Google is committed to advancing racial equity for Black communities. See how.
Se usó la API de Cloud Translation para traducir esta página.
Switch to English

Boletín de seguridad de Nexus: octubre de 2015

Publicado el 5 de octubre de 2015 | Actualizado el 28 de abril de 2016

Lanzamos una actualización de seguridad para los dispositivos Nexus a través de una actualización inalámbrica (OTA) como parte de nuestro proceso de publicación mensual del boletín de seguridad de Android. Las imágenes de firmware de Nexus también se publicaron en el sitio de desarrolladores de Google . Las compilaciones LMY48T o posterior (como LMY48W) y Android M con nivel de parche de seguridad del 1 de octubre de 2015 o posterior abordan estos problemas. Consulte la documentación de Nexus para obtener instrucciones sobre cómo verificar el nivel del parche de seguridad.

Los socios fueron notificados sobre estos problemas el 10 de septiembre de 2015 o antes. Se han publicado parches de código fuente para estos problemas en el repositorio de proyectos de código abierto de Android (AOSP).

El más grave de estos problemas es una vulnerabilidad de seguridad crítica que podría permitir la ejecución remota de código en un dispositivo afectado a través de varios métodos, como correo electrónico, navegación web y MMS al procesar archivos multimedia. La evaluación de la gravedad se basa en el efecto que posiblemente tendría la explotación de la vulnerabilidad en un dispositivo afectado, asumiendo que las mitigaciones de la plataforma y el servicio están deshabilitadas para fines de desarrollo o si se omiten con éxito.

No hemos recibido informes de explotación activa por parte de los clientes de estos problemas recientemente informados. Consulte la sección Mitigaciones para obtener detalles sobre las protecciones de la plataforma de seguridad de Android y las protecciones de servicios como SafetyNet, que mejoran la seguridad de la plataforma de Android. Alentamos a todos los clientes a aceptar estas actualizaciones en sus dispositivos.

Mitigaciones

Este es un resumen de las mitigaciones proporcionadas por la plataforma de seguridad de Android y las protecciones de servicios como SafetyNet. Estas capacidades reducen la probabilidad de que las vulnerabilidades de seguridad se puedan explotar con éxito en Android.

  • La explotación de muchos problemas en Android se ve dificultada por las mejoras en las versiones más recientes de la plataforma Android. Recomendamos a todos los usuarios que se actualicen a la última versión de Android siempre que sea posible.
  • El equipo de seguridad de Android está monitoreando activamente el abuso con Verify Apps y SafetyNet, que advertirán sobre aplicaciones potencialmente dañinas a punto de instalarse. Las herramientas de enraizamiento de dispositivos están prohibidas en Google Play. Para proteger a los usuarios que instalan aplicaciones desde fuera de Google Play, Verify Apps está habilitado de forma predeterminada y advertirá a los usuarios sobre aplicaciones de root conocidas. Verify Apps intenta identificar y bloquear la instalación de aplicaciones maliciosas conocidas que aprovechan una vulnerabilidad de escalada de privilegios. Si ya se ha instalado una aplicación de este tipo, Verify Apps notificará al usuario e intentará eliminar dichas aplicaciones.
  • Según corresponda, Google ha actualizado las aplicaciones Hangouts y Messenger para que los medios no se pasen automáticamente a procesos vulnerables (como mediaserver).

Agradecimientos

Nos gustaría agradecer a estos investigadores por sus contribuciones:

  • Brennan Lautner: CVE-2015-3863
  • Chiachih Wu y Xuxian Jiang del equipo C0RE de Qihoo 360: CVE-2015-3868, CVE-2015-3869, CVE-2015-3862
  • Yajin Zhou, Lei Wu y Xuxian Jiang del equipo C0RE de Qihoo 360: CVE-2015-3865
  • Daniel Micay (daniel.micay@copperhead.co) de Copperhead Security: CVE-2015-3875
  • dragonltx del equipo de seguridad móvil de Alibaba: CVE-2015-6599
  • Ian Beer y Steven Vittitoe de Google Project Zero: CVE-2015-6604
  • Joaquín Rinaudo (@xeroxnir) e Iván Arce (@ 4Dgifts) del Programa STIC de la Fundación Dr. Manuel Sadosky, Buenos Aires Argentina: CVE-2015-3870
  • Josh Drake de Zimperium: CVE-2015-3876, CVE-2015-6602
  • Jordan Gruskovnjak de Exodus Intelligence (@jgrusko): CVE-2015-3867
  • Peter Pi de Trend Micro: CVE-2015-3872, CVE-2015-3871
  • Ping Li de Qihoo 360 Technology Co.Ltd: CVE-2015-3878
  • Siete Shen: CVE-2015-6600, CVE-2015-3847
  • Wangtao (neobyte) de Baidu X-Team: CVE-2015-6598
  • Deseo Wu de Trend Micro Inc. (@wish_wu): CVE-2015-3823
  • Michael Roland de JR-Center u'smile en la Universidad de Ciencias Aplicadas, Alta Austria / Hagenberg: CVE-2015-6606

También nos gustaría agradecer las contribuciones del equipo de seguridad de Chrome, el equipo de seguridad de Google, Project Zero y otras personas dentro de Google por informar varios problemas solucionados en este boletín.

Detalles de la vulnerabilidad de seguridad

En las secciones siguientes, proporcionamos detalles para cada una de las vulnerabilidades de seguridad que se aplican al nivel de parche 2015-10-01. Hay una descripción del problema, una justificación de la gravedad y una tabla con el CVE, el error asociado, la gravedad, las versiones afectadas y la fecha del informe. Donde esté disponible, hemos vinculado el cambio de AOSP que abordó el problema con la identificación del error. Cuando varios cambios se relacionan con un solo error, las referencias de AOSP adicionales están vinculadas a los números que siguen al ID del error.

Vulnerabilidades de ejecución remota de código en libstagefright

Existen vulnerabilidades en libstagefright que podrían permitir a un atacante, durante el procesamiento de datos y archivos multimedia de un archivo especialmente diseñado, causar corrupción de memoria y ejecución remota de código en el servicio mediaserver.

Estos problemas se califican como de gravedad crítica debido a la posibilidad de ejecución remota de código como un servicio privilegiado. Los componentes afectados tienen acceso a transmisiones de audio y video, así como acceso a privilegios a los que las aplicaciones de terceros normalmente no pueden acceder.

CVE Error (s) con enlaces AOSP Gravedad Versiones afectadas Fecha reportada
CVE-2015-3873 ANDROID-20674086 [ 2 , 3 , 4 ] Crítico 5.1 y menos Interna de Google
ANDROID-20674674 [ 2 , 3 , 4 ]
ANDROID-20718524
ANDROID-21048776
ANDROID-21443020
ANDROID-21814993
ANDROID-22008959
ANDROID-22077698
ANDROID-22388975
ANDROID-22845824
ANDROID-23016072
ANDROID-23247055
ANDROID-23248776
ANDROID-20721050 Crítico 5.0 y 5.1 Interna de Google
CVE-2015-3823 ANDROID-21335999 Crítico 5.1 y menos 20 de mayo de 2015
CVE-2015-6600 ANDROID-22882938 Crítico 5.1 y menos 31 de julio de 2015
CVE-2015-6601 ANDROID-22935234 Crítico 5.1 y menos 3 de agosto de 2015
CVE-2015-3869 ANDROID-23036083 Crítico 5.1 y menos 4 de agosto de 2015
CVE-2015-3870 ANDROID-22771132 Crítico 5.1 y menos 5 de agosto de 2015
CVE-2015-3871 ANDROID-23031033 Crítico 5.1 y menos 6 de agosto de 2015
CVE-2015-3868 ANDROID-23270724 Crítico 5.1 y menos 6 de agosto de 2015
CVE-2015-6604 ANDROID-23129786 Crítico 5.1 y menos 11 de agosto de 2015
CVE-2015-3867 ANDROID-23213430 Crítico 5.1 y menos 14 de ago. De 2015
CVE-2015-6603 ANDROID-23227354 Crítico 5.1 y menos 15 de agosto de 2015
CVE-2015-3876 ANDROID-23285192 Crítico 5.1 y menos 15 de agosto de 2015
CVE-2015-6598 ANDROID-23306638 Crítico 5.1 y menos 18 de agosto de 2015
CVE-2015-3872 ANDROID-23346388 Crítico 5.1 y menos 19 de agosto de 2015
CVE-2015-6599 ANDROID-23416608 Crítico 5.1 y menos 21 de agosto de 2015

Vulnerabilidades de ejecución remota de código en Sonivox

Existen vulnerabilidades en Sonivox que podrían permitir a un atacante, durante el procesamiento de archivos multimedia de un archivo especialmente diseñado, causar corrupción de memoria y ejecución remota de código en el servicio mediaserver. Este problema está clasificado como de gravedad crítica debido a la posibilidad de ejecución remota de código como servicio privilegiado. El componente afectado tiene acceso a transmisiones de audio y video, así como acceso a privilegios a los que las aplicaciones de terceros normalmente no pueden acceder.

CVE Error (s) con enlaces AOSP Gravedad Versiones afectadas Fecha reportada
CVE-2015-3874 ANDROID-23335715 Crítico 5.1 y por debajo Múltiple
ANDROID-23307276 [ 2 ]
ANDROID-23286323

Vulnerabilidades de ejecución remota de código en libutils

Existen vulnerabilidades en libutils, una biblioteca genérica, en el procesamiento de archivos de audio. Estas vulnerabilidades podrían permitir a un atacante, durante el procesamiento de un archivo especialmente diseñado, causar corrupción de memoria y ejecución remota de código en un servicio que utiliza esta biblioteca, como mediaserver.

La funcionalidad afectada se proporciona como una API de aplicación y hay múltiples aplicaciones que permiten acceder a ella con contenido remoto, sobre todo MMS y reproducción de medios del navegador. Este problema se considera de gravedad crítica debido a la posibilidad de ejecución remota de código en un servicio privilegiado. El componente afectado tiene acceso a transmisiones de audio y video, así como acceso a privilegios a los que las aplicaciones de terceros normalmente no pueden acceder.

CVE Error (s) con enlaces AOSP Gravedad Versiones afectadas Fecha reportada
CVE-2015-3875 ANDROID-22952485 Crítico 5.1 y menos 15 de agosto de 2015
CVE-2015-6602 ANDROID-23290056 [ 2 ] Crítico 5.1 y menos 15 de agosto de 2015

Vulnerabilidad de ejecución remota de código en Skia

Una vulnerabilidad en el componente Skia puede aprovecharse al procesar un archivo multimedia especialmente diseñado, lo que podría provocar daños en la memoria y ejecución remota de código en un proceso privilegiado. Este problema se clasifica como de gravedad crítica debido a la posibilidad de ejecución remota de código a través de múltiples métodos de ataque como correo electrónico, navegación web y MMS al procesar archivos multimedia.

CVE Error (s) con enlaces AOSP Gravedad Versiones afectadas Fecha reportada
CVE-2015-3877 ANDROID-20723696 Crítico 5.1 y por debajo 30 de julio de 2015

Vulnerabilidades de ejecución remota de código en libFLAC

Existe una vulnerabilidad en libFLAC en el procesamiento de archivos multimedia. Estas vulnerabilidades podrían permitir a un atacante, durante el procesamiento de un archivo especialmente diseñado, causar corrupción de memoria y ejecución remota de código.

La funcionalidad afectada se proporciona como una API de aplicación y hay múltiples aplicaciones que permiten acceder a ella con contenido remoto, como la reproducción de medios en el navegador. Este problema está clasificado como de gravedad crítica debido a la posibilidad de ejecución remota de código en un servicio privilegiado. El componente afectado tiene acceso a transmisiones de audio y video, así como acceso a privilegios a los que las aplicaciones de terceros normalmente no pueden acceder.

CVE Error (s) con enlaces AOSP Gravedad Versiones afectadas Fecha reportada
CVE-2014-9028 ANDROID-18872897 [ 2 ] Crítico 5.1 y menos 14 de noviembre de 2014

Elevación de la vulnerabilidad de privilegios en KeyStore

Una aplicación malintencionada puede aprovechar una vulnerabilidad de elevación de privilegios en el componente KeyStore al llamar a las API de KeyStore. Esta aplicación podría dañar la memoria y ejecutar código arbitrario en el contexto de KeyStore. Este problema se clasifica como de gravedad alta porque se puede utilizar para acceder a privilegios que no son directamente accesibles para una aplicación de terceros.

CVE Error (s) con enlaces AOSP Gravedad Versiones afectadas Fecha reportada
CVE-2015-3863 ANDROID-22802399 Alto 5.1 y por debajo 28 de julio de 2015

Elevación de la vulnerabilidad de privilegios en el marco del reproductor multimedia

Una vulnerabilidad de elevación de privilegios en el componente del marco del reproductor multimedia podría permitir que una aplicación malintencionada ejecute código arbitrario dentro del contexto de mediaserver. Este problema se clasifica como de gravedad alta porque permite que una aplicación malintencionada acceda a privilegios a los que no puede acceder una aplicación de terceros.

CVE Error (s) con enlaces AOSP Gravedad Versiones afectadas Fecha reportada
CVE-2015-3879 ANDROID-23223325 [2] * Alto 5.1 y menos 14 de agosto de 2015

* Un segundo cambio para este problema no está en AOSP. La actualización está contenida en los últimos controladores binarios para dispositivos Nexus disponibles en el sitio de desarrolladores de Google .

Elevación de la vulnerabilidad de privilegios en Android Runtime

Una vulnerabilidad de elevación de privilegios en Android Runtime puede permitir que una aplicación maliciosa local ejecute código arbitrario dentro del contexto de una aplicación de sistema elevado. Este problema se clasifica como de gravedad alta porque se puede usar para obtener capacidades elevadas, como privilegios de permisos Signature o SignatureOrSystem , que no son accesibles para una aplicación de terceros.

CVE Error (s) con enlaces AOSP Gravedad Versiones afectadas Fecha reportada
CVE-2015-3865 ANDROID-23050463 [ 2 ] Alto 5.1 y menos 8 de agosto de 2015

Elevación de vulnerabilidades de privilegios en Mediaserver

Existen múltiples vulnerabilidades en mediaserver que pueden permitir que una aplicación maliciosa local ejecute código arbitrario dentro del contexto de un servicio nativo privilegiado. Este problema se clasifica como de gravedad alta porque se puede utilizar para acceder a privilegios que no son directamente accesibles para una aplicación de terceros.

CVE Error (s) con enlaces AOSP Gravedad Versiones afectadas Fecha reportada
CVE-2015-6596 ANDROID-20731946 Alto 5.1 y menos Múltiple
ANDROID-20719651 *
ANDROID-19573085 Alto 5,0 - 6,0 Interna de Google

* El parche para este problema no está en AOSP. La actualización está contenida en los últimos controladores binarios para dispositivos Nexus disponibles en el sitio de desarrolladores de Google .

Elevación de la vulnerabilidad de privilegios en el kit de evaluación de elementos seguros

Una vulnerabilidad en el complemento SEEK (Secure Element Evaluation Kit, también conocido como SmartCard API) podría permitir que una aplicación obtenga permisos elevados sin solicitarlos. Este problema se clasifica como de gravedad alta porque se puede usar para obtener capacidades elevadas, como privilegios de permisos Signature o SignatureOrSystem , que no son accesibles para aplicaciones de terceros.

CVE Error (s) con enlaces AOSP Gravedad Versiones afectadas Fecha reportada
CVE-2015-6606 ANDROID-22301786 * Alto 5.1 y menos 30 de junio de 2015

* La actualización que aborda este problema se encuentra en el sitio SEEK para Android .

Elevación de la vulnerabilidad de privilegios en la proyección de medios

Una vulnerabilidad en el componente Media Projection puede permitir que los datos del usuario se revelen en forma de instantáneas de pantalla. El problema es el resultado de que el sistema operativo permite nombres de aplicaciones demasiado largos. El uso de estos nombres largos por una aplicación maliciosa local puede evitar que el usuario vea una advertencia sobre la grabación de pantalla. Este problema se clasifica como de gravedad moderada porque se puede utilizar para obtener permisos elevados de forma incorrecta.

CVE Error (s) con enlaces AOSP Gravedad Versiones afectadas Fecha reportada
CVE-2015-3878 ANDROID-23345192 Moderar 5,0 - 6,0 18 de agosto de 2015

Elevación de la vulnerabilidad de privilegios en Bluetooth

Una vulnerabilidad en el componente Bluetooth de Android podría permitir que una aplicación elimine los mensajes SMS almacenados. Este problema está clasificado como de gravedad moderada porque se puede usar para obtener permisos elevados de manera incorrecta.

CVE Error (s) con enlaces AOSP Gravedad Versiones afectadas Fecha reportada
CVE-2015-3847 ANDROID-22343270 Moderar 5.1 y menos 8 de julio de 2015

Elevación de vulnerabilidades de privilegios en SQLite

Se descubrieron varias vulnerabilidades en el motor de análisis de SQLite. Estas vulnerabilidades pueden ser explotadas por una aplicación local que puede hacer que otra aplicación o servicio ejecute consultas SQL arbitrarias. La explotación exitosa podría resultar en la ejecución de código arbitrario en el contexto de la aplicación de destino.

Se cargó una corrección en AOSP master el 8 de abril de 2015, actualizando la versión de SQLite a 3.8.9: https://android-review.googlesource.com/#/c/145961/

Este boletín contiene parches para las versiones de SQLite en Android 4.4 (SQLite 3.7.11) y Android 5.0 y 5.1 (SQLite 3.8.6).

CVE Error (s) con enlaces AOSP Gravedad Versiones afectadas Fecha reportada
CVE-2015-6607 ANDROID-20099586 Moderar 5.1 y por debajo 7 de abril de 2015
Conocido públicamente

Vulnerabilidades de denegación de servicio en Mediaserver

Existen múltiples vulnerabilidades en mediaserver que pueden causar una Denegación de Servicio al bloquear el proceso de mediaserver. Estos problemas se clasifican como de gravedad baja porque el efecto es experimentado por una caída del servidor de medios que resulta en una denegación de servicio temporal local.

CVE Error (s) con enlaces AOSP Gravedad Versiones afectadas Fecha reportada
CVE-2015-6605 ANDROID-20915134 Bajo 5.1 y menos Interna de Google
ANDROID-23142203
ANDROID-22278703 Bajo 5,0 - 6,0 Interna de Google
CVE-2015-3862 ANDROID-22954006 Bajo 5.1 y por debajo 2 de agosto de 2015

Revisiones

  • 05 de octubre de 2015: Publicación del boletín.
  • 07 de octubre de 2015: Boletín actualizado con referencias AOSP. Se aclararon las referencias de errores para CVE-2014-9028.
  • 12 de octubre de 2015: Reconocimientos actualizados para CVE-2015-3868, CVE-2015-3869, CVE-2015-3865, CVE-2015-3862.
  • 22 de enero de 2016: Reconocimientos actualizados para CVE-2015-6606.
  • 28 de abril de 2016: Se agregó CVE-2015-6603 y se corrigió el error tipográfico con CVE-2014-9028.