Google is committed to advancing racial equity for Black communities. See how.
This page was translated by the Cloud Translation API.
Switch to English

Nexus Security Bulletin—January 2016

Publicado em 04 de janeiro de 2016 | Atualizado em 28 de abril de 2016

Lançamos uma atualização de segurança para dispositivos Nexus por meio de uma atualização over-the-air (OTA) como parte de nosso processo de lançamento mensal do boletim de segurança do Android. As imagens do firmware Nexus também foram lançadas no site Google Developer . Builds LMY49F ou posterior e Android 6.0 com nível de patch de segurança de 1º de janeiro de 2016 ou posterior resolvem esses problemas. Consulte a seção Perguntas e respostas comuns para obter mais detalhes.

Os parceiros foram notificados e forneceram atualizações para os problemas descritos neste boletim em 7 de dezembro de 2015 ou antes. Quando aplicável, os patches do código-fonte para esses problemas foram lançados no repositório Android Open Source Project (AOSP).

O mais grave desses problemas é uma vulnerabilidade de segurança crítica que pode permitir a execução remota de código em um dispositivo afetado por meio de vários métodos, como email, navegação na Web e MMS, ao processar arquivos de mídia. A avaliação da gravidade é baseada no efeito que a exploração da vulnerabilidade possivelmente teria em um dispositivo afetado, assumindo que a plataforma e as atenuações do serviço estão desabilitadas para fins de desenvolvimento ou se contornadas com sucesso.

Não recebemos relatórios de exploração ativa do cliente desses problemas relatados recentemente. Consulte a atenuações seção para obter detalhes sobre as proteções Android plataforma de segurança e proteções de serviços, como SafetyNet, que melhoram a segurança da plataforma Android. Incentivamos todos os clientes a aceitar essas atualizações em seus dispositivos.

Mitigações

Este é um resumo das atenuações fornecidas pela plataforma de segurança Android e proteções de serviço, como SafetyNet. Esses recursos reduzem a probabilidade de que as vulnerabilidades de segurança possam ser exploradas com êxito no Android.

  • A exploração de muitos problemas no Android é dificultada pelos aprimoramentos nas versões mais recentes da plataforma Android. Incentivamos todos os usuários a atualizar para a versão mais recente do Android sempre que possível.
  • A equipe de segurança do Android está monitorando ativamente o abuso com Verify Apps e SafetyNet, que avisará sobre aplicativos potencialmente prejudiciais prestes a serem instalados. As ferramentas de rooting do dispositivo são proibidas no Google Play. Para proteger os usuários que instalam aplicativos de fora do Google Play, Verify Apps é habilitado por padrão e avisará os usuários sobre aplicativos de root conhecidos. O Verify Apps tenta identificar e bloquear a instalação de aplicativos mal-intencionados conhecidos que exploram uma vulnerabilidade de escalonamento de privilégios. Se tal aplicativo já tiver sido instalado, o Verify Apps notificará o usuário e tentará remover qualquer um desses aplicativos.
  • Conforme apropriado, os aplicativos Google Hangouts e Messenger não passam mídia automaticamente para processos como mediaserver.

Reconhecimentos

Gostaríamos de agradecer a esses pesquisadores por suas contribuições:

  • Abhishek Arya, Oliver Chang e Martin Barbella da equipe de segurança do Google Chrome: CVE-2015-6636
  • Sen Nie ( @nforest_ ) e jfang do laboratório KEEN, Tencent ( @ K33nTeam ): CVE-2015-6637
  • Yabin Cui da equipe Android Bionic: CVE-2015-6640
  • Tom Craig do Google X: CVE-2015-6641
  • Jann Horn ( https://thejh.net ): CVE-2015-6642
  • Jouni Malinen PGP id EFC895FA: CVE-2015-5310
  • Quan Nguyen da equipe de engenheiro de segurança da informação do Google: CVE-2015-6644
  • Gal Beniamini ( @laginimaineb , http://bits-please.blogspot.com ): CVE-2015-6639

Detalhes de vulnerabilidade de segurança

Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança que se aplicam ao nível de patch 2016-01-01. Há uma descrição do problema, uma justificativa de gravidade e uma tabela com o CVE, bug associado, gravidade, versões atualizadas e data relatada. Quando disponível, vincularemos a alteração do AOSP que abordou o problema ao ID do bug. Quando várias alterações estão relacionadas a um único bug, referências adicionais do AOSP são vinculadas a números após a ID do bug.

Vulnerabilidade de execução remota de código no Mediaserver

Durante o processamento de arquivos de mídia e dados de um arquivo especialmente criado, as vulnerabilidades no mediaserver podem permitir que um invasor cause corrupção de memória e execução remota de código como o processo do mediaserver.

A funcionalidade afetada é fornecida como uma parte central do sistema operacional e há vários aplicativos que permitem que ela seja acessada com conteúdo remoto, principalmente MMS e reprodução de mídia no navegador.

Este problema é classificado como uma gravidade crítica devido à possibilidade de execução remota de código dentro do contexto do serviço mediaserver. O serviço mediaserver tem acesso a fluxos de áudio e vídeo, bem como acesso a privilégios que aplicativos de terceiros normalmente não podem acessar.

CVE Bug (s) com links AOSP Gravidade Versões atualizadas Data relatada
CVE-2015-6636 ANDROID-25070493 Crítico 5.0, 5.1.1, 6.0, 6.0.1 Google interno
ANDROID-24686670 Crítico 5.0, 5.1.1, 6.0, 6.0.1 Google interno

Vulnerabilidade de elevação de privilégio no driver misc-sd

Uma vulnerabilidade de elevação de privilégio no driver misc-sd da MediaTek pode permitir que um aplicativo malicioso local execute código arbitrário dentro do kernel. Este problema é classificado como uma gravidade Crítica devido à possibilidade de um comprometimento do dispositivo permanente local, caso em que o dispositivo possivelmente precisaria ser reparado através de uma nova atualização do sistema operacional.

CVE Insetos) Gravidade Versões atualizadas Data relatada
CVE-2015-6637 ANDROID-25307013 * Crítico 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 26 de outubro de 2015

* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site Google Developer .

Vulnerabilidade de elevação de privilégio no driver da Imagination Technologies

Uma vulnerabilidade de elevação de privilégio em um driver de kernel da Imagination Technologies pode permitir que um aplicativo mal-intencionado local execute código arbitrário dentro do kernel. Este problema é classificado como uma gravidade Crítica devido à possibilidade de um comprometimento local permanente do dispositivo, caso em que o dispositivo possivelmente precisaria ser reparado por meio de uma nova atualização do sistema operacional.

CVE Insetos) Gravidade Versões atualizadas Data relatada
CVE-2015-6638 ANDROID-24673908 * Crítico 5.0, 5.1.1, 6.0, 6.0.1 Google interno

* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site Google Developer .

Elevação de vulnerabilidades de privilégio na zona de confiança

Vulnerabilidades de elevação de privilégio no aplicativo Widevine QSEE TrustZone podem permitir que um aplicativo comprometido e privilegiado com acesso a QSEECOM execute código arbitrário no contexto de zona confiável. Este problema é classificado como uma gravidade Crítica devido à possibilidade de um comprometimento do dispositivo permanente local, caso em que o dispositivo possivelmente precisaria ser reparado através de uma nova atualização do sistema operacional.

CVE Insetos) Gravidade Versões atualizadas Data relatada
CVE-2015-6639 ANDROID-24446875 * Crítico 5.0, 5.1.1, 6.0, 6.0.1 23 de setembro de 2015
CVE-2015-6647 ANDROID-24441554 * Crítico 5.0, 5.1.1, 6.0, 6.0.1 27 de setembro de 2015

* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site Google Developer .

Vulnerabilidade de elevação de privilégio no kernel

Uma vulnerabilidade de elevação de privilégio no kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário no kernel. Esse problema é classificado como uma gravidade Crítica devido à possibilidade de um comprometimento local permanente do dispositivo, caso em que o dispositivo possivelmente precisaria ser reparado por meio de uma nova atualização do sistema operacional.

CVE Bug (s) com link AOSP Gravidade Versões atualizadas Data relatada
CVE-2015-6640 ANDROID-20017123 Crítico 4.4.4, 5.0, 5.1.1, 6.0 Google interno

Vulnerabilidade de elevação de privilégio no Bluetooth

Uma vulnerabilidade de elevação de privilégio no componente Bluetooth pode permitir que um dispositivo remoto emparelhado por Bluetooth obtenha acesso às informações privadas do usuário (Contatos). Este problema é classificado como de alta gravidade porque pode ser usado para obter recursos “ perigosos ” remotamente. Essas permissões são acessíveis apenas para aplicativos de terceiros instalados localmente.

CVE Bug (s) com links AOSP Gravidade Versões atualizadas Data relatada
CVE-2015-6641 ANDROID-23607427 [ 2 ] Alto 6.0, 6.0.1 Google interno

Vulnerabilidade de divulgação de informações no kernel

Uma vulnerabilidade de divulgação de informações no kernel pode permitir um desvio das medidas de segurança em vigor para aumentar a dificuldade de invasores que exploram a plataforma. Estas questões são classificadas como de alto gravidade, porque eles também poderiam ser usados para obter capacidades elevadas, tais como assinatura ou SignatureOrSystem permissões privilégios, que não são acessíveis a aplicativos de terceiros.

CVE Insetos) Gravidade Versões atualizadas Data relatada
CVE-2015-6642 ANDROID-24157888 * Alto 4.4.4, 5.0, 5.1.1, 6.0 12 de setembro de 2015

* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site Google Developer .

Vulnerabilidade de elevação de privilégio no assistente de configuração

Uma vulnerabilidade de elevação de privilégio no Assistente de configuração pode permitir que um invasor com acesso físico ao dispositivo obtenha acesso às configurações do dispositivo e execute uma redefinição manual do dispositivo. Esse problema é classificado como de gravidade moderada porque pode ser usado para solucionar indevidamente a proteção de redefinição de fábrica.

CVE Bug (s) com links AOSP Gravidade Versões atualizadas Data relatada
CVE-2015-6643 ANDROID-25290269 [ 2 ] Moderado 5.1.1, 6.0, 6.0.1 Interno do Google

Vulnerabilidade de elevação de privilégio em Wi-Fi

Uma vulnerabilidade de elevação de privilégio no componente Wi-Fi pode permitir que um invasor localmente próximo obtenha acesso às informações relacionadas ao serviço Wi-Fi. Um dispositivo só é vulnerável a esse problema quando estiver próximo ao local. Este problema é classificado como gravidade moderada porque pode ser usado para obter recursos “ normais ” remotamente. Essas permissões são acessíveis apenas para aplicativos de terceiros instalados localmente.

CVE Bug (s) com links AOSP Gravidade Versões atualizadas Data relatada
CVE-2015-5310 ANDROID-25266660 Moderado 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 25 de outubro de 2015

Vulnerabilidade de divulgação de informações em Bouncy Castle

Uma vulnerabilidade de divulgação de informações no Bouncy Castle pode permitir que um aplicativo mal-intencionado local obtenha acesso às informações privadas do usuário. Este problema é classificado como gravidade moderada porque pode ser usado para obter indevidamente permissões “ perigosas ”.

CVE Bug (s) com links AOSP Gravidade Versões atualizadas Data relatada
CVE-2015-6644 ANDROID-24106146 Moderado 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 Google interno

Vulnerabilidade de negação de serviço no SyncManager

Uma vulnerabilidade de negação de serviço no SyncManager pode permitir que um aplicativo malicioso local cause um loop de reinicialização. Esse problema é classificado como gravidade moderada porque pode ser usado para causar uma negação de serviço temporária local que possivelmente precisaria ser corrigida por meio de uma redefinição de fábrica.

CVE Bug (s) com links AOSP Gravidade Versões atualizadas Data relatada
CVE-2015-6645 ANDROID-23591205 Moderado 4.4.4, 5.0, 5.1.1, 6.0 Interno do Google

Redução da superfície de ataque para núcleos Nexus

SysV IPC não é compatível com nenhum kernel Android. Removemos isso do sistema operacional, pois expõe superfície de ataque adicional que não adiciona funcionalidade ao sistema que pode ser explorada por aplicativos maliciosos. Além disso, os IPCs do System V não são compatíveis com o ciclo de vida do aplicativo Android porque os recursos alocados não podem ser liberados pelo gerenciador de memória, levando ao vazamento global de recursos do kernel. Essa mudança aborda problemas como CVE-2015-7613.

CVE Insetos) Gravidade Versões atualizadas Data relatada
CVE-2015-6646 ANDROID-22300191 * Moderado 6,0 Google interno

* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site Google Developer .

Perguntas e respostas comuns

Esta seção analisa as respostas a perguntas comuns que podem ocorrer após a leitura deste boletim.

1. Como posso determinar se meu dispositivo está atualizado para resolver esses problemas?

Compilações LMY49F ou posterior e Android 6.0 com nível de patch de segurança de 1º de janeiro de 2016 ou posterior resolvem esses problemas. Consulte a documentação do Nexus para obter instruções sobre como verificar o nível do patch de segurança. Os fabricantes de dispositivos que incluem essas atualizações devem definir o nível da string de patch para: [ro.build.version.security_patch]: [2016-01-01]

Revisões

  • 04 de janeiro de 2016: Boletim publicado.
  • 6 de janeiro de 2016: Boletim revisado para incluir links AOSP.
  • 28 de abril de 2016: Removido CVE-2015-6617 de Agradecimentos e adicionado CVE-2015-6647 à tabela de resumo