تلتزم Google بتعزيز المساواة العرقية للمجتمعات السوداء. أنظر كيف.
ترجمت واجهة Cloud Translation API‏ هذه الصفحة.
Switch to English

نشرة أمان Nexus - كانون الأول (ديسمبر) 2015

تم النشر في 7 كانون الأول (ديسمبر) 2015 | تم التحديث في 7 مارس 2016

لقد أصدرنا تحديثًا أمنيًا لأجهزة Nexus من خلال تحديث عبر الهواء (OTA) كجزء من عملية الإصدار الشهري لنشرة أمان Android. تم أيضًا إصدار صور Nexus للبرامج الثابتة إلى موقع Google Developer . يبني LMY48Z أو أحدث و Android 6.0 مع مستوى تصحيح الأمان بتاريخ 1 ديسمبر 2015 أو أحدث لمعالجة هذه المشاكل. راجع قسم الأسئلة والأجوبة الشائعة لمزيد من التفاصيل.

تم إبلاغ الشركاء بهذه التحديثات وقدمت لهم تحديثات في 2 نوفمبر 2015 أو قبل ذلك. حيثما أمكن ، تم إصدار تصحيحات شفرة المصدر لهذه المشكلات إلى مستودع Android Open Source Project (AOSP).

إن أكثر هذه المشكلات خطورة هي الثغرة الأمنية الحرجة التي يمكن أن تتيح تنفيذ التعليمات البرمجية عن بُعد على جهاز متأثر من خلال طرق متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط. يعتمد تقييم الخطورة على التأثير الذي قد يكون لاستغلال الثغرة الأمنية على الجهاز المتأثر ، على افتراض تعطيل النظام الأساسي وعمليات تخفيف الخدمة لأغراض التطوير أو في حالة تجاوزها بنجاح.

ليس لدينا تقارير عن استغلال العملاء النشط لهذه المشكلات التي تم الإبلاغ عنها حديثًا. ارجع إلى قسم التخفيفات للحصول على تفاصيل حول حماية نظام Android الأساسي وحماية الخدمة مثل SafetyNet ، والتي تعمل على تحسين أمان نظام Android الأساسي. نشجع جميع العملاء على قبول هذه التحديثات على أجهزتهم.

التخفيف

هذا ملخص لعمليات التخفيف التي يوفرها نظام أمان Android وحماية الخدمة مثل SafetyNet. تقلل هذه القدرات من احتمالية استغلال الثغرات الأمنية بنجاح على Android.

  • أصبح الاستغلال للعديد من المشكلات على Android أكثر صعوبة من خلال التحسينات في الإصدارات الأحدث من نظام Android الأساسي. نشجع جميع المستخدمين على التحديث إلى أحدث إصدار من Android حيثما أمكن.
  • يراقب فريق Android Security بنشاط إساءة الاستخدام مع Verify Apps و SafetyNet مما سيحذر من التطبيقات الضارة المحتملة على وشك التثبيت. أدوات تأصيل الجهاز محظورة في Google Play. لحماية المستخدمين الذين يقومون بتثبيت التطبيقات من خارج Google Play ، يتم تمكين التحقق من التطبيقات بشكل افتراضي وسيحذر المستخدمين من تطبيقات التجذير المعروفة. يحاول تطبيق "التحقق من التطبيقات" تحديد وحظر تثبيت التطبيقات الضارة المعروفة التي تستغل ثغرة تصعيد الامتيازات. إذا تم تثبيت مثل هذا التطبيق بالفعل ، ستقوم Verify Apps بإبلاغ المستخدم ومحاولة إزالة أي من هذه التطبيقات.
  • حسب الاقتضاء ، لا تقوم تطبيقات Google Hangouts و Messenger بتمرير الوسائط تلقائيًا إلى عمليات مثل mediaserver.

شكر وتقدير

نود أن نشكر هؤلاء الباحثين على مساهماتهم:

  • Abhishek Arya و Oliver Chang و Martin Barbella من فريق Google Chrome Security: CVE-2015-6616 و CVE-2015-6617 و CVE-2015-6623 و CVE-2015-6626 و CVE-2015-6619 و CVE-2015-6633 ، CVE-2015-6634
  • Flanker ( flanker_hqd ) من KeenTeam ( @ K33nTeam ): CVE-2015-6620
  • جوانج جونج (龚 广) ( oldfresher ، higongguang@gmail.com) من Qihoo 360 Technology Co.Ltd : CVE-2015-6626
  • مارك كارتر ( hanpingchinese ) من EmberMitre Ltd: CVE-2015-6630
  • ميخا بيدنارسكي ( https://github.com/michalbednarski ): CVE-2015-6621
  • ناتالي سيلفانوفيتش من Google Project Zero: CVE-2015-6616
  • بيتر بي من Trend Micro: CVE-2015-6616 ، CVE-2015-6628
  • Qidan He ( flanker_hqd ) وماركو جراسي ( marcograss ) من KeenTeam ( @ K33nTeam ): CVE-2015-6622
  • Tzu-Yin (Nina) Tai: CVE-2015-6627
  • Joaquín Rinaudo ( xeroxnir ) من Programa STIC في Fundación Dr. Manuel Sadosky، Buenos Aires، Argentina: CVE-2015-6631
  • Wangtao (neobyte) من Baidu X-Team: CVE-2015-6626

تفاصيل ثغرة أمنية

في الأقسام أدناه ، نقدم تفاصيل لكل من الثغرات الأمنية التي تنطبق على مستوى التصحيح 2015-12-01. يوجد وصف للمشكلة ، ومبرر الشدة ، وجدول مع CVE ، والخطأ المرتبط ، والخطورة ، والإصدارات المحدثة ، والتاريخ المبلغ عنه. عندما يكون متاحًا ، سنربط تغيير AOSP الذي عالج المشكلة بمعرف الخطأ. عندما تتعلق تغييرات متعددة بخلل واحد ، يتم ربط مراجع AOSP إضافية بأرقام تتبع معرف الخطأ.

نقاط الضعف تنفيذ التعليمات البرمجية عن بعد في Mediaserver

أثناء ملف الوسائط ومعالجة البيانات لملف تم إعداده خصيصًا ، يمكن أن تسمح نقاط الضعف في mediaserver للمهاجمين بإحداث تلف في الذاكرة وتنفيذ التعليمات البرمجية عن بُعد كعملية mediaserver.

يتم توفير الوظائف المتأثرة كجزء أساسي من نظام التشغيل ، وهناك العديد من التطبيقات التي تسمح بالوصول إليها عن طريق المحتوى البعيد ، وعلى الأخص MMS وتشغيل المتصفح للوسائط.

تم تصنيف هذه المشكلة على أنها شدة حرجة بسبب إمكانية تنفيذ التعليمات البرمجية عن بُعد في سياق خدمة mediaserver. تتمتع خدمة mediaserver بحق الوصول إلى تدفقات الصوت والفيديو بالإضافة إلى الوصول إلى الامتيازات التي لا تستطيع تطبيقات الجهات الخارجية الوصول إليها عادةً.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6616 ANDROID-24630158 حرج 6.0 وما دون جوجل الداخلي
ANDROID-23882800 حرج 6.0 وما دون جوجل الداخلي
ANDROID-17769851 حرج 5.1 وأدناه جوجل الداخلي
ANDROID-24441553 حرج 6.0 وما دون 22 سبتمبر 2015
ANDROID-24157524 حرج 6.0 08 سبتمبر 2015

ضعف تنفيذ التعليمات البرمجية عن بعد في Skia

يمكن الاستفادة من الثغرة الأمنية في مكون Skia عند معالجة ملف وسائط مصنوع خصيصًا ، مما قد يؤدي إلى تلف الذاكرة وتنفيذ التعليمات البرمجية عن بُعد في عملية مميزة. تم تصنيف هذه المشكلة على أنها شدة حرجة بسبب إمكانية تنفيذ التعليمات البرمجية عن بُعد من خلال طرق هجوم متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6617 ANDROID-23648740 حرج 6.0 وما دون جوجل الداخلية

رفع الامتياز في نواة

يمكن أن يؤدي رفع مستوى ثغرة امتياز في نواة النظام إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق جذر الجهاز. تم تصنيف هذه المشكلة على أنها شدة حرجة نظرًا لاحتمال حدوث اختراق وسط جهاز دائم محلي ولا يمكن إصلاح الجهاز إلا من خلال إعادة تحديث نظام التشغيل.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6619 ANDROID-23520714 حرج 6.0 وما دون 7 يونيو 2015

نقاط الضعف تنفيذ التعليمات البرمجية عن بعد في برنامج تشغيل العرض

هناك ثغرات في برامج تشغيل العرض قد تؤدي ، عند معالجة ملف وسائط ، إلى تلف الذاكرة وتنفيذ تعليمات تعسفية محتملة في سياق برنامج تشغيل وضع المستخدم الذي يتم تحميله بواسطة mediaserver. تم تصنيف هذه المشكلة على أنها شدة حرجة بسبب إمكانية تنفيذ التعليمات البرمجية عن بُعد من خلال طرق هجوم متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6633 ANDROID-23987307 * حرج 6.0 وما دون جوجل الداخلي
CVE-2015-6634 ANDROID-24163261 [ 2 ] [ 3 ] [ 4 ] حرج 5.1 وأدناه جوجل الداخلي

* التصحيح الخاص بهذه المشكلة ليس في AOSP. تم تضمين التحديث في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة على موقع Google Developer .

عدم حصانة تنفيذ التعليمات البرمجية عن بعد في Bluetooth

قد تسمح الثغرة الأمنية في مكون Bluetooth في Android بتنفيذ التعليمات البرمجية عن بُعد. ومع ذلك ، يلزم اتخاذ خطوات يدوية متعددة قبل حدوث ذلك. للقيام بذلك ، سيتطلب جهازًا مقترنًا بنجاح ، بعد تمكين ملف تعريف شبكة المنطقة الشخصية (PAN) (على سبيل المثال باستخدام ربط Bluetooth) وإقران الجهاز. سيكون تنفيذ الرمز البعيد في امتياز خدمة Bluetooth. يكون الجهاز عرضة لهذه المشكلة فقط من جهاز مقترن بنجاح أثناء وجوده على مقربة محلية.

تم تصنيف هذه المشكلة على أنها عالية الخطورة لأن المهاجم يمكنه تنفيذ التعليمات البرمجية التعسفية عن بُعد فقط بعد اتخاذ خطوات يدوية متعددة ومن مهاجم قريب محلي تم السماح له من قبل بإقران جهاز.

CVE الأخطاء خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6618 اندرويد 24595992 * عالي 4.4 و 5.0 و 5.1 28 سبتمبر 2015

* التصحيح الخاص بهذه المشكلة ليس في AOSP. تم تضمين التحديث في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة على موقع Google Developer .

رفع ثغرات الامتياز في libstagefright

هناك العديد من نقاط الضعف في libstagefright والتي يمكن أن تمكن تطبيقًا ضارًا محليًا من تنفيذ تعليمات برمجية عشوائية في سياق خدمة mediaserver. تم تصنيف هذه المسألة العليا شدة لأنها يمكن أن تستخدم للحصول على قدرات مرتفعة، مثل التوقيع أو SignatureOrSystem أذونات الامتيازات، التي لا يمكن الوصول إلى تطبيقات الطرف الثالث.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6620 ANDROID-24123723 عالي 6.0 وما دون 10 سبتمبر 2015
ANDROID-24445127 عالي 6.0 وما دون 2 سبتمبر 2015

رفع ثغرة الامتياز في SystemUI

عند ضبط منبه باستخدام تطبيق الساعة ، يمكن أن تسمح الثغرة الأمنية في مكون SystemUI للتطبيق بتنفيذ مهمة على مستوى امتياز مرتفع. تم تصنيف هذه المسألة العليا شدة لأنها يمكن أن تستخدم للحصول على قدرات مرتفعة، مثل التوقيع أو SignatureOrSystem أذونات الامتيازات، التي لا يمكن الوصول إلى تطبيقات الطرف الثالث.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6621 ANDROID-23909438 عالي 5.0 و 5.1 و 6.0 7 سبتمبر 2015

الضعف في الكشف عن المعلومات في مكتبة الأطر الأصلية

يمكن أن تسمح ثغرة الكشف عن المعلومات في Android Native Frameworks Library بتجاوز الإجراءات الأمنية المعمول بها لزيادة صعوبة المهاجمين في استغلال النظام الأساسي. ويتم تصنيف هذه القضايا العليا شدة لأنها يمكن أن تستخدم أيضا لاكتساب قدرات مرتفعة، مثل التوقيع أو SignatureOrSystem أذونات الامتيازات، التي لا يمكن الوصول إلى تطبيقات الطرف الثالث.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6622 ANDROID-23905002 عالي 6.0 وما دون 7 سبتمبر 2015

زيادة ثغرة الامتياز في شبكة Wi-Fi

يمكن أن يؤدي رفع مستوى ثغرة امتياز في Wi-Fi إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق خدمة نظام مرتفعة. تم تصنيف هذه المسألة العليا شدة لأنها يمكن أن تستخدم للحصول على قدرات مرتفعة، مثل التوقيع أو SignatureOrSystem أذونات الامتيازات، التي لا يمكن الوصول إلى تطبيق طرف ثالث.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6623 ANDROID-24872703 عالي 6.0 جوجل الداخلي

رفع ثغرة الامتياز في خادم النظام

يمكن أن يؤدي رفع مستوى ثغرة امتياز في مكون System Server إلى تمكين تطبيق ضار محلي من الوصول إلى المعلومات المتعلقة بالخدمة. تم تصنيف هذه المسألة العليا شدة لأنها يمكن أن تستخدم للحصول على قدرات مرتفعة، مثل التوقيع أو SignatureOrSystem أذونات الامتيازات، التي لا يمكن الوصول إلى تطبيقات الطرف الثالث.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6624 ANDROID-23999740 عالي 6.0 جوجل الداخلية

ثغرات الإفصاح عن المعلومات في libstagfright

هناك نقاط ضعف في الكشف عن المعلومات في libstagfright أنه أثناء الاتصال مع mediaserver ، يمكن أن يسمح بتجاوز الإجراءات الأمنية المعمول بها لزيادة صعوبة المهاجمين الذين يستغلون المنصة. ويتم تصنيف هذه القضايا العليا شدة لأنها يمكن أن تستخدم أيضا لاكتساب قدرات مرتفعة، مثل التوقيع أو SignatureOrSystem أذونات الامتيازات، التي لا يمكن الوصول إلى تطبيقات الطرف الثالث.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6632 ANDROID-24346430 عالي 6.0 وما دون جوجل الداخلي
CVE-2015-6626 ANDROID-24310423 عالي 6.0 وما دون 2 سبتمبر 2015
CVE-2015-6631 ANDROID-24623447 عالي 6.0 وما دون 21 أغسطس 2015

ضعف إفشاء المعلومات في الصوت

يمكن استغلال ثغرة في مكون الصوت أثناء معالجة ملف الصوت. قد تسمح مشكلة عدم الحصانة هذه لتطبيق ضار محلي ، أثناء معالجة ملف معد خصيصًا ، بالتسبب في الكشف عن المعلومات. تم تصنيف هذه المسألة العليا شدة لأنها يمكن أن تستخدم للحصول على قدرات مرتفعة، مثل التوقيع أو SignatureOrSystem أذونات الامتيازات، التي لا يمكن الوصول إلى تطبيقات الطرف الثالث.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6627 ANDROID-24211743 عالي 6.0 وما دون جوجل الداخلي

ضعف الكشف عن المعلومات في إطار عمل الوسائط

هناك ثغرة في الكشف عن المعلومات في Media Framework والتي أثناء الاتصال مع mediaserver ، يمكن أن تسمح بتجاوز الإجراءات الأمنية المعمول بها لزيادة صعوبة المهاجمين الذين يستغلون المنصة. تم تصنيف هذه المسألة العليا شدة لأنه يمكن أن تستخدم أيضا لاكتساب قدرات مرتفعة، مثل التوقيع أو SignatureOrSystem أذونات الامتيازات، التي لا يمكن الوصول إلى تطبيقات الطرف الثالث.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6628 ANDROID-24074485 عالي 6.0 وما دون 8 سبتمبر 2015

ضعف إفشاء المعلومات في شبكة Wi-Fi

قد تسمح الثغرة الأمنية في مكون Wi-Fi للمهاجم بالتسبب في كشف خدمة Wi-Fi عن المعلومات. تم تصنيف هذه المسألة العليا شدة لأنها يمكن أن تستخدم للحصول على قدرات مرتفعة، مثل التوقيع أو SignatureOrSystem أذونات الامتيازات، التي لا يمكن الوصول إلى تطبيقات الطرف الثالث.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6629 ANDROID-22667667 عالي 5.1 و 5.0 جوجل الداخلي

رفع ثغرة الامتياز في خادم النظام

يمكن أن يؤدي رفع مستوى ثغرة امتياز في خادم النظام إلى تمكين تطبيق ضار محلي من الوصول إلى المعلومات المتعلقة بخدمة Wi-Fi. تم تصنيف هذه المشكلة على أنها متوسطة الخطورة لأنه يمكن استخدامها للحصول على أذونات " خطيرة " بشكل غير صحيح.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6625 ANDROID-23936840 معتدل 6.0 جوجل الداخلي

عدم حصانة الكشف عن المعلومات في SystemUI

يمكن أن تؤدي ثغرة الكشف عن المعلومات في SystemUI إلى تمكين تطبيق ضار محلي من الوصول إلى لقطات الشاشة. تم تصنيف هذه المشكلة على أنها متوسطة الخطورة لأنه يمكن استخدامها للحصول على أذونات " خطيرة " بشكل غير صحيح.

CVE خطأ (أخطاء) بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2015-6630 ANDROID-19121797 معتدل 5.0 و 5.1 و 6.0 22 يناير 2015

أسئلة وأجوبة شائعة

سيراجع هذا القسم إجابات الأسئلة الشائعة التي قد تحدث بعد قراءة هذه النشرة.

1. كيف يمكنني تحديد ما إذا تم تحديث جهازي لمعالجة هذه المشكلات؟

يبني LMY48Z أو أحدث و Android 6.0 مع مستوى تصحيح الأمان بتاريخ 1 ديسمبر 2015 أو أحدث لمعالجة هذه المشاكل. راجع وثائق Nexus للحصول على إرشادات حول كيفية التحقق من مستوى تصحيح الأمان. يجب على الشركات المصنعة للأجهزة التي تتضمن هذه التحديثات تعيين مستوى سلسلة التصحيح على: [ro.build.version.security_patch]: [2015-12-01]

التنقيحات

  • 07 ديسمبر 2015: تم نشره في الأصل
  • 09 ديسمبر 2015: تم تعديل النشرة لتشمل روابط AOSP.
  • 22 ديسمبر 2015: إضافة رصيد مفقود لقسم شكر وتقدير.
  • 07 مارس 2016: إضافة رصيد مفقود لقسم شكر وتقدير.