Google is committed to advancing racial equity for Black communities. See how.
This page was translated by the Cloud Translation API.
Switch to English

Nexus Security Bulletin - กันยายน 2015

เผยแพร่เมื่อ 9 กันยายน 2015

เราได้เปิดตัวการอัปเดตความปลอดภัยให้กับอุปกรณ์ Nexus ผ่านการอัปเดตแบบ over-the-air (OTA) ซึ่งเป็นส่วนหนึ่งของกระบวนการเผยแพร่รายเดือนของ Android Security Bulletin (Build LMY48M) การอัปเดตสำหรับอุปกรณ์ Nexus และแพตช์ซอร์สโค้ดสำหรับปัญหาเหล่านี้ได้รับการเผยแพร่ไปยังที่เก็บซอร์สของ Android Open Source Project (AOSP) ปัญหาที่รุนแรงที่สุดคือช่องโหว่ด้านความปลอดภัยที่สำคัญซึ่งอาจเปิดใช้งานการเรียกใช้รหัสระยะไกลบนอุปกรณ์ที่ได้รับผลกระทบ

อิมเมจเฟิร์มแวร์ Nexus ได้เผยแพร่ไปยัง ไซต์ Google Developer สร้าง LMY48M ขึ้นไปเพื่อแก้ไขปัญหาเหล่านี้ พาร์ทเนอร์ได้รับแจ้งเกี่ยวกับปัญหาเหล่านี้ในวันที่ 13 สิงหาคม 2015 หรือก่อนหน้านั้น

เราไม่พบการแสวงหาผลประโยชน์ของลูกค้าจากปัญหาที่รายงานใหม่ ข้อยกเว้นคือปัญหาที่มีอยู่ (CVE-2015-3636) โปรดดูส่วนการ ลด ขนาดสำหรับรายละเอียดเกี่ยวกับการ ป้องกันแพลตฟอร์มความปลอดภัยของ Android และการป้องกันบริการเช่น SafetyNet ซึ่งช่วยลดโอกาสที่ช่องโหว่ด้านความปลอดภัยจะถูกใช้ประโยชน์บน Android ได้สำเร็จ

โปรดทราบว่าทั้งการอัปเดตความปลอดภัยที่สำคัญ (CVE-2015-3864 และ CVE-2015-3686) ได้เปิดเผยช่องโหว่แล้ว ไม่มีช่องโหว่ด้านความปลอดภัยที่สำคัญที่เปิดเผยใหม่ในการอัปเดตนี้ การ ประเมินความรุนแรง จะขึ้นอยู่กับผลกระทบที่การใช้ประโยชน์จากช่องโหว่ที่อาจเกิดขึ้นกับอุปกรณ์ที่ได้รับผลกระทบโดยสมมติว่าแพลตฟอร์มและการลดการให้บริการถูกปิดใช้งานเพื่อวัตถุประสงค์ในการพัฒนาหรือหากข้ามได้สำเร็จ

เราขอแนะนำให้ลูกค้าทุกคนยอมรับการอัปเดตเหล่านี้ในอุปกรณ์ของตน

Mitigations

นี่คือบทสรุปของการบรรเทาผลกระทบจาก แพลตฟอร์มความปลอดภัยของ Android และการป้องกันบริการเช่น SafetyNet ความสามารถเหล่านี้ช่วยลดโอกาสที่ช่องโหว่ด้านความปลอดภัยจะถูกใช้ประโยชน์บน Android ได้สำเร็จ

  • การแสวงหาประโยชน์จากปัญหาต่างๆบน Android ทำได้ยากขึ้นโดยการปรับปรุงในแพลตฟอร์ม Android เวอร์ชันใหม่กว่า เราขอแนะนำให้ผู้ใช้ทุกคนอัปเดตเป็น Android เวอร์ชันล่าสุดหากเป็นไปได้
  • ทีมรักษาความปลอดภัยของ Android กำลังตรวจสอบการละเมิดด้วย Verify Apps และ SafetyNet ซึ่งจะเตือนเกี่ยวกับการติดตั้งแอปพลิเคชันที่อาจเป็นอันตราย ห้ามใช้เครื่องมือรูทอุปกรณ์ใน Google Play เพื่อปกป้องผู้ใช้ที่ติดตั้งแอปพลิเคชันจากภายนอก Google Play การยืนยันแอปจะเปิดใช้งานตามค่าเริ่มต้นและจะเตือนผู้ใช้เกี่ยวกับแอปพลิเคชันที่รู้จัก ตรวจสอบว่าแอปพยายามระบุและบล็อกการติดตั้งแอปพลิเคชันที่เป็นอันตรายซึ่งเป็นที่รู้จักซึ่งใช้ช่องโหว่ในการยกระดับสิทธิ์ หากแอปพลิเคชันดังกล่าวได้รับการติดตั้งแล้ว Verify Apps จะแจ้งให้ผู้ใช้ทราบและพยายามลบแอปพลิเคชันดังกล่าว
  • ตามความเหมาะสมแอปพลิเคชัน Google Hangouts และ Messenger จะไม่ส่งผ่านสื่อไปยังกระบวนการต่างๆเช่นสื่อกลางโดยอัตโนมัติ

กิตติกรรมประกาศ

เราขอขอบคุณนักวิจัยเหล่านี้สำหรับผลงาน:

  • Jordan Gruskovnjak จาก Exodus Intelligence (@jgrusko): CVE-2015-3864
  • Michał Bednarski: CVE-2015-3845
  • Guang Gong จาก Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
  • Brennan Lautner: CVE-2015-3863
  • jgor (@indiecom): CVE-2015-3860
  • Wish Wu จาก Trend Micro Inc. (@wish_wu): CVE-2015-3861

รายละเอียดช่องโหว่ด้านความปลอดภัย

ในส่วนด้านล่างนี้เราให้รายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละรายการในกระดานข่าวสารนี้ มีคำอธิบายของปัญหาเหตุผลความรุนแรงและตารางที่มี CVE ข้อบกพร่องที่เกี่ยวข้องความรุนแรงเวอร์ชันที่ได้รับผลกระทบและวันที่ที่รายงาน หากมีเราได้เชื่อมโยงการเปลี่ยนแปลง AOSP ที่แก้ไขปัญหากับรหัสข้อบกพร่อง เมื่อการเปลี่ยนแปลงหลายอย่างเกี่ยวข้องกับจุดบกพร่องเดียวการอ้างอิง AOSP เพิ่มเติมจะเชื่อมโยงกับตัวเลขตามรหัสข้อบกพร่อง

ช่องโหว่การดำเนินการรหัสระยะไกลใน Mediaserver

ระหว่างไฟล์สื่อและการประมวลผลข้อมูลของไฟล์ที่สร้างขึ้นมาเป็นพิเศษช่องโหว่ในสื่อกลางอาจเปิดโอกาสให้ผู้โจมตีทำให้หน่วยความจำเสียหายและการเรียกใช้โค้ดจากระยะไกลเป็นกระบวนการไกล่เกลี่ย

ฟังก์ชันการทำงานที่ได้รับผลกระทบจัดให้เป็นส่วนหลักของระบบปฏิบัติการและมีแอพพลิเคชั่นหลายตัวที่ช่วยให้เข้าถึงเนื้อหาระยะไกลได้โดยเฉพาะอย่างยิ่ง MMS และการเล่นสื่อบนเบราว์เซอร์

ปัญหานี้ได้รับการจัดอันดับให้เป็นความรุนแรงที่สำคัญเนื่องจากความเป็นไปได้ของการเรียกใช้โค้ดจากระยะไกลภายในบริบทของบริการสื่อกลาง บริการสื่อกลางสามารถเข้าถึงสตรีมเสียงและวิดีโอตลอดจนการเข้าถึงสิทธิพิเศษที่แอปของบุคคลที่สามไม่สามารถเข้าถึงได้ตามปกติ

ปัญหานี้เกี่ยวข้องกับ CVE-2015-3824 ที่รายงานแล้ว (ANDROID-20923261) การอัปเดตความปลอดภัยเดิมไม่เพียงพอที่จะแก้ไขปัญหาที่รายงานในตอนแรกนี้

CVE ข้อบกพร่องด้วยลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3864 Android-23034759 สำคัญ 5.1 และต่ำกว่า

ช่องโหว่ของสิทธิ์ระดับความสูงในเคอร์เนล

การเพิ่มช่องโหว่ของสิทธิพิเศษในการจัดการซ็อกเก็ต ping ของเคอร์เนลของ Linux อาจทำให้แอปพลิเคชันที่เป็นอันตรายสามารถเรียกใช้รหัสโดยอำเภอใจในบริบทของเคอร์เนล

ปัญหานี้ได้รับการจัดอันดับให้เป็นระดับวิกฤตเนื่องจากความเป็นไปได้ของการเรียกใช้โค้ดในบริการพิเศษที่สามารถข้ามการป้องกันอุปกรณ์ซึ่งอาจนำไปสู่การประนีประนอมอย่างถาวร (เช่นต้องกะพริบพาร์ติชันระบบอีกครั้ง) ในอุปกรณ์บางอย่าง

ปัญหานี้ถูกระบุสู่สาธารณะเป็นครั้งแรกเมื่อวันที่ 1 พฤษภาคม 2015 การใช้ประโยชน์จากช่องโหว่นี้รวมอยู่ในเครื่องมือ "การรูท" จำนวนมากที่เจ้าของอุปกรณ์อาจใช้เพื่อแก้ไขเฟิร์มแวร์บนอุปกรณ์ของตน

CVE ข้อบกพร่องพร้อมลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3636 Android-20770158 สำคัญ 5.1 และต่ำกว่า

การยกระดับช่องโหว่ของสิทธิพิเศษใน Binder

การเพิ่มช่องโหว่ของสิทธิพิเศษใน Binder อาจทำให้แอปพลิเคชันที่เป็นอันตรายสามารถเรียกใช้รหัสโดยพลการภายในบริบทของกระบวนการของแอปอื่น

ปัญหานี้ได้รับการจัดประเภทว่ามีความรุนแรงสูงเนื่องจากอนุญาตให้แอปพลิเคชันที่เป็นอันตรายได้รับสิทธิพิเศษที่แอปพลิเคชันของบุคคลที่สามไม่สามารถเข้าถึงได้

CVE ข้อบกพร่องพร้อมลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3845 ANDROID-17312693 สูง 5.1 และต่ำกว่า
CVE-2015-1528 Android-19334482 [ 2 ] สูง 5.1 และต่ำกว่า

การยกระดับช่องโหว่ของสิทธิ์ใน Keystore

การเพิ่มช่องโหว่ของสิทธิพิเศษใน Keystore อาจทำให้แอปพลิเคชันที่เป็นอันตรายสามารถเรียกใช้รหัสโดยพลการภายในบริบทของบริการที่เก็บคีย์ ซึ่งอาจอนุญาตให้ใช้คีย์ที่จัดเก็บโดย Keystore โดยไม่ได้รับอนุญาตรวมถึงคีย์ที่สนับสนุนด้วยฮาร์ดแวร์

ปัญหานี้ได้รับการจัดอันดับว่ามีความรุนแรงสูงเนื่องจากสามารถใช้เพื่อรับสิทธิ์ที่แอปพลิเคชันของบุคคลที่สามไม่สามารถเข้าถึงได้

CVE ข้อบกพร่องพร้อมลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3863 Android-22802399 สูง 5.1 และต่ำกว่า

การยกระดับช่องโหว่ของสิทธิพิเศษในภูมิภาค

การเพิ่มช่องโหว่ของสิทธิพิเศษในภูมิภาคอาจทำให้เกิดข้อความที่เป็นอันตรายไปยังบริการโดยการสร้างข้อความที่เป็นอันตรายไปยังบริการเพื่อให้แอปพลิเคชันที่เป็นอันตรายสามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทของบริการเป้าหมายได้

ปัญหานี้ได้รับการจัดอันดับว่ามีความรุนแรงสูงเนื่องจากสามารถใช้เพื่อรับสิทธิ์ที่แอปพลิเคชันของบุคคลที่สามไม่สามารถเข้าถึงได้

CVE ข้อบกพร่องพร้อมลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3849 Android-20883006 [ 2 ] สูง 5.1 และต่ำกว่า

การยกระดับช่องโหว่ของสิทธิ์ใน SMS ช่วยให้สามารถเลี่ยงการแจ้งเตือนได้

การเพิ่มช่องโหว่ของสิทธิพิเศษในวิธีที่ Android ประมวลผลข้อความ SMS อาจทำให้แอปพลิเคชันที่เป็นอันตรายสามารถส่งข้อความ SMS ที่ข้ามการแจ้งเตือน SMS อัตราพิเศษ

ปัญหานี้ได้รับการจัดอันดับว่ามีความรุนแรงสูงเนื่องจากสามารถใช้เพื่อรับสิทธิ์ที่แอปพลิเคชันของบุคคลที่สามไม่สามารถเข้าถึงได้

CVE ข้อบกพร่องพร้อมลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3858 Android-22314646 สูง 5.1 และต่ำกว่า

การยกระดับช่องโหว่ของสิทธิ์ใน Lockscreen

การยกระดับช่องโหว่ของสิทธิ์ใน Lockscreen อาจทำให้ผู้ใช้ที่ประสงค์ร้ายข้ามหน้าจอล็อกได้โดยทำให้เกิดปัญหา ปัญหานี้จัดว่าเป็นช่องโหว่เฉพาะบน Android 5.0 และ 5.1 แม้ว่าจะเป็นไปได้ที่จะทำให้ UI ของระบบหยุดทำงานจากหน้าจอล็อกในลักษณะเดียวกันบน 4.4 แต่ไม่สามารถเข้าถึงหน้าจอหลักได้และต้องรีบูตอุปกรณ์เพื่อกู้คืน

ปัญหานี้จัดอยู่ในระดับความรุนแรงปานกลางเนื่องจากอาจทำให้ผู้ที่มีสิทธิ์เข้าถึงอุปกรณ์ทางกายภาพสามารถติดตั้งแอปของบุคคลที่สามได้โดยที่เจ้าของอุปกรณ์ไม่อนุมัติการอนุญาต นอกจากนี้ยังสามารถอนุญาตให้ผู้โจมตีดูข้อมูลผู้ติดต่อบันทึกโทรศัพท์ข้อความ SMS และข้อมูลอื่น ๆ ที่ปกติได้รับการปกป้องด้วยสิทธิ์ระดับ "อันตราย"

CVE ข้อบกพร่องพร้อมลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3860 Android-22214934 ปานกลาง 5.1 และ 5.0

ช่องโหว่การปฏิเสธการให้บริการใน Mediaserver

ช่องโหว่การปฏิเสธบริการในสื่อกลางอาจทำให้ผู้โจมตีในพื้นที่สามารถบล็อกการเข้าถึงอุปกรณ์ที่ได้รับผลกระทบชั่วคราว

ปัญหานี้จัดอยู่ในประเภทความรุนแรงต่ำเนื่องจากผู้ใช้สามารถรีบูตเข้าสู่เซฟโหมดเพื่อลบแอปพลิเคชันที่เป็นอันตรายที่ใช้ประโยชน์จากปัญหานี้ นอกจากนี้ยังเป็นไปได้ที่จะทำให้ผู้ไกล่เกลี่ยประมวลผลไฟล์ที่เป็นอันตรายจากระยะไกลผ่านเว็บหรือผ่าน MMS ในกรณีนั้นกระบวนการสื่อกลางจะขัดข้องและอุปกรณ์ยังคงใช้งานได้

CVE ข้อบกพร่องพร้อมลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3861 Android-21296336 ต่ำ 5.1 และต่ำกว่า