Google متعهد به پیشبرد برابری نژادی برای جوامع سیاه است. ببینید چگونه.
این صفحه به‌وسیله ‏Cloud Translation API‏ ترجمه شده است.
Switch to English

بولتن امنیتی Nexus - مارس 2016

منتشر شده 07 مارس 2016 | بروزرسانی شده در 8 مارس 2016

ما به عنوان بخشی از روند انتشار ماهانه بولتن امنیتی اندرویدی ما ، از طریق یک به روزرسانی بیش از حد هوا (OTA) برای دستگاه های Nexus به روزرسانی امنیتی را منتشر کرده ایم. تصاویر سیستم عامل Nexus نیز در سایت Google Developer منتشر شده است. LMY49H یا بالاتر و Android M با سطح امنیت Patch در تاریخ 01 مارس 2016 یا بالاتر می سازد و این موارد را برطرف می کند. برای راهنمایی در مورد چگونگی بررسی سطح پچ امنیتی ، به اسناد Nexus مراجعه کنید.

شرکاء درباره موضوعات شرح داده شده در بولتن در تاریخ 1 فوریه 2016 یا قبل از آن مطلع شدند. در صورت امکان ، تکه های کد منبع برای این موارد به مخزن پروژه منبع باز Android (AOSP) منتشر شده است.

شدیدترین این مسائل ، آسیب پذیری امنیتی بحرانی است که می تواند اجرای روش از راه دور کد را در یک دستگاه آسیب دیده از طریق روش های مختلفی از جمله ایمیل ، مرور وب ، و MMS هنگام پردازش پرونده های رسانه ای فعال کند. ارزیابی شدت مبتنی بر تأثیر آن است که سوءاستفاده از آسیب پذیری احتمالاً روی یک دستگاه آسیب دیده تأثیر می گذارد ، با فرض اینکه سکو و کاهش خدمات برای اهداف توسعه غیرفعال شده یا در صورت گذشت با موفقیت انجام می شود.

ما هیچ گزارشی از سوءاستفاده فعال مشتری از این موارد تازه گزارش نشده است. برای جزئیات بیشتر در مورد محافظت از سکوی امنیتی Android و محافظت از خدمات مانند SafetyNet ، که باعث بهبود امنیت پلتفرم اندرویدی می شود ، به بخش Mitigations مراجعه کنید. ما کلیه مشتریان را ترغیب می کنیم که این به روزرسانی ها را در دستگاه های خود بپذیرند.

تخفیفات

این خلاصه ای از کاهش موارد ارائه شده توسط پلتفرم امنیتی اندروید و محافظت از خدمات مانند SafetyNet است. این قابلیت ها احتمال استفاده از آسیب پذیری های امنیتی را با موفقیت در اندروید کاهش می دهد.

  • با پیشرفت نسخه های جدیدتر سیستم عامل اندرویدی ، بهره برداری برای بسیاری از موارد در Android دشوارتر می شود. ما کلیه کاربران را تشویق می کنیم تا در صورت امکان ، آخرین نسخه Android را به روز کنند.
  • تیم امنیتی Android به طور جدی در مورد سوءاستفاده با Verify Apps و SafetyNet نظارت می کند و در مورد برنامه های خطرناک در مورد نصب هشدار می دهد. ابزارهای ریشه یابی دستگاه در Google Play ممنوع است. برای محافظت از کاربرانی که برنامه هایی را از خارج از Google Play نصب می کنند ، تأیید برنامه ها بصورت پیش فرض فعال شده و به کاربران درباره برنامه های شناخته شده ریشه زنی هشدار خواهد داد. تأیید برنامه ها سعی در شناسایی و مسدود کردن نصب برنامه های مخرب شناخته شده که از آسیب پذیری تشدید امتیاز استفاده می کنند. اگر چنین برنامه ای قبلاً نصب شده باشد ، Verify Apps به کاربر اطلاع می دهد و سعی در حذف چنین برنامه هایی دارد.
  • در صورت لزوم ، برنامه های Google Hangouts و مسنجر به طور خودکار رسانه ها را به پردازش هایی مانند واسطه انتقال نمی دهند.

سپاسگزاریها

ما می خواهیم از این محققان بخاطر مشارکتشان تشکر کنیم:

  • Abhishek Arya ، Oliver Chang و Martin Martin از تیم امنیتی Google Chrome: CVE-2016-0815
  • Anestis Bechtsoudis ( anestisb ) از CENSUS SA: CVE-2016-0816 ، CVE-2016-0824
  • Chad Brubaker از Android Security: CVE-2016-0818
  • مارک مارک Google Project Zero: CVE-2016-0820
  • Mingjian ژو ( Mingjian_Zhou )، Chiachih وو ( chiachih_wu ) و Xuxian جیانگ از C0RE تیم از Qihoo به 360 : CVE-2016-0826
  • پیتر پی ( heisecode ) از Trend Micro: CVE-2016-0827، CVE-2016-0828، CVE-2016-0829
  • اسکات باوئر ( sbauer@eng.utah.edu ، sbauer@plzdonthack.me ): CVE-2016-0822
  • Wish Wu ( wish_wu ) از Trend Micro Inc .: CVE-2016-0819
  • Yongzheng Wu و Tieyan Li of Huawei: CVE-2016-0831
  • سو مون کیو و یینگجیو لی از دانشگاه مدیریت سنگاپور: CVE-2016-0831
  • Zach Riggle ( @ ebeip90 ) تیم امنیتی اندروید: CVE-2016-0821

جزئیات آسیب پذیری امنیتی

در بخش های زیر ، جزئیات مربوط به هر یک از آسیب پذیری های امنیتی اعمال شده در سطح پچ 2016-03-01 را ارائه می دهیم. توضیحی در مورد این مسئله ، دلیل منطقی و جدول با CVE ، اشکالات مرتبط ، شدت ، نسخه های تحت تأثیر و تاریخ گزارش شده وجود دارد. در صورت وجود ، ما می خواهیم تغییرات AOSP را که مسئله را برطرف می کند به شناسه اشکال پیوند دهیم. هنگامی که تغییرات چندگانه مربوط به یک اشکال واحد است ، منابع اضافی AOSP به شماره های زیر شناسه اشکال مرتبط می شوند.

آسیب پذیری اجرای کد از راه دور در Mediaserver

در حین پرونده رسانه ای و پردازش داده ها از یک پرونده خاص تهیه شده ، آسیب پذیری های موجود در واسطه گر می تواند به مهاجمان اجازه دهد تا به عنوان پروسه واسطه گر باعث فساد حافظه و اجرای کد از راه دور شود.

عملکرد آسیب دیده به عنوان بخش اصلی سیستم عامل ارائه شده است و چندین برنامه وجود دارد که امکان دسترسی به محتوای آن از راه دور را دارند که مهمترین آنها MMS و پخش مرورگر رسانه است.

به دلیل امکان اجرای کد از راه دور در چارچوب سرویس واسطه گر ، این شماره به عنوان یک شدت بحرانی رتبه بندی شده است. سرویس واسطه گر به جریانهای صوتی و تصویری و همچنین دسترسی به امتیازهایی که برنامه های شخص ثالث به طور عادی نمی توانند دسترسی داشته باشند ، دسترسی دارند.

CVE اشکالات با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0815 ANDROID-26365349 بحرانی 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 Google Interior
CVE-2016-0816 ANDROID-25928803 بحرانی 6.0 ، 6.0.1 Google Interior

آسیب پذیری های اجرای کد از راه دور در libvpx

در حین پرونده رسانه ای و پردازش داده ها از یک پرونده خاص تهیه شده ، آسیب پذیری های موجود در واسطه گر می تواند به مهاجمان اجازه دهد تا به عنوان پروسه واسطه گر باعث فساد حافظه و اجرای کد از راه دور شود.

عملکرد آسیب دیده به عنوان بخش اصلی سیستم عامل ارائه شده است و چندین برنامه وجود دارد که امکان دسترسی به محتوای آن از راه دور را فراهم می کند که مهمترین آنها MMS و پخش مرورگر رسانه است.

این موضوعات به عنوان شدت بحرانی ارزیابی می شوند زیرا می توانند برای اجرای کد از راه دور در چارچوب سرویس واسطه گر استفاده شوند. سرویس واسطه گر به جریانهای صوتی و تصویری و همچنین دسترسی به امتیازهایی که برنامه های شخص ثالث به طور عادی نمی توانند دسترسی داشته باشند ، دسترسی دارند.

CVE اشکال در پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-1621 ANDROID-23452792 [2] [3] بحرانی 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 Google Interior

ارتقاء امتیاز در Conscrypt

آسیب پذیری در Conscrypt می تواند به نوع خاصی از گواهی نامعتبر ، صادر شده توسط یک اداره صدور گواهینامه میانی (CA) ، اجازه ندهد به طور صحیح اعتماد شود. این ممکن است یک حمله به فرد در وسط باشد. این مسئله به دلیل احتمال افزایش امتیاز و اجرای کد دلخواه از راه دور ، به عنوان یک بحرانی مهم ارزیابی شده است.

CVE اشکال در پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0818 ANDROID-26232830 [2] بحرانی 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 Google Interior

افزایش آسیب پذیری ممتاز در مؤلفه عملکرد Qualcomm

افزایش آسیب پذیری امتیاز در مؤلفه عملکرد Qualcomm می تواند یک برنامه مخرب محلی را برای اجرای کد دلخواه در هسته فعال کند. به دلیل احتمال سازش دستگاه دائمی محلی ، این مسئله به عنوان یک شدت بحرانی ارزیابی می شود و این دستگاه تنها با چشمک زدن مجدد سیستم عامل می تواند تعمیر شود.

CVE حشره شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0819 ANDROID-25364034 * بحرانی 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 29 اکتبر 2015

* وصله این شماره در AOSP نیست. بروزرسانی در جدیدترین درایورهای باینری برای دستگاههای Nexus موجود از سایت Google Developer موجود است .

افزایش آسیب پذیری ممتاز در درایور هسته هسته MediaTek

یک آسیب پذیری در درایور هسته MediaTek Wi-Fi وجود دارد که می تواند یک برنامه مخرب محلی را برای اجرای کد دلخواه در بستر هسته فعال کند. این شماره به دلیل احتمال افزایش امتیاز و اجرای کد دلخواه در زمینه هسته به عنوان یک شدت بحرانی رتبه بندی شده است.

CVE حشره شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0820 ANDROID-26267358 * بحرانی 6.0.1 18 دسامبر 2015

* وصله این شماره در AOSP نیست. بروزرسانی در جدیدترین درایورهای باینری برای دستگاههای Nexus موجود از سایت Google Developer موجود است .

افزایش آسیب پذیری ممتاز در مؤلفه اصلی کلید هسته

افزایش آسیب پذیری امتیاز در قسمت هسته کلید هسته می تواند یک برنامه مخرب محلی را برای اجرای کد دلخواه در هسته فعال کند. به دلیل امکان سازش دستگاه دائمی محلی ، این مسئله به عنوان یک بحران بحرانی ارزیابی شده است و این دستگاه تنها با مجدداً چشمک زن در سیستم عامل می تواند تعمیر شود. با این حال ، در نسخه های اندروید 5.0 و بالاتر ، قوانین SELinux مانع از دستیابی برنامه های شخص ثالث به کد آسیب دیده می شود.

توجه: برای مرجع ، پچ در AOSP برای نسخه های هسته خاص موجود است: 4.1 ، 3.18 ، 3.14 و 3.10 .

CVE حشره شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0728 ANDROID-26636379 بحرانی 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 11 ژانویه 2016

کاهش آسیب پذیری بای پس در هسته

کاهش آسیب پذیری بای پس در هسته می تواند دور زدن اقدامات امنیتی در محل را فراهم کند تا مشکل مهاجمین سوءاستفاده از این سکو را افزایش دهد. این مسئله به دلیل شدت زیاد درجه بندی شده است زیرا می تواند دور زدن اقدامات امنیتی در محل را فراهم کند تا مشکل مهاجمین سوءاستفاده از این سکو را افزایش دهد.

توجه: بروزرسانی این شماره در بالادست لینوکس قرار دارد .

CVE حشره شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0821 ANDROID-26186802 بالا 6.0.1 Google Interior

ارتقاء امتیاز در درایور هسته اتصال کانتینر مدیاتک

آسیب پذیری امتیاز در راننده هسته اتصال MediaTek وجود دارد که می تواند یک برنامه مخرب محلی را قادر به اجرای کد دلخواه در درون هسته کند. به طور معمول ، یک اشکال در اجرای کد هسته مانند این بسیار مهم ارزیابی می شود ، اما به دلیل این که ابتدا به شما نیاز دارد تا سرویس conn_launcher را به خطر بیاندازید ، یک کاهش به درجه شدت بالا را توجیه می کند.

CVE حشره شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0822 ANDROID-25873324 * بالا 6.0.1 24 نوامبر 2015

* وصله این شماره در AOSP نیست. بروزرسانی در جدیدترین درایورهای باینری برای دستگاههای Nexus موجود از سایت Google Developer موجود است .

آسیب پذیری افشای اطلاعات در هسته

آسیب پذیری افشای اطلاعات در هسته می تواند دور زدن اقدامات امنیتی در محل را فراهم کند تا مشکل مهاجمین سوءاستفاده از این سکو را افزایش دهد. این مسائل به دلیل شدت زیاد درجه بندی می شوند زیرا می توانند در یک فرایند ممتاز امکان دور زدن محلی از فناوریهای کاهش بهره برداری مانند ASLR را فراهم کنند.

توجه: رفع این مشکل در بالادست لینوکس قرار دارد .

CVE حشره شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0823 ANDROID-25739721 * بالا 6.0.1 Google Interior

* وصله این شماره در AOSP نیست. بروزرسانی در جدیدترین درایورهای باینری برای دستگاههای Nexus موجود از سایت Google Developer موجود است .

افشای اطلاعات در برابر آسیب پذیری در پرواز

آسیب پذیری افشای اطلاعات در libstagefright می تواند دور زدن اقدامات امنیتی در محل را فراهم کند تا مشکل مهاجمان سوءاستفاده از این سکو را افزایش دهد. این مسائل به عنوان شدت بالا درجهبندی شدهاست، چون آنها نیز می تواند مورد استفاده قرار گیرد برای به دست آوردن قابلیت های بالا، مانند امضاء یا SignatureOrSystem مجوز دسترسی، که به برنامه های شخص ثالث در دسترس نیست.

CVE اشکال با پیوند AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0824 ANDROID-25765591 بالا 6.0 ، 6.0.1 18 نوامبر 2015

آسیب پذیری افشای اطلاعات در Widevine

آسیب پذیری افشای اطلاعات در برنامه مورد اعتماد Widevine می تواند به کد در حال اجرا در متن هسته اجازه دهد تا به اطلاعات موجود در انبار امن TrustZone دسترسی پیدا کند. این مسئله به عنوان شدت بالا درجهبندی شدهاست، چون آن را می توان مورد استفاده قرار گیرد برای به دست آوردن قابلیت های بالا، مانند امضاء یا SignatureOrSystem مجوز دسترسی.

CVE اشکال شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0825 ANDROID-20860039 * بالا 6.0.1 Google Interior

* وصله این شماره در AOSP نیست. بروزرسانی در جدیدترین درایورهای باینری برای دستگاههای Nexus موجود از سایت Google Developer موجود است .

افزایش آسیب پذیری امتیاز در Mediaserver

افزایش آسیب پذیری امتیاز در واسطه گر می تواند یک برنامه مخرب محلی را برای اجرای کد دلخواه در چارچوب یک برنامه کاربردی سیستم افزایش دهد. این مسئله به عنوان شدت بالا درجهبندی شدهاست، چون آن را می توان مورد استفاده قرار گیرد برای به دست آوردن قابلیت های بالا، مانند امضاء یا SignatureOrSystem مجوز دسترسی، که به یک نرم افزار شخص ثالث در دسترس نیست.

CVE اشکالات با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0826 ANDROID-26265403 [2] بالا 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 17 دسامبر 2015
CVE-2016-0827 ANDROID-26347509 بالا 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 28 دسامبر 2015

آسیب پذیری افشای اطلاعات در Mediaserver

آسیب پذیری افشای اطلاعات در واسطه گر می تواند دور زدن اقدامات امنیتی در محل را فراهم کند تا مشکل مهاجمان سوءاستفاده از این سکو را افزایش دهد. این مسائل به عنوان شدت بالا درجهبندی شدهاست، چون آنها نیز می تواند مورد استفاده قرار گیرد برای به دست آوردن قابلیت های بالا، مانند امضاء یا SignatureOrSystem مجوز دسترسی، که به برنامه های شخص ثالث در دسترس نیست.

CVE اشکالات با پیوندهای AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0828 ANDROID-26338113 بالا 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 27 دسامبر 2015
CVE-2016-0829 ANDROID-26338109 بالا 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 27 دسامبر 2015

انکار از راه دور آسیب پذیری سرویس در بلوتوث

انکار از راه دور آسیب پذیری سرویس در مؤلفه بلوتوث می تواند به یک مهاجم نزدیک کننده اجازه دهد دسترسی به یک دستگاه آسیب دیده را مسدود کند. یک مهاجم می تواند باعث سرریز دستگاههای بلوتوث شناسایی شده در مؤلفه بلوتوث شود که منجر به فساد حافظه و توقف خدمات می شود. این به دلیل شدت زیاد درجه بندی می شود زیرا منجر به انکار سرویس به سرویس بلوتوث می شود ، که به طور بالقوه فقط با یک فلاش دستگاه قابل رفع است.

CVE اشکال با پیوند AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0830 ANDROID-26071376 بالا 6.0 ، 6.0.1 Google Interior

آسیب پذیری افشای اطلاعات در تلفن

آسیب پذیری افشای اطلاعات در مؤلفه تلفن می تواند به یک برنامه نویسی اجازه دهد تا به اطلاعات حساس دسترسی پیدا کند. این شماره از شدت متوسط ​​برخوردار است زیرا می توان بدون دسترسی به دسترسی نامناسب به داده ها استفاده کرد.

CVE اشکال با پیوند AOSP شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0831 ANDROID-25778215 در حد متوسط 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 16 نوامبر 2015

ارتقاء آسیب پذیری امتیاز در جادوگر راه اندازی

آسیب پذیری در جادوگر راه اندازی می تواند مهاجمی را که دسترسی فیزیکی به دستگاه داشته است بتواند به تنظیمات دستگاه دسترسی پیدا کند و یک تنظیم مجدد دستگاه را انجام دهد. این شماره به عنوان شدت متوسط ​​ارزیابی می شود زیرا می تواند برای کار نادرست در اطراف محافظت از تنظیم مجدد کارخانه استفاده شود.

CVE اشکال شدت نسخه های به روز شده تاریخ گزارش شده است
CVE-2016-0832 ANDROID-25955042 * در حد متوسط 5.1.1 ، 6.0 ، 6.0.1 Google Interior

* برای این بروزرسانی وصله کد منبع وجود ندارد.

سوالات و پاسخهای متداول

در این بخش پاسخ به سؤالات متداولی که ممکن است بعد از خواندن این بولتن وجود داشته باشد ، بررسی شده است.

1. چگونه می توانم تشخیص دهم که دستگاه من برای رفع این مشکلات به روز شده است؟

LMY49H یا جدیدتر و Android 6.0 را با سطح امنیتی Patch از تاریخ 1 مارس 2016 یا بعد از آن ایجاد می کند. برای راهنمایی در مورد چگونگی بررسی سطح پچ امنیتی ، به اسناد Nexus مراجعه کنید. تولید کنندگان دستگاه که شامل این به روزرسانی ها هستند ، باید رشته رشته پچ را روی: [ro.build.version.security_patch] تنظیم کنند: [2016-03-01]

بازنگری

  • 07 مارس 2016: بولتن منتشر شده است.
  • 8 مارس 2016: بولتن اصلاح شده برای پیوند دادن لینکهای AOSP.