Google is committed to advancing racial equity for Black communities. See how.
This page was translated by the Cloud Translation API.
Switch to English

Nexus Security Bulletin - กุมภาพันธ์ 2016

เผยแพร่เมื่อ 01 กุมภาพันธ์ 2559 | อัปเดตเมื่อ 7 มีนาคม 2559

เราได้เปิดตัวการอัปเดตด้านความปลอดภัยสำหรับอุปกรณ์ Nexus ผ่านการอัปเดตแบบ over-the-air (OTA) ซึ่งเป็นส่วนหนึ่งของกระบวนการเผยแพร่รายเดือนของกระดานข่าวความปลอดภัยของ Android อิมเมจเฟิร์มแวร์ Nexus ได้เผยแพร่ไปยัง ไซต์ Google Developer สร้าง LMY49G ขึ้นไปและ Android M ที่มีระดับแพตช์ความปลอดภัยตั้งแต่วันที่ 1 กุมภาพันธ์ 2016 ขึ้นไปเพื่อแก้ไขปัญหาเหล่านี้ โปรดดู เอกสาร Nexus สำหรับคำแนะนำเกี่ยวกับวิธีตรวจสอบระดับแพตช์ความปลอดภัย

พาร์ทเนอร์ได้รับแจ้งเกี่ยวกับปัญหาที่อธิบายไว้ในกระดานข่าวสารเมื่อวันที่ 4 มกราคม 2016 หรือก่อนหน้านั้น หากเป็นไปได้แพตช์ซอร์สโค้ดสำหรับปัญหาเหล่านี้ได้รับการเผยแพร่ไปยังที่เก็บ Android Open Source Project (AOSP)

ปัญหาที่รุนแรงที่สุดคือช่องโหว่ด้านความปลอดภัยที่สำคัญซึ่งอาจเปิดใช้งานการเรียกใช้โค้ดจากระยะไกลบนอุปกรณ์ที่ได้รับผลกระทบผ่านหลายวิธีเช่นอีเมลการท่องเว็บและ MMS เมื่อประมวลผลไฟล์สื่อ ช่องโหว่การดำเนินการรหัสระยะไกลในไดรเวอร์ Wi-Fi ของ Broadcom ยังเป็นความรุนแรงที่สำคัญเนื่องจากอาจทำให้สามารถเรียกใช้รหัสจากระยะไกลบนอุปกรณ์ที่ได้รับผลกระทบในขณะที่เชื่อมต่อกับเครือข่ายเดียวกันกับผู้โจมตี การ ประเมินความรุนแรง ขึ้นอยู่กับผลกระทบของการใช้ประโยชน์จากช่องโหว่ที่อาจเกิดขึ้นกับอุปกรณ์ที่ได้รับผลกระทบโดยสมมติว่าแพลตฟอร์มและการลดการให้บริการถูกปิดใช้งานเพื่อวัตถุประสงค์ในการพัฒนาหรือหากข้ามได้สำเร็จ

เราไม่มีรายงานเกี่ยวกับการแสวงหาผลประโยชน์ของลูกค้าจากปัญหาที่รายงานใหม่เหล่านี้ ดูส่วนการ ลด ขนาดสำหรับรายละเอียดเกี่ยวกับการ ป้องกันแพลตฟอร์มความปลอดภัย Android และการป้องกันบริการเช่น SafetyNet ซึ่งปรับปรุงความปลอดภัยของแพลตฟอร์ม Android เราขอแนะนำให้ลูกค้าทุกคนยอมรับการอัปเดตเหล่านี้ในอุปกรณ์ของตน

Mitigations

นี่คือบทสรุปของการบรรเทาผลกระทบจาก แพลตฟอร์มความปลอดภัยของ Android และการป้องกันบริการเช่น SafetyNet ความสามารถเหล่านี้ช่วยลดโอกาสที่ช่องโหว่ด้านความปลอดภัยอาจถูกใช้ประโยชน์บน Android ได้สำเร็จ

  • การแสวงหาประโยชน์จากปัญหาต่างๆบน Android ทำได้ยากขึ้นโดยการปรับปรุงในแพลตฟอร์ม Android เวอร์ชันใหม่กว่า เราขอแนะนำให้ผู้ใช้ทุกคนอัปเดตเป็น Android เวอร์ชันล่าสุดหากเป็นไปได้
  • ทีมรักษาความปลอดภัยของ Android กำลังตรวจสอบการละเมิดด้วย Verify Apps และ SafetyNet ซึ่งจะเตือนเกี่ยวกับการติดตั้งแอปพลิเคชันที่อาจเป็นอันตราย ห้ามใช้เครื่องมือรูทอุปกรณ์ใน Google Play เพื่อปกป้องผู้ใช้ที่ติดตั้งแอปพลิเคชันจากภายนอก Google Play การยืนยันแอปจะเปิดใช้งานตามค่าเริ่มต้นและจะเตือนผู้ใช้เกี่ยวกับแอปพลิเคชันที่รู้จัก ตรวจสอบว่าแอปพยายามระบุและบล็อกการติดตั้งแอปพลิเคชันที่เป็นอันตรายซึ่งเป็นที่รู้จักซึ่งใช้ช่องโหว่ในการยกระดับสิทธิ์ หากแอปพลิเคชันดังกล่าวได้รับการติดตั้งแล้ว Verify Apps จะแจ้งให้ผู้ใช้ทราบและพยายามลบแอปพลิเคชันดังกล่าว
  • ตามความเหมาะสมแอปพลิเคชัน Google Hangouts และ Messenger จะไม่ส่งผ่านสื่อไปยังกระบวนการต่างๆเช่นสื่อกลางโดยอัตโนมัติ

กิตติกรรมประกาศ

เราขอขอบคุณนักวิจัยเหล่านี้สำหรับผลงานของพวกเขา:

  • ทีมรักษาความปลอดภัย Android และ Chrome: CVE-2016-0809, CVE-2016-0810
  • ทีม Broadgate: CVE-2016-0801, CVE-2015-0802
  • Chiachih Wu ( @chiachih_wu ), Mingjian Zhou ( @Mingjian_Zhou ) และ Xuxian Jiang จาก C0RE Team , Qihoo 360 : CVE-2016-0804
  • David Riley จากทีม Google Pixel C: CVE-2016-0812
  • Gengjia Chen ( @ chengjia4574 ) จาก Lab IceSword, Qihoo 360: CVE-2016-0805
  • Qidan He ( @Flanker_hqd ) จาก KeenLab ( @keen_lab ), Tencent: CVE-2016-0811
  • Seven Shen ( @lingtongshen ) จาก Trend Micro ( www.trendmicro.com ): CVE-2016-0803
  • Weichao Sun ( @sunblate ) จาก Alibaba Inc: CVE-2016-0808
  • Zach Riggle ( @ ebeip90 ) จากทีมความปลอดภัยของ Android: CVE-2016-0807

รายละเอียดช่องโหว่ด้านความปลอดภัย

ในส่วนด้านล่างนี้เราจะให้รายละเอียดสำหรับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่ใช้กับระดับแพตช์ 2016-02-01 มีคำอธิบายของปัญหาเหตุผลความรุนแรงและตารางที่มี CVE ข้อบกพร่องที่เกี่ยวข้องความรุนแรงเวอร์ชันที่ได้รับผลกระทบและวันที่ที่รายงาน เมื่อพร้อมใช้งานเราจะเชื่อมโยงข้อตกลง AOSP ที่แก้ไขปัญหากับรหัสข้อบกพร่อง เมื่อการเปลี่ยนแปลงหลายอย่างเกี่ยวข้องกับจุดบกพร่องเดียวการอ้างอิง AOSP เพิ่มเติมจะเชื่อมโยงกับตัวเลขตามรหัสข้อบกพร่อง

ช่องโหว่การดำเนินการรหัสระยะไกลในไดรเวอร์ Broadcom Wi-Fi

ช่องโหว่ในการเรียกใช้งานระยะไกลจำนวนมากในไดรเวอร์ Broadcom Wi-Fi อาจทำให้ผู้โจมตีระยะไกลใช้แพ็กเก็ตข้อความควบคุมไร้สายที่ออกแบบมาเป็นพิเศษเพื่อทำให้หน่วยความจำเคอร์เนลเสียหายในลักษณะที่นำไปสู่การเรียกใช้รหัสระยะไกลในบริบทของเคอร์เนล ช่องโหว่เหล่านี้สามารถเกิดขึ้นได้เมื่อผู้โจมตีและเหยื่อเชื่อมโยงกับเครือข่ายเดียวกัน ปัญหานี้ได้รับการจัดอันดับให้เป็นความรุนแรงที่สำคัญเนื่องจากความเป็นไปได้ของการเรียกใช้โค้ดระยะไกลในบริบทของเคอร์เนลโดยไม่ต้องมีการโต้ตอบกับผู้ใช้

CVE บัก ความรุนแรง อัปเดตเวอร์ชัน วันที่รายงาน
CVE-2016-0801 Android-25662029
Android-25662233
สำคัญ 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 25 ต.ค. 2558
CVE-2016-0802 ANDROID-25306181 สำคัญ 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 26 ต.ค. 2558

ช่องโหว่การดำเนินการรหัสระยะไกลใน Mediaserver

ระหว่างไฟล์สื่อและการประมวลผลข้อมูลของไฟล์ที่สร้างขึ้นมาเป็นพิเศษช่องโหว่ในสื่อกลางอาจเปิดโอกาสให้ผู้โจมตีทำให้หน่วยความจำเสียหายและการเรียกใช้โค้ดจากระยะไกลเป็นกระบวนการไกล่เกลี่ย

ฟังก์ชันการทำงานที่ได้รับผลกระทบจัดให้เป็นส่วนหลักของระบบปฏิบัติการและมีแอปพลิเคชั่นหลายตัวที่อนุญาตให้เข้าถึงเนื้อหาระยะไกลโดยเฉพาะอย่างยิ่ง MMS และการเล่นสื่อบนเบราว์เซอร์

ปัญหานี้ได้รับการจัดอันดับให้เป็นความรุนแรงที่สำคัญเนื่องจากความเป็นไปได้ของการเรียกใช้โค้ดจากระยะไกลภายในบริบทของบริการสื่อกลาง บริการสื่อกลางสามารถเข้าถึงสตรีมเสียงและวิดีโอตลอดจนการเข้าถึงสิทธิพิเศษที่แอปของบุคคลที่สามไม่สามารถเข้าถึงได้ตามปกติ

CVE ข้อบกพร่องด้วยลิงก์ AOSP ความรุนแรง อัปเดตเวอร์ชัน วันที่รายงาน
CVE-2016-0803 Android-25812794 สำคัญ 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 19 พ.ย. 2558
CVE-2016-0804 ANDROID-25070434 สำคัญ 5.0, 5.1.1, 6.0, 6.0.1 12 ต.ค. 2558

การยกระดับช่องโหว่ของสิทธิพิเศษในโมดูลประสิทธิภาพของ Qualcomm

การเพิ่มช่องโหว่ของสิทธิพิเศษในองค์ประกอบตัวจัดการเหตุการณ์ประสิทธิภาพสำหรับโปรเซสเซอร์ ARM จาก Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในพื้นที่สามารถเรียกใช้รหัสโดยอำเภอใจภายในเคอร์เนลได้ ปัญหานี้ได้รับการจัดอันดับให้เป็นระดับวิกฤตเนื่องจากมีความเป็นไปได้ที่อุปกรณ์ถาวรในเครื่องจะถูกบุกรุกและอุปกรณ์อาจจำเป็นต้องได้รับการซ่อมแซมโดยการกะพริบระบบปฏิบัติการอีกครั้ง

CVE บั๊ก ความรุนแรง อัปเดตเวอร์ชัน วันที่รายงาน
CVE-2016-0805 Android-25773204 * สำคัญ 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 15 พ.ย. 2558

* โปรแกรมแก้ไขสำหรับปัญหานี้ไม่ได้อยู่ใน AOSP การอัปเดตนี้มีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่มีให้จาก ไซต์ Google Developer

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรเวอร์ Qualcomm Wi-Fi

มีช่องโหว่ในไดรเวอร์ Qualcomm Wi-Fi ที่อาจเปิดใช้งานแอปพลิเคชันที่เป็นอันตรายในพื้นที่เพื่อเรียกใช้รหัสโดยพลการภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับให้เป็นระดับวิกฤตเนื่องจากมีความเป็นไปได้ที่อุปกรณ์ถาวรในเครื่องจะถูกบุกรุกและอุปกรณ์อาจจำเป็นต้องได้รับการซ่อมแซมโดยการกะพริบระบบปฏิบัติการอีกครั้ง

CVE บั๊ก ความรุนแรง อัปเดตเวอร์ชัน วันที่รายงาน
CVE-2016-0806 Android-25344453 * สำคัญ 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 15 พ.ย. 2558

* โปรแกรมแก้ไขสำหรับปัญหานี้ไม่ได้อยู่ใน AOSP การอัปเดตนี้มีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่มีให้จาก ไซต์ Google Developer

การยกระดับช่องโหว่ของสิทธิ์ใน Debuggerd

การเพิ่มช่องโหว่ของสิทธิพิเศษในคอมโพเนนต์ Debuggerd อาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบสามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทรากของอุปกรณ์ ปัญหานี้ได้รับการจัดอันดับให้เป็นระดับวิกฤตเนื่องจากมีความเป็นไปได้ที่อุปกรณ์ถาวรในเครื่องจะถูกบุกรุกและอุปกรณ์อาจจำเป็นต้องได้รับการซ่อมแซมโดยการกะพริบระบบปฏิบัติการอีกครั้ง

CVE จุดบกพร่องด้วยลิงก์ AOSP ความรุนแรง อัปเดตเวอร์ชัน วันที่รายงาน
CVE-2016-0807 Android-25187394 สำคัญ 6.0 และ 6.0.1 ภายใน Google

ช่องโหว่การปฏิเสธบริการใน Minikin

ช่องโหว่การปฏิเสธบริการในไลบรารี Minikin อาจทำให้ผู้โจมตีในพื้นที่สามารถบล็อกการเข้าถึงอุปกรณ์ที่ได้รับผลกระทบชั่วคราว ผู้โจมตีอาจทำให้โหลดแบบอักษรที่ไม่น่าเชื่อถือและทำให้เกิดการล้นในคอมโพเนนต์ Minikin ซึ่งนำไปสู่การขัดข้อง สิ่งนี้ได้รับการจัดอันดับว่ามีความรุนแรงสูงเนื่องจากการปฏิเสธบริการนำไปสู่การรีบูตวนซ้ำอย่างต่อเนื่อง

CVE จุดบกพร่องด้วยลิงก์ AOSP ความรุนแรง อัปเดตเวอร์ชัน วันที่รายงาน
CVE-2016-0808 Android-25645298 สูง 5.0, 5.1.1, 6.0, 6.0.1 3 พ.ย. 2558

การยกระดับช่องโหว่ของสิทธิ์ใน Wi-Fi

การเพิ่มช่องโหว่ของสิทธิ์พิเศษในส่วนประกอบ Wi-Fi อาจทำให้แอปพลิเคชันที่เป็นอันตรายในพื้นที่สามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทของระบบ อุปกรณ์มีความเสี่ยงต่อปัญหานี้ในขณะที่อยู่ในบริเวณใกล้เคียง ปัญหานี้ได้รับการจัดอันดับว่ามีความรุนแรงสูงเนื่องจากสามารถใช้เพื่อเพิ่มความสามารถ " ปกติ " ได้จากระยะไกล โดยทั่วไปสิทธิ์เหล่านี้สามารถเข้าถึงได้เฉพาะแอปพลิเคชันของบุคคลที่สามที่ติดตั้งในเครื่องเท่านั้น

CVE จุดบกพร่องด้วยลิงก์ AOSP ความรุนแรง อัปเดตเวอร์ชัน วันที่รายงาน
CVE-2016-0809 Android-25753768 สูง 6.0, 6.0.1 ภายใน Google

การยกระดับช่องโหว่ของสิทธิ์ใน Mediaserver

การเพิ่มช่องโหว่ของสิทธิพิเศษในสื่อกลางอาจทำให้แอปพลิเคชันที่เป็นอันตรายในพื้นที่สามารถเรียกใช้รหัสโดยพลการภายในบริบทของแอปพลิเคชันระบบที่ยกระดับ ปัญหานี้ได้รับการจัดอันดับเป็นความรุนแรงสูงเพราะมันสามารถนำมาใช้เพื่อให้ได้รับการยกระดับความสามารถเช่น ลายเซ็น หรือ SignatureOrSystem สิทธิพิเศษสิทธิ์ซึ่งไม่สามารถเข้าถึงแอพลิเคชันของบุคคลที่สาม

CVE จุดบกพร่องด้วยลิงก์ AOSP ความรุนแรง อัปเดตเวอร์ชัน วันที่รายงาน
CVE-2016-0810 Android-25781119 สูง 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 ภายใน Google

ช่องโหว่ในการเปิดเผยข้อมูลใน libmediaplayerservice

ช่องโหว่ในการเปิดเผยข้อมูลใน libmediaplayerservice อาจอนุญาตให้มีการข้ามมาตรการรักษาความปลอดภัยเพื่อเพิ่มความยากของผู้โจมตีที่ใช้ประโยชน์จากแพลตฟอร์ม ปัญหาเหล่านี้จะจัดอันดับให้เป็นความรุนแรงสูงเพราะพวกเขายังสามารถนำมาใช้เพื่อให้ได้รับการยกระดับความสามารถเช่น ลายเซ็น หรือ SignatureOrSystem สิทธิพิเศษสิทธิ์ที่จะไม่สามารถเข้าถึงการใช้งานของบุคคลที่สาม

CVE จุดบกพร่องด้วยลิงก์ AOSP ความรุนแรง อัปเดตเวอร์ชัน วันที่รายงาน
CVE-2016-0811 Android-25800375 สูง 6.0, 6.0.1 16 พ.ย. 2558

การยกระดับช่องโหว่ของสิทธิ์ในตัวช่วยสร้างการตั้งค่า

ช่องโหว่ในวิซาร์ดการตั้งค่าอาจทำให้ผู้โจมตีที่ประสงค์ร้ายข้ามการป้องกันการรีเซ็ตเป็นค่าเริ่มต้นจากโรงงานและเข้าถึงอุปกรณ์ได้ สิ่งนี้ได้รับการจัดอันดับให้เป็นความรุนแรงปานกลางเนื่องจากอาจทำให้ผู้ที่มีสิทธิ์เข้าถึงอุปกรณ์ทางกายภาพสามารถข้ามการป้องกันการรีเซ็ตเป็นค่าเริ่มต้นจากโรงงานได้ซึ่งทำให้ผู้โจมตีสามารถรีเซ็ตอุปกรณ์ได้สำเร็จและลบข้อมูลทั้งหมด

CVE ข้อบกพร่องด้วยลิงก์ AOSP ความรุนแรง อัปเดตเวอร์ชัน วันที่รายงาน
CVE-2016-0812 Android-25229538 ปานกลาง 5.1.1, 6.0 ภายใน Google
CVE-2016-0813 ANDROID-25476219 ปานกลาง 5.1.1, 6.0, 6.0.1 ภายใน Google

คำถามและคำตอบทั่วไป

ส่วนนี้จะทบทวนคำตอบสำหรับคำถามทั่วไปที่อาจเกิดขึ้นหลังจากอ่านกระดานข่าวสารนี้

1. ฉันจะทราบได้อย่างไรว่าอุปกรณ์ของฉันได้รับการอัปเดตเพื่อแก้ไขปัญหาเหล่านี้หรือไม่?

สร้าง LMY49G ขึ้นไปและ Android 6.0 พร้อม Security Patch Level ตั้งแต่วันที่ 1 กุมภาพันธ์ 2016 หรือใหม่กว่าเพื่อแก้ไขปัญหาเหล่านี้ โปรดดู เอกสาร Nexus สำหรับคำแนะนำเกี่ยวกับวิธีตรวจสอบระดับแพตช์ความปลอดภัย ผู้ผลิตอุปกรณ์ที่มีการอัปเดตเหล่านี้ควรตั้งค่าระดับสตริงโปรแกรมแก้ไขเป็น: [ro.build.version.security_patch]: [2016-02-01]

การแก้ไข

  • 1 กุมภาพันธ์ 2559: เผยแพร่แถลงการณ์
  • 2 กุมภาพันธ์ 2559: แก้ไขแถลงการณ์เพื่อรวมลิงก์ AOSP
  • 7 มีนาคม 2559: แถลงการณ์แก้ไขเพื่อรวมลิงก์ AOSP เพิ่มเติม