Nexus のセキュリティに関する公開情報 - 2015 年 11 月

2015 年 11 月 2 日公開

Android のセキュリティに関する月例情報公開の一環として、Nexus 端末に対するセキュリティ アップデートを無線(OTA)アップデートで配信しました。Nexus ファームウェア イメージも Google デベロッパー サイトにリリースされています。LMY48X 以降のビルド、および Android Marshmallow(セキュリティ パッチ レベルが 2015 年 11 月 1 日以降)で下記の問題に対処しています。詳しくは、一般的な質問と回答をご覧ください。

パートナーには下記の問題について 2015 年 10 月 5 日までに通知済みです。下記の問題に対するソースコードのパッチは、今後 48 時間にわたって Android オープンソース プロジェクト(AOSP)レポジトリにリリースされます。AOSP リンクが利用可能になり次第、この公開情報を改訂します。

下記の問題のうち最も重大度の高いものは、多様な方法(メール、ウェブの閲覧、MMS など)により、攻撃対象の端末でメディア ファイルを処理する際にリモートでのコード実行が可能になるおそれのある重大なセキュリティの脆弱性です。重大度の評価は、攻撃対象の端末でその脆弱性が悪用された場合の影響に基づくもので、プラットフォームやサービスでのリスク軽減策が開発目的または不正な回避により無効となっていることを前提としています。

この新たに報告された問題によって実際のユーザー端末が不正使用された報告はありません。Android セキュリティ プラットフォームの保護と SafetyNet のようなサービスの保護について詳しくは、リスクの軽減をご覧ください。こうした保護は、Android プラットフォームのセキュリティを改善します。ご利用の端末で上記の更新を行うことをすべてのユーザーにおすすめします。

リスクの軽減

ここでは、Android セキュリティ プラットフォームの保護と SafetyNet のようなサービスの保護によるリスクの軽減について概説します。こうした機能は、Android でセキュリティの脆弱性が悪用される可能性を減らします。

  • Android プラットフォームの最新版での機能強化により、Android 上の多くの問題の悪用が困難になります。できる限り Android の最新版に更新することをすべてのユーザーにおすすめします。
  • Android セキュリティ チームはアプリの確認と SafetyNet を使って不正使用を積極的に監視しています。こうした機能は、有害なおそれのあるアプリがインストールされる前に警告します。端末のルート権限を取得するツールは Google Play では禁止されています。Google Play 以外からアプリをインストールするユーザーを保護するため、アプリの確認はデフォルトで有効であり、ルート権限を取得する既知のアプリについてユーザーに警告します。アプリの確認は、権限昇格の脆弱性を悪用する既知の悪意のあるアプリのインストールを識別してブロックしようと試みます。こうしたアプリが既にインストールされている場合は、ユーザーに通知し、そのアプリの削除を試みます。
  • Google ハングアウトやメッセンジャー アプリは状況を判断し、メディアサーバーなどのプロセスに、自動的にメディアを渡すことはありません。

謝辞

調査にご協力くださった下記の皆様方に感謝いたします(敬称略)。

  • Google Chrome セキュリティ チームの Abhishek Arya、Oliver Chang、Martin Barbella: CVE-2015-6608
  • Copperhead Security の Daniel Micay(daniel.micay@copperhead.co): CVE-2015-6609
  • System Security Lab、KAIST の Dongkwan Kim(dkay@kaist.ac.kr): CVE-2015-6614
  • System Security Lab、KAIST の Hongil Kim(hongilk@kaist.ac.kr): CVE-2015-6614
  • Trend Micro の Jack Tang(@jacktang310): CVE-2015-6611
  • Trend Micro の Peter Pi: CVE-2015-6611
  • Google Project Zero の Natalie Silvanovich: CVE-2015-6608
  • KeenTeam(@K33nTeam、http://k33nteam.org/)の Qidan He(@flanker_hqd)、Wen Xu(@antlr7): CVE-2015-6612
  • Qihoo 360 Technology Co.Ltd の Guang Gong(龚广)(@oldfresher、higongguang@gmail.com): CVE-2015-6612
  • Trend Micro の Seven Shen: CVE-2015-6610

セキュリティの脆弱性の詳細

パッチレベル 2015-11-01 に該当するセキュリティ脆弱性の各項目について、下記に詳細を説明します。問題の内容、その重大度の根拠を説明し、CVE、関連するバグ、重大度、影響のあるバージョン、報告日を表にまとめています。該当する場合は、バグ ID の欄に、その問題に対処した AOSP での変更へのリンクがあります。複数の変更が同じバグに関係する場合は、バグ ID の後に続く番号で、追加の AOSP リファレンスへのリンクを示します。

メディアサーバーでのリモートコード実行の脆弱性

特別に細工されたメディア ファイルやデータのメディアサーバーでの処理中に、攻撃者がメディアサーバーの脆弱性を悪用して、メモリ破壊やリモートコード実行を行うおそれがあります。

影響を受ける機能はオペレーティング システムの中核部分として提供されており、複数のアプリにおいて、リモート コンテンツ(特に MMS やブラウザでのメディアの再生)によってこの脆弱性が攻撃されるおそれがあります。

メディアサーバーのサービスでリモートコード実行が可能になるため、この問題は重大と判断されています。メディアサーバーのサービスは音声や動画のストリームにアクセスできるほか、通常はサードパーティ製アプリがアクセスできないような権限にアクセスできます。

CVE バグと AOSP リンク 重大度 影響のあるバージョン 報告日
CVE-2015-6608 ANDROID-19779574 重大 5.0、5.1、6.0 Google 社内
ANDROID-23680780
ANDROID-23876444
ANDROID-23881715 重大 4.4、5.0、5.1、6.0 Google 社内
ANDROID-14388161 重大 4.4、5.1 Google 社内
ANDROID-23658148 重大 5.0、5.1、6.0 Google 社内

libutils でのリモートコード実行の脆弱性

汎用ライブラリである libutils の脆弱性が、音声ファイルの処理中に悪用されるおそれがあります。特別に細工したファイルが処理される間に、攻撃者が脆弱性をメモリ破壊やリモートコード実行に悪用できるおそれがあります。

影響を受ける機能は API として提供されており、複数のアプリにおいて、リモート コンテンツ(特に MMS やブラウザでのメディアの再生)によってこの脆弱性が攻撃されるおそれがあります。特権サービスでリモートコード実行が可能になるため、この問題は重大と判断されています。攻撃を受けたコンポーネントは音声や動画のストリームにアクセスできる他、通常はサードパーティのアプリがアクセスできない権限にアクセスできます。

CVE バグと AOSP リンク 重大度 影響のあるバージョン 報告日
CVE-2015-6609 ANDROID-22953624 [2] 重大 6.0 以下 2015 年 8 月 3 日

メディアサーバーでの情報開示の脆弱性

メディアサーバーに情報開示の脆弱性があり、攻撃者によるプラットフォームの悪用を困難にするよう設定されたセキュリティ対策が回避できるおそれがあります。

CVE バグと AOSP リンク 重大度 影響のあるバージョン 報告日
CVE-2015-6611 ANDROID-23905951 [2] [3] 6.0 以下 2015 年 9 月 7 日
ANDROID-23912202*
ANDROID-23953967*
ANDROID-23696300 6.0 以下 2015 年 8 月 31 日
ANDROID-23600291 6.0 以下 2015 年 8 月 26 日
ANDROID-23756261 [2] 6.0 以下 2015 年 8 月 26 日
ANDROID-23540907 [2] 5.1 以下 2015 年 8 月 25 日
ANDROID-23541506 6.0 以下 2015 年 8 月 25 日
ANDROID-23284974*
ANDROID-23542351*
ANDROID-23542352*
ANDROID-23515142 5.1 以下 2015 年 8 月 19 日

* このバグへのパッチは別途提供される AOSP リンクに含まれます。

libstagefright での権限昇格の脆弱性

libstagefright に権限昇格の脆弱性があり、メディアサーバーのサービス中に悪意のあるローカルアプリがメモリの破壊や勝手なコードの実行を行えるおそれがあります。この問題は、通常は「重大」と判断されますが、リモートで悪用される可能性が低いため、重大度は「高」と判断されています。

CVE バグと AOSP リンク 重大度 影響のあるバージョン 報告日
CVE-2015-6610 ANDROID-23707088 [2] 6.0 以下 2015 年 8 月 19 日

libmedia での権限昇格の脆弱性

libmedia に権限昇格の脆弱性があり、メディアサーバーのサービス中に悪意のあるローカルアプリが勝手なコードを実行できるおそれがあります。サードパーティのアプリが直接はアクセスできない権限にアクセスできるようになるので、この問題の重大度は「高」と判断されています。

CVE バグと AOSP リンク 重大度 影響のあるバージョン 報告日
CVE-2015-6612 ANDROID-23540426 6.0 以下 2015 年 8 月 23 日

Bluetooth での権限昇格の脆弱性

Bluetooth に脆弱性があり、リッスン中の端末のデバッグポートにローカルアプリがコマンドを送信できるおそれがあります。サードパーティ製アプリによるアクセスが不可能となっている signature 権限や signatureOrSystem 権限などへの昇格にこのような脆弱性が利用されるおそれがあるため、この問題の重大度は「高」と判断されています。

CVE バグと AOSP リンク 重大度 影響のあるバージョン 報告日
CVE-2015-6613 ANDROID-24371736 6.0 Google 社内

電話機能での権限昇格の脆弱性

電話コンポーネントに脆弱性があり、データ料金の請求に影響を及ぼす可能性のある不正なデータを悪意のあるローカルアプリが制限付きネットワーク インターフェースに渡せるおそれがあります。端末への着信の阻止や、攻撃者による着信音のミュート設定の制御を可能にするおそれもあります。「危険度の高い」権限を不正取得できるようになるので、この問題の重大度は「中」と判断されています。

CVE バグと AOSP リンク 重大度 影響のあるバージョン 報告日
CVE-2015-6614 ANDROID-21900139 [2] [3] 5.0、5.1 2015 年 6 月 8 日

一般的な質問と回答

上記の公開情報に対する一般的な質問とその回答について、以下で説明します。

1. 上記の問題に対処するように端末が更新されているかどうかを確かめるには、どうすればよいですか?

LMY48X 以降のビルド、および Android Marshmallow(セキュリティ パッチ レベルが 2015 年 11 月 1 日以降)で上記の問題に対処しています。セキュリティ パッチ レベルを確認する方法について詳しくは、Nexus のドキュメントをご覧ください。このアップデートを含めたデバイス メーカーは、パッチ文字列のレベルを [ro.build.version.security_patch]:[2015-11-01] に設定する必要があります。

改訂

  • 2015 年 11 月 2 日: 公開