Google متعهد به پیشبرد برابری نژادی برای جوامع سیاه است. ببینید چگونه.
این صفحه به‌وسیله ‏Cloud Translation API‏ ترجمه شده است.
Switch to English

بولتن امنیتی Nexus - دسامبر 2015

منتشر شده در 07 دسامبر 2015 | به روز شده 7 مارس 2016

ما از طریق یک به روزرسانی بیش از حد هوا (OTA) به عنوان بخشی از روند انتشار ماهانه بولتن امنیت Android ما ، به روز رسانی امنیتی را برای دستگاه های Nexus منتشر کرده ایم. تصاویر سیستم عامل Nexus نیز در سایت Google Developer منتشر شده است. LMY48Z یا بالاتر و Android 6.0 را با سطح امنیتی Patch در تاریخ 1 دسامبر 2015 یا بالاتر می سازد. برای جزئیات بیشتر به بخش سوالات و پاسخهای رایج مراجعه کنید.

شرکا در 2 نوامبر 2015 یا قبل از آن در مورد این موضوعات به اطلاع شما رسیده و به روزرسانی هایی را ارائه داده اند. در صورت امکان ، تکه های کد منبع برای این موارد به مخزن پروژه منبع باز Android (AOSP) منتشر شده است.

شدیدترین این موارد آسیب پذیری امنیتی بحرانی است که می تواند اجرای روش از راه دور کد را در یک دستگاه آسیب دیده از طریق روش های مختلفی از جمله ایمیل ، مرور وب و MMS در هنگام پردازش پرونده های رسانه ای فعال کند. ارزیابی شدت مبتنی بر تأثیر آن است که سوءاستفاده از آسیب پذیری احتمالاً در یک دستگاه آسیب دیده وجود دارد ، با فرض اینکه سکو و کاهش خدمات برای اهداف توسعه غیرفعال شده اند یا اگر با موفقیت پشت سر گذاشته شوند.

ما هیچ گزارشی از سوءاستفاده فعال مشتری از این موارد تازه گزارش نشده است. برای جزئیات بیشتر در مورد محافظت از سکوی امنیتی Android و محافظت از خدمات مانند SafetyNet ، که باعث بهبود امنیت پلتفرم اندرویدی می شود ، به بخش Mitigations مراجعه کنید. ما کلیه مشتریان را ترغیب می کنیم که این به روزرسانی ها را در دستگاه های خود بپذیرند.

تخفیفات

این خلاصه ای از کاهش موارد ارائه شده توسط پلتفرم امنیتی اندروید و محافظت از خدمات مانند SafetyNet است. این قابلیت ها احتمال استفاده از آسیب پذیری های امنیتی را با موفقیت در اندروید کاهش می دهد.

  • با پیشرفت نسخه های جدیدتر سیستم عامل اندرویدی ، بهره برداری برای بسیاری از موارد در Android دشوارتر می شود. ما کلیه کاربران را تشویق می کنیم تا در صورت امکان ، آخرین نسخه Android را به روز کنند.
  • تیم امنیتی Android به طور جدی در مورد سوءاستفاده با Verify Apps و SafetyNet نظارت می کند و در مورد برنامه های خطرناک در مورد نصب هشدار می دهد. ابزارهای ریشه یابی دستگاه در Google Play ممنوع است. برای محافظت از کاربرانی که برنامه هایی را از خارج از Google Play نصب می کنند ، تأیید برنامه ها بصورت پیش فرض فعال شده و به کاربران درباره برنامه های شناخته شده ریشه زنی هشدار خواهد داد. تأیید برنامه ها سعی در شناسایی و مسدود کردن نصب برنامه های مخرب شناخته شده که از آسیب پذیری تشدید امتیاز استفاده می کنند. اگر چنین برنامه ای قبلاً نصب شده باشد ، Verify Apps به کاربر اطلاع می دهد و سعی در حذف چنین برنامه هایی دارد.
  • در صورت لزوم ، برنامه های Google Hangouts و مسنجر به طور خودکار رسانه ها را به پردازش هایی مانند واسطه انتقال نمی دهند.

سپاسگزاریها

ما می خواهیم از این محققان بخاطر مشارکتشان تشکر کنیم:

  • ابیشک آریا ، الیور چانگ و مارتین باربلا از تیم امنیتی گوگل کروم: CVE-2015-6616 ، CVE-2015-6617 ، CVE-2015-6623 ، CVE-2015-6626 ، CVE-2015-6619 ، CVE-2015-6633 ، CVE-2015-6634
  • Flanker ( flanker_hqd ) KeenTeam ( @ K33nTeam ): CVE-2015-6620
  • گوانگ گونگ (龚 广) ( oldfresher ، higongguang@gmail.com) از Qihoo 360 فناوری Co.Ltd : CVE-2015-6626
  • مارک کارتر ( hanpingchinese ) از EmberMitre Ltd: CVE-2015-6630
  • Michał Bednarski ( https://github.com/michalbednarski ): CVE-2015-6621
  • ناتالی سیلوانوویچ از Google Project Zero: CVE-2015-6616
  • Peter Pi of Trend Micro: CVE-2015-6616، CVE-2015-6628
  • Qidan He ( flanker_hqd ) و مارکو Grassi ( marcograss ) KeenTeam ( @ K33nTeam ): CVE-2015-6622
  • تسو یین (نینا) تای: CVE-2015-6627
  • Joaquín Rinaudo ( xeroxnir ) Programa STIC در Fundación دکتر Manuel Sadosky ، بوئنوس آیرس ، آرژانتین: CVE-2015-6631
  • Wangtao (neobyte) بایدو X-Team: CVE-2015-6626

جزئیات آسیب پذیری امنیتی

در بخش های زیر ، جزئیات مربوط به هر یک از آسیب پذیری های امنیتی اعمال شده در سطح پچ 2015-12-01 را ارائه می دهیم. توضیحی در مورد این مسئله ، یک دلیل منطقی و جدول با CVE ، اشکالات مرتبط ، شدت ، نسخه های به روز شده و تاریخ گزارش شده وجود دارد. در صورت وجود ، ما می خواهیم تغییرات AOSP را که مسئله را برطرف می کند به شناسه اشکال پیوند دهیم. هنگامی که تغییرات چندگانه مربوط به یک اشکال واحد است ، منابع اضافی AOSP به شماره های زیر شناسه اشکال مرتبط می شوند.

آسیب پذیری های اجرای کد از راه دور در Mediaserver

در حین پرونده رسانه ای و پردازش داده ها از یک پرونده خاص تهیه شده ، آسیب پذیری های موجود در واسطه گر می تواند به مهاجمان اجازه دهد تا به عنوان پروسه واسطه گر باعث فساد حافظه و اجرای کد از راه دور شود.

عملکرد آسیب دیده به عنوان بخش اصلی سیستم عامل ارائه شده است و چندین برنامه کاربردی وجود دارد که امکان دسترسی به محتوای آن از راه دور را دارند که مهمترین آنها MMS و پخش مرورگر رسانه است.

به دلیل امکان اجرای کد از راه دور در چارچوب سرویس واسطه گر ، این شماره به عنوان یک شدت بحرانی رتبه بندی شده است. سرویس واسطه گر به جریانهای صوتی و تصویری و همچنین دسترسی به امتیازهایی که برنامه های شخص ثالث به طور عادی نمی توانند دسترسی داشته باشند ، دسترسی دارند.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6616 ANDROID-24630158 بحرانی 6.0 و پایین تر Google Interior
ANDROID-23882800 بحرانی 6.0 و پایین تر Google Interior
ANDROID-17769851 بحرانی 5.1 و پایین تر Google Interior
ANDROID-24441553 بحرانی 6.0 و پایین تر 22 سپتامبر 2015
ANDROID-24157524 بحرانی 6.0 8 سپتامبر 2015

آسیب پذیری در اجرای کد از راه دور در اسکی

آسیب پذیری در مؤلفه Skia ممکن است هنگام پردازش یک فایل رسانه ای دستکاری شده خاص ، ایجاد شود که می تواند منجر به فساد حافظه و اجرای کد از راه دور در یک فرآیند ممتاز شود. این مسئله به دلیل احتمال اجرای کد از راه دور از طریق روش های حمله چندگانه مانند ایمیل ، مرور وب و MMS در هنگام پردازش پرونده های رسانه ، به عنوان یک شدت بحرانی شناخته شده است.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6617 ANDROID-23648740 بحرانی 6.0 و پایین تر Google داخلی

ارتقاء امتیاز در هسته

افزایش آسیب پذیری امتیاز در هسته سیستم می تواند یک برنامه مخرب محلی را برای اجرای کد دلخواه در متن ریشه دستگاه فعال کند. به دلیل امکان سازش دستگاه دائمی محلی ، این مسئله به عنوان یک بحران بحرانی ارزیابی شده است و این دستگاه تنها با مجدداً چشمک زن در سیستم عامل قابل تعمیر است.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6619 ANDROID-23520714 بحرانی 6.0 و پایین تر 7 ژوئن 2015

آسیب پذیری های اجرای کد از راه دور در درایور صفحه نمایش

در درایورهای صفحه نمایش آسیب پذیری وجود دارد که هنگام پردازش یک پرونده رسانه می تواند باعث خرابی حافظه و اجرای کد دلخواه احتمالی در زمینه درایور حالت کاربر شود که توسط واسطه گر بارگذاری شده است. این مسئله به دلیل احتمال اجرای کد از راه دور از طریق روش های حمله چندگانه مانند ایمیل ، مرور وب و MMS در هنگام پردازش پرونده های رسانه ، به عنوان یک شدت بحرانی شناخته شده است.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6633 ANDROID-23987307 * بحرانی 6.0 و پایین تر Google Interior
CVE-2015-6634 ANDROID-24163261 [ 2 ] [ 3 ] [ 4 ] بحرانی 5.1 و پایین تر Google Interior

* وصله این شماره در AOSP نیست. بروزرسانی در جدیدترین درایورهای باینری برای دستگاههای Nexus موجود از سایت Google Developer موجود است .

آسیب پذیری اجرای کد از راه دور در بلوتوث

آسیب پذیری در جزء بلوتوث اندرویدی می تواند امکان اجرای کد از راه دور را فراهم کند. اما قبل از این اتفاق چندین مرحله دستی لازم است. برای انجام این کار ، پس از فعال کردن پروفایل شبکه شخصی (PAN) (به عنوان مثال با استفاده از اتصال بلوتوث) و یک دستگاه جفت شدن ، نیاز به یک دستگاه زوجی با موفقیت دارد. اجرای کد از راه دور به نفع سرویس بلوتوث خواهد بود. یک دستگاه فقط در حالی که در مجاورت محلی است ، از یک دستگاه زوج با موفقیت در برابر این مسئله آسیب پذیر است.

این مسئله به دلیل شدت زیاد درجه بندی شده است زیرا یک مهاجم می تواند از راه دور کد دلخواه را از راه دور انجام دهد فقط پس از انجام چندین مرحله دستی و از یک مهاجم محلی که از قبل اجازه جابجایی دستگاه را داشته است.

CVE اشکال شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6618 ANDROID-24595992 * بالا 4.4 ، 5.0 و 5.1 28 سپتامبر 2015

* وصله این شماره در AOSP نیست. بروزرسانی در جدیدترین درایورهای باینری برای دستگاههای Nexus موجود از سایت Google Developer موجود است .

ارتقاء آسیب پذیری های ممتاز در حمل و نقل آزادانه

در libstagefright چندین آسیب پذیری وجود دارد که می تواند یک برنامه مخرب محلی را برای اجرای کد دلخواه در چارچوب سرویس واسطه گر فعال کند. این مسئله به عنوان شدت بالا درجهبندی شدهاست، چون آن را می توان مورد استفاده قرار گیرد برای به دست آوردن قابلیت های بالا، مانند امضاء یا SignatureOrSystem مجوز دسترسی، که به برنامه های شخص ثالث در دسترس نیست.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6620 ANDROID-24123723 بالا 6.0 و پایین تر 10 سپتامبر 2015
ANDROID-24445127 بالا 6.0 و پایین تر 2 سپتامبر 2015

افزایش آسیب پذیری ممتاز در SystemUI

هنگام تنظیم زنگ هشدار با استفاده از برنامه ساعت ، یک آسیب پذیری در مؤلفه SystemUI می تواند به یک برنامه اجازه دهد تا یک کار را در سطح امتیاز بالا انجام دهد. این مسئله به عنوان شدت بالا درجهبندی شدهاست، چون آن را می توان مورد استفاده قرار گیرد برای به دست آوردن قابلیت های بالا، مانند امضاء یا SignatureOrSystem مجوز دسترسی، که به برنامه های شخص ثالث در دسترس نیست.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6621 ANDROID-23909438 بالا 5.0 ، 5.1 و 6.0 7 سپتامبر 2015

آسیب پذیری افشای اطلاعات در کتابخانه چارچوب های بومی

آسیب پذیری افشای اطلاعات در کتابخانه بومی های اندرویدی می تواند برای جلوگیری از مشکل مهاجمان سوءاستفاده از این سیستم عامل امکان دور زدن اقدامات امنیتی را فراهم کند. این مسائل به عنوان شدت بالا درجهبندی شدهاست، چون آنها نیز می تواند مورد استفاده قرار گیرد برای به دست آوردن قابلیت های بالا، مانند امضاء یا SignatureOrSystem مجوز دسترسی، که به برنامه های شخص ثالث در دسترس نیست.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6622 ANDROID-23905002 بالا 6.0 و پایین تر 7 سپتامبر 2015

افزایش آسیب پذیری امتیاز در Wi-Fi

افزایش آسیب پذیری امتیاز در Wi-Fi می تواند یک برنامه مخرب محلی را برای اجرای کد دلخواه در چارچوب سرویس سیستم ارتقاء دهد. این مسئله به عنوان شدت بالا درجهبندی شدهاست، چون آن را می توان مورد استفاده قرار گیرد برای به دست آوردن قابلیت های بالا، مانند امضاء یا SignatureOrSystem مجوز دسترسی، که به یک نرم افزار شخص ثالث در دسترس نیست.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6623 ANDROID-24872703 بالا 6.0 Google Interior

افزایش آسیب پذیری امتیاز در سرور سیستم

افزایش آسیب پذیری امتیاز در مؤلفه Server Server می تواند یک برنامه مخرب محلی را برای دسترسی به اطلاعات مربوط به سرویس فعال کند. این مسئله به عنوان شدت بالا درجهبندی شدهاست، چون آن را می توان مورد استفاده قرار گیرد برای به دست آوردن قابلیت های بالا، مانند امضاء یا SignatureOrSystem مجوز دسترسی، که به برنامه های شخص ثالث در دسترس نیست.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6624 ANDROID-23999740 بالا 6.0 Google داخلی

افشای اطلاعات در برابر آسیب پذیری ها در libstagefight

آسیب پذیری های افشای اطلاعات در libstagefright وجود دارد که در هنگام برقراری ارتباط با واسطه گر ، می تواند برای جلوگیری از دشواری مهاجمین سوء استفاده از این بستر ، امکان دور زدن اقدامات امنیتی را فراهم کند. این مسائل به عنوان شدت بالا درجهبندی شدهاست، چون آنها نیز می تواند مورد استفاده قرار گیرد برای به دست آوردن قابلیت های بالا، مانند امضاء یا SignatureOrSystem مجوز دسترسی، که به برنامه های شخص ثالث در دسترس نیست.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6632 ANDROID-24346430 بالا 6.0 و پایین تر Google Interior
CVE-2015-6626 ANDROID-24310423 بالا 6.0 و پایین تر 2 سپتامبر 2015
CVE-2015-6631 ANDROID-24623447 بالا 6.0 و پایین تر 21 آگوست 2015

آسیب پذیری افشای اطلاعات در صدا

آسیب پذیری در مؤلفه صوتی می تواند در طی پردازش فایل صوتی مورد سوء استفاده قرار بگیرد. این آسیب پذیری می تواند به یک برنامه مخرب محلی کمک کند ، هنگام پردازش یک پرونده با ساخت خاص ، باعث افشای اطلاعات شود. این مسئله به عنوان شدت بالا درجهبندی شدهاست، چون آن را می توان مورد استفاده قرار گیرد برای به دست آوردن قابلیت های بالا، مانند امضاء یا SignatureOrSystem مجوز دسترسی، که به برنامه های شخص ثالث در دسترس نیست.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6627 ANDROID-24211743 بالا 6.0 و پایین تر Google Interior

آسیب پذیری افشای اطلاعات در چارچوب رسانه

یک آسیب پذیری افشای اطلاعات در چارچوب رسانه وجود دارد که در حین ارتباط با واسطه گر ، می تواند برای جلوگیری از دشواری مهاجمین سوء استفاده از این بستر ، امکان دور زدن اقدامات امنیتی را فراهم کند. این مسئله به عنوان شدت بالا امتیاز دلیل آن را نیز می تواند مورد استفاده قرار گیرد برای به دست آوردن قابلیت های بالا، مانند امضاء یا SignatureOrSystem مجوز دسترسی، که به برنامه های شخص ثالث در دسترس نیست.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6628 ANDROID-24074485 بالا 6.0 و پایین تر 8 سپتامبر 2015

افشای اطلاعات در برابر آسیب پذیری در Wi-Fi

آسیب پذیری در مؤلفه Wi-Fi می تواند به یک مهاجم اجازه دهد تا سرویس Wi-Fi را فاش کند. این مسئله به عنوان شدت بالا درجهبندی شدهاست، چون آن را می توان مورد استفاده قرار گیرد برای به دست آوردن قابلیت های بالا، مانند امضاء یا SignatureOrSystem مجوز دسترسی، که به برنامه های شخص ثالث در دسترس نیست.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6629 ANDROID-22667667 بالا 5.1 و 5.0 Google Interior

افزایش آسیب پذیری امتیاز در سرور سیستم

افزایش آسیب پذیری امتیاز در سرور سیستم می تواند یک برنامه مخرب محلی را برای دسترسی به اطلاعات مربوط به سرویس Wi-Fi فعال کند. این شماره به عنوان شدت متوسط ​​ارزیابی می شود زیرا می تواند برای به دست آوردن مجوزهای " خطرناک " نادرست استفاده شود.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6625 ANDROID-23936840 در حد متوسط 6.0 Google Interior

آسیب پذیری افشای اطلاعات در SystemUI

آسیب پذیری افشای اطلاعات در SystemUI می تواند یک برنامه مخرب محلی را برای دستیابی به عکس های صفحه نمایش فعال کند. این شماره به عنوان شدت متوسط ​​ارزیابی می شود زیرا می تواند برای به دست آوردن مجوزهای " خطرناک " نادرست استفاده شود.

CVE اشکال (های) با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2015-6630 ANDROID-19121797 در حد متوسط 5.0 ، 5.1 و 6.0 22 ژانویه 2015

سوالات و پاسخهای متداول

در این بخش پاسخ به سؤالات متداول که ممکن است بعد از خواندن این بولتن وجود داشته باشد ، بررسی خواهد شد.

1. چگونه می توانم تشخیص دهم که دستگاه من برای رفع این مشکلات به روز شده است؟

LMY48Z یا بالاتر و Android 6.0 را با سطح امنیتی Patch در تاریخ 1 دسامبر 2015 یا بالاتر می سازد. برای راهنمایی در مورد چگونگی بررسی سطح پچ امنیتی ، به اسناد Nexus مراجعه کنید. سازندگان دستگاه که شامل این به روزرسانی ها هستند ، باید رشته رشته پچ را روی: [ro.build.version.securance_patch] تنظیم کنند: [2015-12-01]

بازنگری

  • 07 دسامبر 2015: در ابتدا منتشر شد
  • 09 دسامبر 2015: بولتن اصلاح شده برای پیوند دادن لینک های AOSP.
  • 22 دسامبر 2015: اضافه شدن اعتبار مفقود شده به بخش تشکرات.
  • 07 مارس 2016: اضافه شده اعتبار مفقود شده به بخش تشکرات.