Google Hangouts e Messenger non passano automaticamente i media a processi come mediaserver.

Ringraziamenti

Vorremmo ringraziare questi ricercatori per il loro contributo:

  • Jordan Gruskovnjak di Exodus Intelligence (@jgrusko): CVE-2015-3864
  • Michał Bednarski: CVE-2015-3845
  • Guang Gong di Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
  • Brennan Lautner: CVE-2015-3863
  • jgor (@indiecom): CVE-2015-3860
  • Desideri Wu di Trend Micro Inc. (@wish_wu): CVE-2015-3861

Dettagli sulla vulnerabilità della sicurezza

Nelle sezioni seguenti, forniamo i dettagli per ciascuna delle vulnerabilità di sicurezza in questo bollettino. Esiste una descrizione del problema, una logica di gravità e una tabella con CVE, bug associato, gravità, versioni interessate e data riportata. Laddove disponibile, abbiamo collegato la modifica AOSP che ha risolto il problema con l'ID bug. Quando più modifiche si riferiscono a un singolo bug, ulteriori riferimenti AOSP sono collegati ai numeri che seguono l'ID bug.

Vulnerabilità legata all'esecuzione di codice in modalità remota in Mediaserver

Durante il file multimediale e l'elaborazione dei dati di un file appositamente predisposto, le vulnerabilità nel mediaserver potrebbero consentire a un utente malintenzionato di causare il danneggiamento della memoria e l'esecuzione di codice in modalità remota come processo mediaserver.

La funzionalità interessata viene fornita come parte principale del sistema operativo e ci sono più applicazioni che ne consentono il raggiungimento con contenuti remoti, in particolare MMS e riproduzione del browser da parte dei media.

Questo problema è classificato come gravità critica a causa della possibilità di esecuzione di codice in modalità remota nel contesto del servizio mediaserver. Il servizio mediaserver ha accesso ai flussi audio e video e ai privilegi a cui le app di terze parti non possono normalmente accedere.

Questo problema è correlato al CVE-2015-3824 già segnalato (ANDROID-20923261). L'aggiornamento di sicurezza originale non è stato sufficiente per risolvere una variante di questo problema originariamente segnalato.

CVE Bug con collegamenti AOSP Gravità Versioni interessate
CVE-2015-3864 ANDROID-23034759 critico 5.1 e precedenti

Vulnerabilità legata all'acquisizione di privilegi più elevati nel kernel

Un'elevata vulnerabilità dei privilegi nella gestione dei socket ping da parte del kernel Linux potrebbe consentire a un'applicazione dannosa di eseguire codice arbitrario nel contesto del kernel.

Questo problema è classificato come gravità critica a causa della possibilità di esecuzione del codice in un servizio privilegiato in grado di bypassare le protezioni dei dispositivi, portando potenzialmente a compromessi permanenti (ad esempio, richiedendo il re-flashing della partizione di sistema) su alcuni dispositivi.

Questo problema è stato identificato per la prima volta pubblicamente il 1 ° maggio 2015. Un exploit di questa vulnerabilità è stato incluso in una serie di strumenti di "rooting" che possono essere utilizzati dal proprietario del dispositivo per modificare il firmware sul proprio dispositivo.

CVE Bug (s) con collegamenti AOSP Gravità Versioni interessate
CVE-2015-3636 ANDROID-20770158 critico 5.1 e precedenti

Vulnerabilità legata all'acquisizione di privilegi più elevati in Binder

Un'elevata vulnerabilità dei privilegi in Binder potrebbe consentire a un'applicazione dannosa di eseguire codice arbitrario nel contesto del processo di un'altra app.

Questo problema è classificato come severo perché consente a un'applicazione dannosa di ottenere privilegi non accessibili a un'applicazione di terze parti.

CVE Bug (s) con collegamenti AOSP Gravità Versioni interessate
CVE-2015-3845 ANDROID-17312693 alto 5.1 e precedenti
CVE-2015-1528 ANDROID-19334482 [ 2 ] alto 5.1 e precedenti

Vulnerabilità legata all'acquisizione di privilegi più elevati in Keystore

Un'elevata vulnerabilità dei privilegi in Keystore potrebbe consentire a un'applicazione dannosa di eseguire codice arbitrario nel contesto del servizio keystore. Ciò potrebbe consentire l'uso non autorizzato delle chiavi archiviate da Keystore, comprese le chiavi supportate da hardware.

Questo problema è classificato come severo perché può essere utilizzato per ottenere privilegi non accessibili a un'applicazione di terze parti.

CVE Bug (s) con collegamenti AOSP Gravità Versioni interessate
CVE-2015-3863 ANDROID-22802399 alto 5.1 e precedenti

Vulnerabilità legata all'acquisizione di privilegi più elevati nella regione

Una vulnerabilità legata all'acquisizione di privilegi più elevati nella Regione potrebbe, attraverso la creazione di un messaggio dannoso a un servizio, consentire a un'applicazione dannosa di eseguire codice arbitrario nel contesto del servizio di destinazione.

Questo problema è classificato come severo perché può essere utilizzato per ottenere privilegi non accessibili a un'applicazione di terze parti.

CVE Bug (s) con collegamenti AOSP Gravità Versioni interessate
CVE-2015-3849 ANDROID-20883006 [ 2 ] alto 5.1 e precedenti

La vulnerabilità legata all'acquisizione di privilegi più elevati in SMS consente di ignorare le notifiche

Un'elevata vulnerabilità dei privilegi nel modo in cui Android elabora i messaggi SMS potrebbe consentire a un'applicazione dannosa di inviare un messaggio SMS che ignora la notifica di avviso SMS a tariffa elevata.

Questo problema è classificato come severo perché può essere utilizzato per ottenere privilegi non accessibili a un'applicazione di terze parti.

CVE Bug (s) con collegamenti AOSP Gravità Versioni interessate
CVE-2015-3858 ANDROID-22314646 alto 5.1 e precedenti

Vulnerabilità legata all'acquisizione di privilegi più elevati in Lockscreen

Una vulnerabilità legata all'acquisizione di privilegi più elevati in Lockscreen potrebbe consentire a un utente malintenzionato di ignorare la schermata di blocco causandone l'arresto anomalo. Questo problema è classificato come vulnerabilità solo su Android 5.0 e 5.1. Sebbene sia possibile causare l'arresto anomalo dell'interfaccia utente del sistema dalla schermata di blocco in modo simile su 4.4, non è possibile accedere alla schermata principale e il dispositivo deve essere riavviato per ripristinare.

Questo problema è classificato come gravità moderata perché potenzialmente consente a qualcuno con accesso fisico a un dispositivo di installare app di terze parti senza che il proprietario del dispositivo approvi le autorizzazioni. Può anche consentire all'attaccante di visualizzare dati di contatto, registri telefonici, messaggi SMS e altri dati che sono normalmente protetti con un'autorizzazione di livello "pericolosa".

CVE Bug (s) con collegamenti AOSP Gravità Versioni interessate
CVE-2015-3860 ANDROID-22214934 Moderare 5.1 e 5.0

Vulnerabilità legata alla negazione del servizio in Mediaserver

Una vulnerabilità di negazione del servizio nel mediaserver potrebbe consentire a un utente malintenzionato locale di bloccare temporaneamente l'accesso a un dispositivo interessato.

Questo problema è classificato come Bassa gravità perché un utente potrebbe riavviare in modalità provvisoria per rimuovere un'applicazione dannosa che sta sfruttando questo problema. È anche possibile indurre mediaserver a elaborare il file dannoso in remoto tramite Web o MMS, in tal caso il processo mediaserver si arresta in modo anomalo e il dispositivo rimane utilizzabile.

CVE Bug (s) con collegamenti AOSP Gravità Versioni interessate
CVE-2015-3861 ANDROID-21296336 Basso 5.1 e precedenti