Buletin Keamanan Nexus - Februari 2016

Diterbitkan 01 Februari 2016 | Diperbarui 7 Maret 2016

Kami telah merilis pembaruan keamanan untuk perangkat Nexus melalui pembaruan over-the-air (OTA) sebagai bagian dari proses Rilis Bulanan Buletin Keamanan Android kami. Gambar firmware Nexus juga telah dirilis ke situs Pengembang Google . Membangun LMY49G atau lebih baru dan Android M dengan Tingkat Patch Keamanan 1 Februari 2016 atau lebih baru untuk mengatasi masalah ini. Lihat dokumentasi Nexus untuk petunjuk tentang cara memeriksa tingkat patch keamanan.

Mitra diberi tahu tentang masalah yang dijelaskan dalam buletin pada tanggal 4 Januari 2016 atau sebelumnya. Jika berlaku, patch kode sumber untuk masalah ini telah dirilis ke repositori Android Open Source Project (AOSP).

Yang paling parah dari masalah ini adalah kerentanan keamanan Kritis yang dapat mengaktifkan eksekusi kode jarak jauh pada perangkat yang terpengaruh melalui beberapa metode seperti email, penelusuran web, dan MMS saat memproses file media. Kerentanan Eksekusi Kode Jarak Jauh di driver Wi-Fi Broadcom juga merupakan tingkat keparahan Kritis karena dapat memungkinkan eksekusi kode jarak jauh pada perangkat yang terpengaruh saat terhubung ke jaringan yang sama dengan penyerang. Penilaian tingkat keparahan didasarkan pada efek eksploitasi kerentanan yang mungkin terjadi pada perangkat yang terpengaruh, dengan asumsi platform dan mitigasi layanan dinonaktifkan untuk tujuan pengembangan atau jika berhasil dilewati.

Kami tidak memiliki laporan eksploitasi pelanggan aktif dari masalah yang baru dilaporkan ini. Lihat bagian Mitigasi untuk detail tentang perlindungan platform keamanan Android dan perlindungan layanan seperti SafetyNet, yang meningkatkan keamanan platform Android. Kami mendorong semua pelanggan untuk menerima pembaruan ini ke perangkat mereka.

Mitigasi

Ini adalah ringkasan mitigasi yang disediakan oleh platform keamanan Android dan perlindungan layanan seperti SafetyNet. Kemampuan ini mengurangi kemungkinan kerentanan keamanan berhasil dieksploitasi di Android.

  • Eksploitasi untuk banyak masalah di Android menjadi lebih sulit dengan peningkatan versi platform Android yang lebih baru. Kami mendorong semua pengguna untuk memperbarui ke versi Android terbaru jika memungkinkan.
  • Tim Keamanan Android secara aktif memantau penyalahgunaan dengan Verifikasi Aplikasi dan SafetyNet yang akan memperingatkan tentang aplikasi yang berpotensi berbahaya yang akan dipasang. Alat rooting perangkat dilarang di Google Play. Untuk melindungi pengguna yang menginstal aplikasi dari luar Google Play, Verifikasi Aplikasi diaktifkan secara default dan akan memperingatkan pengguna tentang aplikasi rooting yang diketahui. Verifikasi Aplikasi mencoba mengidentifikasi dan memblokir pemasangan aplikasi berbahaya yang diketahui yang mengeksploitasi kerentanan eskalasi hak istimewa. Jika aplikasi tersebut telah diinstal, Verifikasi Aplikasi akan memberi tahu pengguna dan mencoba menghapus aplikasi tersebut.
  • Jika sesuai, aplikasi Google Hangouts dan Messenger tidak secara otomatis meneruskan media ke proses seperti server media.

Ucapan Terima Kasih

Kami ingin mengucapkan terima kasih kepada para peneliti ini atas kontribusi mereka:

  • Tim Keamanan Android dan Chrome: CVE-2016-0809, CVE-2016-0810
  • Tim Broadgate: CVE-2016-0801, CVE-2015-0802
  • Chiachih Wu ( @chiachih_wu ), Mingjian Zhou ( @Mingjian_Zhou ), dan Xuxian Jiang dari Tim C0RE , Qihoo 360 : CVE-2016-0804
  • David Riley dari Tim Google Pixel C: CVE-2016-0812
  • Gengjia Chen ( @chengjia4574 ) dari Lab IceSword, Qihoo 360: CVE-2016-0805
  • Qidan He ( @Flanker_hqd ) dari KeenLab ( @keen_lab ), Tencent: CVE-2016-0811
  • Seven Shen ( @lingtongshen ) dari Trend Micro ( www.trendmicro.com ): CVE-2016-0803
  • Weichao Sun ( @sunblate ) dari Alibaba Inc: CVE-2016-0808
  • Zach Riggle ( @ebeip90 ) dari Tim Keamanan Android: CVE-2016-0807

Detail Kerentanan Keamanan

Di bagian di bawah ini, kami memberikan detail untuk setiap kerentanan keamanan yang berlaku untuk level patch 02-01-2016. Ada deskripsi masalah, alasan tingkat keparahan, dan tabel dengan CVE, bug terkait, tingkat keparahan, versi yang terpengaruh, dan tanggal yang dilaporkan. Jika tersedia, kami akan menautkan komit AOSP yang mengatasi masalah tersebut ke ID bug. Ketika beberapa perubahan terkait dengan satu bug, referensi AOSP tambahan ditautkan ke nomor yang mengikuti ID bug.

Kerentanan Eksekusi Kode Jarak Jauh di Driver Wi-Fi Broadcom

Beberapa kerentanan eksekusi jarak jauh di driver Broadcom Wi-Fi dapat memungkinkan penyerang jarak jauh untuk menggunakan paket pesan kontrol nirkabel yang dibuat khusus untuk merusak memori kernel dengan cara yang mengarah ke eksekusi kode jarak jauh dalam konteks kernel. Kerentanan ini dapat dipicu ketika penyerang dan korban terkait dengan jaringan yang sama. Masalah ini dinilai sebagai tingkat keparahan Kritis karena kemungkinan eksekusi kode jarak jauh dalam konteks kernel tanpa memerlukan interaksi pengguna.

CVE Bug Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0801 ANDROID-25662029
ANDROID-25662233
Kritis 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 25 Oktober 2015
CVE-2016-0802 ANDROID-25306181 Kritis 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 26 Oktober 2015

Kerentanan Eksekusi Kode Jarak Jauh di Mediaserver

Selama file media dan pemrosesan data dari file yang dibuat khusus, kerentanan di server media dapat memungkinkan penyerang menyebabkan kerusakan memori dan eksekusi kode jarak jauh sebagai proses server media.

Fungsionalitas yang terpengaruh disediakan sebagai bagian inti dari sistem operasi dan ada beberapa aplikasi yang memungkinkannya dijangkau dengan konten jarak jauh, terutama MMS dan pemutaran media browser.

Masalah ini dinilai sebagai tingkat keparahan Kritis karena kemungkinan eksekusi kode jarak jauh dalam konteks layanan server media. Layanan server media memiliki akses ke aliran audio dan video serta akses ke hak istimewa yang biasanya tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0803 ANDROID-25812794 Kritis 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 19 November 2015
CVE-2016-0804 ANDROID-25070434 Kritis 5.0, 5.1.1, 6.0, 6.0.1 12 Oktober 2015

Peningkatan Kerentanan Hak Istimewa dalam Modul Kinerja Qualcomm

Peningkatan kerentanan hak istimewa dalam komponen manajer peristiwa kinerja untuk prosesor ARM dari Qualcomm dapat mengaktifkan aplikasi jahat lokal untuk mengeksekusi kode arbitrer di dalam kernel. Masalah ini dinilai sebagai tingkat keparahan Kritis karena kemungkinan kompromi perangkat permanen lokal dan perangkat mungkin perlu diperbaiki dengan mem-flash ulang sistem operasi.

CVE Serangga Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0805 ANDROID-25773204* Kritis 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 15 November 2015

* Patch untuk masalah ini tidak ada di AOSP. Pembaruan terdapat dalam driver biner terbaru untuk perangkat Nexus yang tersedia dari situs Pengembang Google .

Peningkatan Kerentanan Privilege di Driver Wi-Fi Qualcomm

Ada kerentanan pada driver Qualcomm Wi-Fi yang dapat mengaktifkan aplikasi jahat lokal untuk mengeksekusi kode arbitrer dalam konteks kernel. Masalah ini dinilai sebagai tingkat keparahan Kritis karena kemungkinan kompromi perangkat permanen lokal dan perangkat mungkin perlu diperbaiki dengan mem-flash ulang sistem operasi.

CVE Serangga Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0806 ANDROID-25344453* Kritis 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 15 November 2015

* Patch untuk masalah ini tidak ada di AOSP. Pembaruan terdapat dalam driver biner terbaru untuk perangkat Nexus yang tersedia dari situs Pengembang Google .

Peningkatan Kerentanan Hak Istimewa di Debuggerd

Peningkatan kerentanan hak istimewa dalam komponen Debuggerd dapat mengaktifkan aplikasi berbahaya lokal untuk mengeksekusi kode arbitrer dalam konteks root perangkat. Masalah ini dinilai sebagai tingkat keparahan Kritis karena kemungkinan kompromi perangkat permanen lokal dan perangkat mungkin perlu diperbaiki dengan mem-flash ulang sistem operasi.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0807 ANDROID-25187394 Kritis 6.0 dan 6.0.1 Google Internal

Kerentanan Denial of Service di Minikin

Kerentanan penolakan layanan di perpustakaan Minikin dapat memungkinkan penyerang lokal untuk sementara memblokir akses ke perangkat yang terpengaruh. Penyerang dapat menyebabkan font yang tidak tepercaya dimuat dan menyebabkan overflow di komponen Minikin yang menyebabkan crash. Ini dinilai sebagai tingkat keparahan yang tinggi karena Denial of Service mengarah ke loop reboot berkelanjutan.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0808 ANDROID-25645298 Tinggi 5.0, 5.1.1, 6.0, 6.0.1 3 November 2015

Peningkatan Kerentanan Privilege di Wi-Fi

Peningkatan kerentanan hak istimewa dalam komponen Wi-Fi dapat memungkinkan aplikasi jahat lokal untuk mengeksekusi kode arbitrer dalam konteks Sistem. Perangkat hanya rentan terhadap masalah ini saat berada dalam jarak lokal. Masalah ini dinilai sebagai tingkat keparahan tinggi karena dapat digunakan untuk mendapatkan kemampuan " normal " dari jarak jauh. Umumnya, izin ini hanya dapat diakses oleh aplikasi pihak ketiga yang diinstal secara lokal.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0809 ANDROID-25753768 Tinggi 6.0, 6.0.1 Google Internal

Peningkatan Kerentanan Privilege di Mediaserver

Peningkatan kerentanan hak istimewa di server media dapat memungkinkan aplikasi jahat lokal untuk mengeksekusi kode arbitrer dalam konteks aplikasi sistem yang ditingkatkan. Masalah ini dinilai sebagai tingkat keparahan tinggi karena dapat digunakan untuk mendapatkan kemampuan yang lebih tinggi, seperti hak istimewa izin Signature atau SignatureOrSystem , yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0810 ANDROID-25781119 Tinggi 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 Google Internal

Kerentanan Pengungkapan Informasi di libmediaplayerservice

Kerentanan pengungkapan informasi di libmediaplayerservice dapat mengizinkan langkah-langkah keamanan untuk meningkatkan kesulitan penyerang mengeksploitasi platform. Masalah ini dinilai sebagai tingkat keparahan tinggi karena juga dapat digunakan untuk mendapatkan kemampuan yang lebih tinggi, seperti hak istimewa izin Signature atau SignatureOrSystem , yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0811 ANDROID-25800375 Tinggi 6.0, 6.0.1 16 November 2015

Peningkatan Kerentanan Privilege di Setup Wizard

Kerentanan di Wizard Penyiapan dapat memungkinkan penyerang jahat melewati Perlindungan Penyetelan Ulang Pabrik dan mendapatkan akses ke perangkat. Ini dinilai sebagai tingkat keparahan Sedang karena berpotensi memungkinkan seseorang dengan akses fisik ke perangkat untuk melewati Perlindungan Penyetelan Ulang Pabrik, yang memungkinkan penyerang berhasil menyetel ulang perangkat, menghapus semua data.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0812 ANDROID-25229538 Sedang 5.1.1, 6.0 Google Internal
CVE-2016-0813 ANDROID-25476219 Sedang 5.1.1, 6.0, 6.0.1 Google Internal

Pertanyaan dan Jawaban Umum

Bagian ini mengulas jawaban atas pertanyaan umum yang mungkin muncul setelah membaca buletin ini.

1. Bagaimana cara menentukan apakah perangkat saya diperbarui untuk mengatasi masalah ini?

Membangun LMY49G atau lebih baru dan Android 6.0 dengan Tingkat Patch Keamanan 1 Februari 2016 atau lebih baru untuk mengatasi masalah ini. Lihat dokumentasi Nexus untuk petunjuk tentang cara memeriksa tingkat patch keamanan. Produsen perangkat yang menyertakan pembaruan ini harus menyetel level string patch ke: [ro.build.version.security_patch]:[2016-02-01]

Revisi

  • 01 Februari 2016: Buletin diterbitkan.
  • 02 Februari 2016: Buletin direvisi untuk menyertakan tautan AOSP.
  • 07 Maret 2016: Buletin direvisi untuk menyertakan tautan AOSP tambahan.