تلتزم Google بتعزيز المساواة العرقية للمجتمعات السوداء. أنظر كيف.
ترجمت واجهة Cloud Translation API‏ هذه الصفحة.
Switch to English

نشرة أمان Nexus - آذار (مارس) 2016

نشر في 07 مارس 2016 | تم التحديث في 8 مارس 2016

لقد أصدرنا تحديثًا أمنيًا لأجهزة Nexus من خلال تحديث عبر الهواء (OTA) كجزء من عملية الإصدار الشهري لنشرة أمان Android. تم أيضًا إصدار صور Nexus للبرامج الثابتة إلى موقع Google Developer . يبني LMY49H أو أحدث و Android M مع مستوى تصحيح الأمان بتاريخ 01 مارس 2016 أو أحدث لمعالجة هذه المشكلات. راجع وثائق Nexus للحصول على إرشادات حول كيفية التحقق من مستوى تصحيح الأمان.

تم إخطار الشركاء بالمشكلات الموضحة في النشرة في 1 فبراير 2016 أو قبل ذلك. حيثما أمكن ، تم إصدار تصحيحات شفرة المصدر لهذه المشكلات إلى مستودع Android Open Source Project (AOSP).

إن أكثر هذه المشكلات خطورة هي الثغرة الأمنية الحرجة التي يمكن أن تتيح تنفيذ التعليمات البرمجية عن بُعد على جهاز متأثر من خلال طرق متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط. يعتمد تقييم الخطورة على التأثير الذي قد يكون لاستغلال الثغرة الأمنية على الجهاز المتأثر ، بافتراض تعطيل النظام الأساسي وتخفيفات الخدمة لأغراض التطوير أو في حالة تجاوزها بنجاح.

ليس لدينا تقارير عن استغلال العملاء النشط لهذه المشكلات التي تم الإبلاغ عنها حديثًا. ارجع إلى قسم التخفيفات للحصول على تفاصيل حول حماية نظام Android الأساسي وحماية الخدمة مثل SafetyNet ، والتي تعمل على تحسين أمان نظام Android الأساسي. نشجع جميع العملاء على قبول هذه التحديثات على أجهزتهم.

التخفيف

هذا ملخص لعمليات التخفيف التي يوفرها نظام أمان Android وحماية الخدمة مثل SafetyNet. تقلل هذه القدرات من احتمالية استغلال الثغرات الأمنية بنجاح على Android.

  • أصبح الاستغلال للعديد من المشكلات على Android أكثر صعوبة من خلال التحسينات في الإصدارات الأحدث من نظام Android الأساسي. نشجع جميع المستخدمين على التحديث إلى أحدث إصدار من Android حيثما أمكن.
  • يراقب فريق Android Security بنشاط إساءة الاستخدام مع Verify Apps و SafetyNet مما سيحذر من التطبيقات الضارة المحتملة على وشك التثبيت. أدوات تأصيل الجهاز محظورة في Google Play. لحماية المستخدمين الذين يقومون بتثبيت التطبيقات من خارج Google Play ، يتم تمكين التحقق من التطبيقات بشكل افتراضي وسيحذر المستخدمين من تطبيقات التجذير المعروفة. يحاول تطبيق "التحقق من التطبيقات" تحديد وحظر تثبيت التطبيقات الضارة المعروفة التي تستغل ثغرة تصعيد الامتيازات. إذا تم تثبيت مثل هذا التطبيق بالفعل ، ستقوم Verify Apps بإبلاغ المستخدم ومحاولة إزالة أي من هذه التطبيقات.
  • حسب الاقتضاء ، لا تقوم تطبيقات Google Hangouts و Messenger بتمرير الوسائط تلقائيًا إلى عمليات مثل mediaserver.

شكر وتقدير

نود أن نشكر هؤلاء الباحثين على مساهماتهم:

  • Abhishek Arya و Oliver Chang و Martin Barbella من فريق Google Chrome Security: CVE-2016-0815
  • Anestis Bechtsoudis ( anestisb ) من CENSUS SA: CVE-2016-0816، CVE-2016-0824
  • Chad Brubaker من Android Security: CVE-2016-0818
  • العلامة التجارية لبرنامج Google Project Zero: CVE-2016-0820
  • مينغ جيان تشو ( Mingjian_Zhou )، Chiachih وو ( chiachih_wu )، وXuxian جيانغ فريق C0RE من Qihoo 360 : CVE-2016-0826
  • Peter Pi ( heisecode ) من Trend Micro: CVE-2016-0827 ، CVE-2016-0828 ، CVE-2016-0829
  • سكوت باور ( sbauer@eng.utah.edu ، sbauer@plzdonthack.me ): CVE-2016-0822
  • Wish Wu ( wish_wu ) من Trend Micro Inc .: CVE-2016-0819
  • Yongzheng Wu و Tieyan Li من Huawei: CVE-2016-0831
  • Su Mon Kywe و Yingjiu Li من جامعة سنغافورة للإدارة: CVE-2016-0831
  • Zach Riggle ( @ ebeip90 ) من فريق أمان Android: CVE-2016-0821

تفاصيل ثغرة أمنية

في الأقسام أدناه ، نقدم تفاصيل لكل من الثغرات الأمنية التي تنطبق على مستوى التصحيح 2016-03-01. يوجد وصف للمشكلة ، ومبرر الشدة ، وجدول مع CVE ، والخطأ المرتبط ، والخطورة ، والإصدارات المتأثرة ، والتاريخ المبلغ عنه. عندما يكون متاحًا ، سنربط تغيير AOSP الذي عالج المشكلة بمعرف الخطأ. عندما تتعلق تغييرات متعددة بخلل واحد ، يتم ربط مراجع AOSP إضافية بأرقام تتبع معرف الخطأ.

عدم حصانة تنفيذ التعليمات البرمجية عن بعد في Mediaserver

أثناء ملف الوسائط ومعالجة البيانات لملف تم إعداده خصيصًا ، يمكن أن تسمح نقاط الضعف في mediaserver للمهاجمين بإحداث تلف في الذاكرة وتنفيذ التعليمات البرمجية عن بُعد كعملية mediaserver.

يتم توفير الوظائف المتأثرة كجزء أساسي من نظام التشغيل ، وهناك العديد من التطبيقات التي تسمح بالوصول إليها عن طريق المحتوى البعيد ، وعلى الأخص MMS وتشغيل المتصفح للوسائط.

تم تصنيف هذه المشكلة على أنها شدة حرجة بسبب إمكانية تنفيذ التعليمات البرمجية عن بُعد في سياق خدمة mediaserver. يمكن لخدمة mediaserver الوصول إلى دفق الصوت والفيديو وكذلك الوصول إلى الامتيازات التي لا تستطيع تطبيقات الجهات الخارجية الوصول إليها عادةً.

CVE أخطاء بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0815 ANDROID-26365349 حرج 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 جوجل الداخلي
CVE-2016-0816 ANDROID-25928803 حرج 6.0 ، 6.0.1 جوجل الداخلي

نقاط الضعف تنفيذ التعليمات البرمجية عن بعد في libvpx

أثناء ملف الوسائط ومعالجة البيانات لملف تم إعداده خصيصًا ، يمكن أن تسمح نقاط الضعف في mediaserver للمهاجمين بإحداث تلف في الذاكرة وتنفيذ التعليمات البرمجية عن بُعد كعملية mediaserver.

يتم توفير الوظائف المتأثرة كجزء أساسي من نظام التشغيل ، وهناك العديد من التطبيقات التي تسمح بالوصول إليها عن طريق المحتوى البعيد ، وعلى الأخص MMS وتشغيل المتصفح للوسائط.

يتم تصنيف المشكلات على أنها شديدة الخطورة لأنه يمكن استخدامها لتنفيذ التعليمات البرمجية عن بُعد في سياق خدمة mediaserver. تتمتع خدمة mediaserver بحق الوصول إلى تدفقات الصوت والفيديو بالإضافة إلى الوصول إلى الامتيازات التي لا تستطيع تطبيقات الجهات الخارجية الوصول إليها عادةً.

CVE خطأ بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-1621 ANDROID-23452792 [2] [3] حرج 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 جوجل الداخلي

رفع الامتياز في Conscrypt

قد تسمح الثغرة الأمنية في Conscrypt بنوع معين من الشهادات غير الصالحة ، الصادرة عن مرجع مصدق (CA) ، يمكن الوثوق بها بشكل غير صحيح. قد يؤدي ذلك إلى تمكين هجوم رجل في الوسط. تم تصنيف هذه المشكلة على أنها شدة حرجة نظرًا لاحتمال رفع الامتياز وتنفيذ التعليمات البرمجية التعسفية عن بُعد.

CVE خطأ بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0818 ANDROID-26232830 [2] حرج 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 جوجل الداخلي

رفع درجة ضعف الامتياز في مكون أداء كوالكوم

يمكن أن يؤدي رفع مستوى ثغرة الامتياز في مكون أداء Qualcomm إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في النواة. تم تصنيف هذه المشكلة على أنها شديدة الخطورة نظرًا لاحتمال حدوث اختراق وسط جهاز دائم محلي ، ولا يمكن إصلاح الجهاز إلا من خلال إعادة تحديث نظام التشغيل.

CVE خلل برمجي خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0819 ANDROID-25364034 * حرج 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 29 أكتوبر 2015

* التصحيح الخاص بهذه المشكلة ليس في AOSP. تم تضمين التحديث في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة على موقع Google Developer .

رفع ثغرة الامتياز في برنامج MediaTek Wi-Fi Kernel Driver

هناك ثغرة أمنية في برنامج تشغيل نواة MediaTek Wi-Fi والتي يمكن أن تمكّن تطبيقًا ضارًا محليًا من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها شدة حرجة بسبب إمكانية رفع الامتياز وتنفيذ التعليمات البرمجية التعسفية في سياق النواة.

CVE خلل برمجي خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0820 ANDROID-26267358 * حرج 6.0.1 18 ديسمبر 2015

* التصحيح الخاص بهذه المشكلة ليس في AOSP. تم تضمين التحديث في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة على موقع Google Developer .

زيادة ثغرة الامتياز في مكون كيرينيل كيرينغ

يمكن أن يؤدي رفع مستوى ثغرة الامتياز في Kernel Keyring Component إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية داخل kernel. تم تصنيف هذه المشكلة على أنها شدة حرجة نظرًا لاحتمال حدوث اختراق وسط جهاز دائم محلي ولا يمكن إصلاح الجهاز إلا من خلال إعادة تحديث نظام التشغيل. ومع ذلك ، في إصدارات Android 5.0 والإصدارات الأحدث ، تمنع قواعد SELinux تطبيقات الجهات الخارجية من الوصول إلى الشفرة المتأثرة.

ملاحظة: كمرجع ، يتوفر التصحيح في AOSP لإصدارات kernel معينة: 4.1 و 3.18 و 3.14 و 3.10 .

CVE خلل برمجي خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0728 ANDROID-26636379 حرج 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 11 يناير 2016

الضعف في تجاوز النواة في التخفيف

يمكن أن تسمح الثغرة الالتفافية للتخفيف في النواة بتجاوز الإجراءات الأمنية المعمول بها لزيادة صعوبة المهاجمين الذين يستغلون المنصة. تم تصنيف هذه المشكلة على أنها شديدة الخطورة لأنها قد تسمح بتجاوز الإجراءات الأمنية المعمول بها لزيادة صعوبة المهاجمين في استغلال المنصة.

ملاحظة: يقع تحديث هذه المشكلة في المنبع لينكس .

CVE خلل برمجي خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0821 ANDROID-26186802 عالي 6.0.1 جوجل الداخلي

رفع الامتياز في برنامج MediaTek Connectivity Kernel Driver

هناك ارتفاع في ثغرة الامتياز في برنامج تشغيل نواة اتصال MediaTek الذي يمكن أن يمكّن تطبيقًا ضارًا محليًا من تنفيذ تعليمات برمجية عشوائية في سياق kernel. عادة ما يتم تصنيف خطأ تنفيذ كود kernel مثل هذا على أنه حاسم ، ولكن نظرًا لأنه يتطلب أولاً اختراق خدمة conn_launcher ، فإنه يبرر الرجوع إلى التصنيف العالي الخطورة.

CVE خلل برمجي خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0822 ANDROID-25873324 * عالي 6.0.1 24 نوفمبر 2015

* التصحيح الخاص بهذه المشكلة ليس في AOSP. تم تضمين التحديث في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة على موقع Google Developer .

ضعف الكشف عن المعلومات في Kernel

قد تسمح ثغرة الكشف عن المعلومات في النواة بتجاوز الإجراءات الأمنية المعمول بها لزيادة صعوبة المهاجمين الذين يستغلون المنصة. يتم تصنيف هذه المشكلات على أنها عالية الخطورة لأنها قد تسمح بتجاوز تقنيات التخفيف من الاستغلال المحلية مثل ASLR في عملية مميزة.

ملاحظة: يقع إصلاح هذه المشكلة في Linux upstream .

CVE خلل برمجي خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0823 ANDROID-25739721 * عالي 6.0.1 جوجل الداخلي

* التصحيح الخاص بهذه المشكلة ليس في AOSP. تم تضمين التحديث في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة على موقع Google Developer .

ضعف المعلومات الإفصاح في libstagfright

يمكن أن تسمح ثغرة الكشف عن المعلومات في libstagefright بتجاوز الإجراءات الأمنية المعمول بها لزيادة صعوبة المهاجمين الذين يستغلون المنصة. ويتم تصنيف هذه القضايا العليا شدة لأنها يمكن أن تستخدم أيضا لاكتساب قدرات مرتفعة، مثل التوقيع أو SignatureOrSystem أذونات الامتيازات، التي لا يمكن الوصول إلى تطبيقات الطرف الثالث.

CVE خطأ في رابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0824 ANDROID-25765591 عالي 6.0 ، 6.0.1 18 نوفمبر 2015

ضعف الكشف عن المعلومات في Widevine

قد تسمح ثغرة الكشف عن المعلومات في تطبيق Widevine الموثوق به بتشغيل التعليمات البرمجية في سياق kernel للوصول إلى المعلومات في التخزين الآمن TrustZone. تم تصنيف هذه المسألة العليا شدة لأنها يمكن أن تستخدم للحصول على قدرات مرتفعة، مثل التوقيع أو SignatureOrSystem أذونات الامتيازات.

CVE الأخطاء خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0825 ANDROID-20860039 * عالي 6.0.1 جوجل الداخلي

* التصحيح الخاص بهذه المشكلة ليس في AOSP. تم تضمين التحديث في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة على موقع Google Developer .

رفع ثغرة الامتياز في Mediaserver

يمكن أن يؤدي رفع مستوى ثغرة الامتياز في mediaserver إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق تطبيق نظام مرتفع. تم تصنيف هذه المسألة العليا شدة لأنها يمكن أن تستخدم للحصول على قدرات مرتفعة، مثل التوقيع أو SignatureOrSystem أذونات الامتيازات، التي لا يمكن الوصول إلى تطبيق طرف ثالث.

CVE أخطاء بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0826 ANDROID-26265403 [2] عالي 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 17 ديسمبر 2015
CVE-2016-0827 ANDROID-26347509 عالي 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 28 ديسمبر 2015

ضعف إفشاء المعلومات في Mediaserver

يمكن أن تسمح ثغرة الكشف عن المعلومات في mediaserver بتجاوز الإجراءات الأمنية المعمول بها لزيادة صعوبة المهاجمين الذين يستغلون المنصة. ويتم تصنيف هذه القضايا العليا شدة لأنها يمكن أن تستخدم أيضا لاكتساب قدرات مرتفعة، مثل التوقيع أو SignatureOrSystem أذونات الامتيازات، التي لا يمكن الوصول إلى تطبيقات الطرف الثالث.

CVE أخطاء بروابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0828 ANDROID-26338113 عالي 5.0.2 و 5.1.1 و 6.0 و 6.0.1 27 ديسمبر 2015
CVE-2016-0829 ANDROID-26338109 عالي 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 27 ديسمبر 2015

الحرمان عن بعد من ضعف الخدمة في Bluetooth

قد تسمح الثغرة المتعلقة برفض ثغرة الخدمة في مكون Bluetooth للمهاجم القريب بحظر الوصول إلى الجهاز المتأثر. قد يتسبب أحد المهاجمين في حدوث زيادة في عدد أجهزة Bluetooth المحددة في مكون Bluetooth ، مما يؤدي إلى تلف الذاكرة وتوقف الخدمة. تم تصنيف هذا على أنه عالي الخطورة لأنه يؤدي إلى رفض الخدمة لخدمة Bluetooth ، والتي يمكن إصلاحها فقط مع وميض الجهاز.

CVE خطأ في رابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0830 ANDROID-26071376 عالي 6.0 ، 6.0.1 جوجل الداخلي

ضعف إفشاء المعلومات في الاتصالات الهاتفية

قد تسمح ثغرة الكشف عن المعلومات في مكون الهتفية بالتطبيق للوصول إلى المعلومات الحساسة. تم تصنيف هذه المشكلة على أنها متوسطة الخطورة لأنه يمكن استخدامها للوصول إلى البيانات بشكل غير صحيح دون إذن.

CVE خطأ في رابط AOSP خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0831 ANDROID-25778215 معتدل 5.0.2 و 5.1.1 و 6.0 و 6.0.1 16 نوفمبر 2015

رفع ثغرة الامتياز في معالج الإعداد

يمكن أن تؤدي الثغرة الأمنية في معالج الإعداد إلى تمكين المهاجم الذي لديه حق الوصول المادي إلى الجهاز من الوصول إلى إعدادات الجهاز وإجراء إعادة تعيين يدوي للجهاز. تم تصنيف هذه المشكلة على أنها متوسطة الخطورة لأنه يمكن استخدامها للعمل بشكل غير صحيح حول حماية إعادة تعيين إعدادات المصنع.

CVE الأخطاء خطورة الإصدارات المحدثة تم الإبلاغ عن التاريخ
CVE-2016-0832 ANDROID-25955042 * معتدل 5.1.1 و 6.0 و 6.0.1 جوجل الداخلي

* لا يوجد تصحيح رمز مصدر متوفر لهذا التحديث.

أسئلة وأجوبة شائعة

يستعرض هذا القسم إجابات الأسئلة الشائعة التي قد تحدث بعد قراءة هذه النشرة.

1. كيف يمكنني تحديد ما إذا تم تحديث جهازي لمعالجة هذه المشكلات؟

يبني LMY49H أو أحدث و Android 6.0 مع مستوى تصحيح الأمان بتاريخ 1 مارس 2016 أو أحدث لمعالجة هذه المشاكل. راجع وثائق Nexus للحصول على إرشادات حول كيفية التحقق من مستوى تصحيح الأمان. يجب على الشركات المصنعة للأجهزة التي تتضمن هذه التحديثات تعيين مستوى سلسلة التصحيح على: [ro.build.version.security_patch]: [2016-03-01]

التنقيحات

  • 07 مارس 2016: تم نشر النشرة.
  • 08 مارس 2016: تم تعديل النشرة لتشمل روابط AOSP.