بولتن امنیتی Nexus - فوریه 2016

منتشر شده در 10 فوریه 2016 | به روز شده در 7 مارس 2016

ما یک به‌روزرسانی امنیتی برای دستگاه‌های Nexus از طریق به‌روزرسانی هوایی (OTA) به عنوان بخشی از فرآیند انتشار ماهانه بولتن امنیتی Android خود منتشر کرده‌ایم. تصاویر سفت‌افزار Nexus نیز در سایت Google Developer منتشر شده است. بیلدهای LMY49G یا جدیدتر و Android M با سطح وصله امنیتی 1 فوریه 2016 یا جدیدتر این مشکلات را برطرف می‌کنند. برای دستورالعمل‌های نحوه بررسی سطح وصله امنیتی، به مستندات Nexus مراجعه کنید.

شرکا در مورد مسائل شرح داده شده در بولتن در تاریخ 4 ژانویه 2016 یا قبل از آن مطلع شدند. در صورت لزوم، وصله‌های کد منبع برای این مشکلات در مخزن پروژه منبع باز Android (AOSP) منتشر شده است.

شدیدترین این مشکلات یک آسیب پذیری امنیتی بحرانی است که می تواند اجرای کد از راه دور را در دستگاه آسیب دیده از طریق چندین روش مانند ایمیل، مرور وب و MMS هنگام پردازش فایل های رسانه ای فعال کند. آسیب‌پذیری اجرای کد از راه دور در درایور Wi-Fi Broadcom نیز بسیار مهم است زیرا می‌تواند اجرای کد از راه دور را در دستگاه آسیب‌دیده در حالی که به همان شبکه مهاجم متصل است، اجازه دهد. ارزیابی شدت بر اساس تأثیری است که بهره‌برداری از آسیب‌پذیری احتمالاً روی دستگاه آسیب‌دیده می‌گذارد، با این فرض که پلت‌فرم و کاهش خدمات برای اهداف توسعه غیرفعال شده باشند یا اگر با موفقیت دور زده شوند.

ما هیچ گزارشی مبنی بر بهره برداری فعال مشتری از این مشکلات گزارش شده جدید نداشته ایم. برای جزئیات بیشتر در مورد محافظت از پلتفرم امنیتی اندروید و محافظت از خدمات مانند SafetyNet، که امنیت پلتفرم اندروید را بهبود می بخشد، به بخش کاهش دهنده ها مراجعه کنید. ما همه مشتریان را تشویق می کنیم که این به روز رسانی ها را برای دستگاه های خود بپذیرند.

اقدامات کاهشی

این خلاصه‌ای از کاهش‌های ارائه‌شده توسط پلتفرم امنیتی Android و محافظت‌های خدماتی مانند SafetyNet است. این قابلیت ها احتمال سوء استفاده موفقیت آمیز از آسیب پذیری های امنیتی در اندروید را کاهش می دهد.

  • بهره برداری از بسیاری از مسائل در اندروید با پیشرفت در نسخه های جدیدتر پلتفرم اندروید دشوارتر شده است. ما همه کاربران را تشویق می کنیم تا در صورت امکان به آخرین نسخه اندروید بروزرسانی کنند.
  • تیم امنیت Android با Verify Apps و SafetyNet که در مورد برنامه‌های بالقوه مضر در شرف نصب هشدار می‌دهند، به طور فعال در حال نظارت بر سوء استفاده است. ابزارهای روت کردن دستگاه در Google Play ممنوع است. برای محافظت از کاربرانی که برنامه‌های خارج از Google Play را نصب می‌کنند، Verify Apps به طور پیش‌فرض فعال است و به کاربران در مورد برنامه‌های روت‌شده شناخته شده هشدار می‌دهد. Verify Apps تلاش می کند تا نصب برنامه های مخرب شناخته شده ای را که از یک آسیب پذیری افزایش امتیاز سوء استفاده می کنند، شناسایی و مسدود کند. اگر چنین برنامه‌ای قبلاً نصب شده باشد، Verify Apps به کاربر اطلاع می‌دهد و سعی می‌کند چنین برنامه‌هایی را حذف کند.
  • در صورت لزوم، برنامه‌های Google Hangouts و Messenger رسانه‌ها را به‌طور خودکار به فرآیندهایی مانند مدیا سرور منتقل نمی‌کنند.

سپاسگزاریها

مایلیم از این پژوهشگران به خاطر مشارکتشان تشکر کنیم:

  • تیم امنیتی Android و Chrome: CVE-2016-0809، CVE-2016-0810
  • تیم Broadgate: CVE-2016-0801، CVE-2015-0802
  • Chiachih Wu ( @chiachih_wu )، Mingjian Zhou ( @Mingjian_Zhou )، و Xuxian Jiang از تیم C0RE ، Qihoo 360 : CVE-2016-0804
  • دیوید رایلی از تیم Google Pixel C: CVE-2016-0812
  • Gengjia Chen ( @chengjia4574 ) از Lab IceSword، Qihoo 360: CVE-2016-0805
  • Qidan He ( @Flanker_hqd ) از KeenLab ( @keen_lab )، Tencent: CVE-2016-0811
  • Seven Shen ( @lingtongshen ) از Trend Micro ( www.trendmicro.com ): CVE-2016-0803
  • Weichao Sun ( @sunblate ) از Alibaba Inc: CVE-2016-0808
  • زک ریگل ( @ebeip90 ) از تیم امنیتی اندروید: CVE-2016-0807

جزئیات آسیب پذیری امنیتی

در بخش‌های زیر، جزئیات مربوط به هر یک از آسیب‌پذیری‌های امنیتی را که در سطح وصله 01-02-2016 اعمال می‌شود، ارائه می‌کنیم. شرحی از مشکل، دلیل شدت، و جدولی با CVE، اشکال مرتبط، شدت، نسخه های آسیب دیده و تاریخ گزارش شده وجود دارد. زمانی که در دسترس باشد، commit AOSP را که مشکل را حل کرده است به شناسه اشکال مرتبط می کنیم. هنگامی که تغییرات متعدد به یک باگ مربوط می شود، ارجاعات اضافی AOSP به اعدادی که پس از شناسه اشکال مرتبط هستند، مرتبط می شوند.

آسیب پذیری اجرای کد از راه دور در درایور Wi-Fi Broadcom

آسیب‌پذیری‌های چندگانه اجرای از راه دور در درایور Wi-Fi Broadcom می‌تواند به مهاجم راه دور اجازه دهد تا از بسته‌های پیام کنترل بی‌سیم ساخته‌شده مخصوص استفاده کند تا حافظه هسته را خراب کند، به نحوی که منجر به اجرای کد از راه دور در زمینه هسته شود. این آسیب‌پذیری‌ها زمانی ایجاد می‌شوند که مهاجم و قربانی با یک شبکه مرتبط باشند. این موضوع به دلیل امکان اجرای کد از راه دور در زمینه هسته بدون نیاز به تعامل کاربر، به عنوان یک شدت بحرانی رتبه بندی می شود.

CVE اشکالات شدت نسخه های به روز شده تاریخ گزارش شده
CVE-2016-0801 ANDROID-25662029
ANDROID-25662233
بحرانی 4.4.4، 5.0، 5.1.1، 6.0، 6.0.1 25 اکتبر 2015
CVE-2016-0802 ANDROID-25306181 بحرانی 4.4.4، 5.0، 5.1.1، 6.0، 6.0.1 اکتبر 26,2015

آسیب پذیری اجرای کد از راه دور در Mediaserver

در طول فایل رسانه و پردازش داده‌های یک فایل ساخته‌شده خاص، آسیب‌پذیری‌های موجود در مدیاسرور می‌تواند به مهاجم اجازه دهد که باعث خرابی حافظه و اجرای کد از راه دور به عنوان فرآیند سرور رسانه‌ای شود.

عملکرد آسیب‌دیده به‌عنوان بخش اصلی سیستم‌عامل ارائه می‌شود و برنامه‌های متعددی وجود دارد که امکان دسترسی به آن را با محتوای راه دور فراهم می‌کند، به ویژه MMS و مرورگر پخش رسانه.

این موضوع به دلیل امکان اجرای کد از راه دور در زمینه سرویس سرور رسانه، به عنوان یک شدت بحرانی رتبه بندی می شود. سرویس مدیا سرور به جریان های صوتی و تصویری و همچنین به امتیازاتی دسترسی دارد که برنامه های شخص ثالث معمولاً نمی توانند به آنها دسترسی داشته باشند.

CVE اشکالات پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده
CVE-2016-0803 ANDROID-25812794 بحرانی 4.4.4، 5.0، 5.1.1، 6.0، 6.0.1 19 نوامبر 2015
CVE-2016-0804 ANDROID-25070434 بحرانی 5.0، 5.1.1، 6.0، 6.0.1 12 اکتبر 2015

افزایش آسیب پذیری Privilege در ماژول عملکرد Qualcomm

افزایش آسیب پذیری امتیاز در مؤلفه مدیریت رویداد عملکرد برای پردازنده های ARM از کوالکام می تواند یک برنامه مخرب محلی را قادر سازد تا کد دلخواه را در هسته اجرا کند. این مشکل به دلیل احتمال به خطر افتادن دستگاه دائمی محلی، به عنوان یک شدت بحرانی رتبه بندی شده است و احتمالاً دستگاه باید با فلش مجدد سیستم عامل تعمیر شود.

CVE حشره شدت نسخه های به روز شده تاریخ گزارش شده
CVE-2016-0805 ANDROID-25773204* بحرانی 4.4.4، 5.0، 5.1.1، 6.0، 6.0.1 15 نوامبر 2015

* پچ این مشکل در AOSP نیست. این به‌روزرسانی در جدیدترین درایورهای باینری دستگاه‌های Nexus موجود در سایت Google Developer موجود است.

افزایش آسیب پذیری Privilege در درایور Wi-Fi Qualcomm

یک آسیب‌پذیری در درایور Wi-Fi کوالکام وجود دارد که می‌تواند یک برنامه مخرب محلی را قادر به اجرای کد دلخواه در چارچوب هسته کند. این مشکل به دلیل احتمال به خطر افتادن دستگاه دائمی محلی، به عنوان یک شدت بحرانی رتبه بندی شده است و احتمالاً دستگاه باید با فلش مجدد سیستم عامل تعمیر شود.

CVE حشره شدت نسخه های به روز شده تاریخ گزارش شده
CVE-2016-0806 ANDROID-25344453* بحرانی 4.4.4، 5.0، 5.1.1، 6.0، 6.0.1 15 نوامبر 2015

* پچ این مشکل در AOSP نیست. این به‌روزرسانی در جدیدترین درایورهای باینری دستگاه‌های Nexus موجود در سایت Google Developer موجود است.

افزایش آسیب پذیری امتیاز در اشکال زدایی

افزایش آسیب پذیری امتیاز در مؤلفه Debuggerd می تواند یک برنامه مخرب محلی را قادر سازد تا کد دلخواه را در زمینه اصلی دستگاه اجرا کند. این مشکل به دلیل احتمال به خطر افتادن دستگاه دائمی محلی، به عنوان یک شدت بحرانی رتبه بندی شده است و احتمالاً دستگاه باید با فلش مجدد سیستم عامل تعمیر شود.

CVE اشکال با پیوند AOSP شدت نسخه های به روز شده تاریخ گزارش شده
CVE-2016-0807 ANDROID-25187394 بحرانی 6.0 و 6.0.1 گوگل داخلی

آسیب پذیری انکار سرویس در Minikin

آسیب پذیری انکار سرویس در کتابخانه Minikin می تواند به مهاجم محلی اجازه دهد تا دسترسی به دستگاه آسیب دیده را به طور موقت مسدود کند. یک مهاجم می تواند باعث بارگیری یک فونت نامعتبر شود و باعث سرریزی در مؤلفه Minikin شود که منجر به خرابی شود. این به عنوان یک شدت بالا رتبه بندی می شود زیرا انکار سرویس منجر به یک حلقه راه اندازی مجدد مداوم می شود.

CVE اشکال با پیوند AOSP شدت نسخه های به روز شده تاریخ گزارش شده
CVE-2016-0808 ANDROID-25645298 بالا 5.0، 5.1.1، 6.0، 6.0.1 3 نوامبر 2015

افزایش آسیب پذیری امتیاز در وای فای

افزایش آسیب پذیری امتیاز در مؤلفه Wi-Fi می تواند یک برنامه مخرب محلی را قادر سازد تا کد دلخواه را در زمینه سیستم اجرا کند. یک دستگاه فقط در مجاورت محلی نسبت به این مشکل آسیب پذیر است. این مشکل به عنوان شدت بالا رتبه بندی می شود زیرا می توان از آن برای به دست آوردن قابلیت های " عادی " از راه دور استفاده کرد. به طور کلی، این مجوزها فقط برای برنامه های شخص ثالث نصب شده به صورت محلی قابل دسترسی هستند.

CVE اشکال با پیوند AOSP شدت نسخه های به روز شده تاریخ گزارش شده
CVE-2016-0809 ANDROID-25753768 بالا 6.0، 6.0.1 گوگل داخلی

افزایش آسیب پذیری امتیاز در مدیا سرور

افزایش آسیب‌پذیری امتیاز در مدیاسرور می‌تواند یک برنامه مخرب محلی را قادر سازد تا کد دلخواه را در چارچوب یک برنامه کاربردی سیستم بالا اجرا کند. این مشکل به‌عنوان شدت بالا رتبه‌بندی می‌شود، زیرا می‌توان از آن برای به دست آوردن قابلیت‌های بالا استفاده کرد، مانند امتیازات مجوز Signature یا SignatureOrSystem ، که برای برنامه‌های شخص ثالث قابل دسترسی نیستند.

CVE اشکال با پیوند AOSP شدت نسخه های به روز شده تاریخ گزارش شده
CVE-2016-0810 ANDROID-25781119 بالا 4.4.4، 5.0، 5.1.1، 6.0، 6.0.1 گوگل داخلی

آسیب پذیری افشای اطلاعات در سرویس libmediaplayers

یک آسیب‌پذیری افشای اطلاعات در libmediaplayersservice می‌تواند امکان دور زدن اقدامات امنیتی را برای افزایش دشواری مهاجمان در بهره‌برداری از پلتفرم فراهم کند. این مسائل به‌عنوان شدت بالا رتبه‌بندی می‌شوند، زیرا می‌توانند برای به دست آوردن قابلیت‌های بالا، مانند امتیازات مجوز Signature یا SignatureOrSystem ، که برای برنامه‌های شخص ثالث قابل دسترسی نیستند، استفاده شوند.

CVE اشکال با پیوند AOSP شدت نسخه های به روز شده تاریخ گزارش شده
CVE-2016-0811 ANDROID-25800375 بالا 6.0، 6.0.1 16 نوامبر 2015

افزایش آسیب پذیری Privilege در Setup Wizard

یک آسیب‌پذیری در Setup Wizard می‌تواند به یک مهاجم مخرب اجازه دهد تا محافظت بازنشانی کارخانه را دور بزند و به دستگاه دسترسی پیدا کند. این به‌عنوان شدت متوسط ​​رتبه‌بندی می‌شود، زیرا به طور بالقوه به شخصی که دسترسی فیزیکی به یک دستگاه دارد، اجازه می‌دهد تا محافظ بازنشانی کارخانه را دور بزند، که به مهاجم امکان می‌دهد با موفقیت دستگاه را بازنشانی کند و همه داده‌ها را پاک کند.

CVE اشکالات پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده
CVE-2016-0812 ANDROID-25229538 در حد متوسط 5.1.1، 6.0 گوگل داخلی
CVE-2016-0813 ANDROID-25476219 در حد متوسط 5.1.1، 6.0، 6.0.1 گوگل داخلی

پرسش ها و پاسخ های متداول

این بخش پاسخ به سوالات رایجی که ممکن است پس از خواندن این بولتن رخ دهد را مرور می کند.

1. چگونه تشخیص دهم که آیا دستگاه من برای رفع این مشکلات به روز شده است؟

بیلدهای LMY49G یا جدیدتر و Android 6.0 با سطح وصله امنیتی 1 فوریه 2016 یا جدیدتر این مشکلات را برطرف می‌کنند. برای دستورالعمل‌های نحوه بررسی سطح وصله امنیتی، به مستندات Nexus مراجعه کنید. سازندگان دستگاه‌هایی که شامل این به‌روزرسانی‌ها هستند، باید سطح رشته وصله را روی: [ro.build.version.security_patch]:[01-02-2016] تنظیم کنند.

تجدید نظرها

  • 1 فوریه 2016: بولتن منتشر شد.
  • 02 فوریه 2016: بولتن اصلاح شد تا پیوندهای AOSP را در بر گیرد.
  • 7 مارس 2016: بولتن اصلاح شد تا پیوندهای AOSP اضافی را در بر گیرد.