Google berkomitmen untuk memajukan ekuitas ras untuk komunitas kulit hitam. Lihat bagaimana.
Halaman ini diterjemahkan oleh Cloud Translation API.
Switch to English

Buletin Keamanan Nexus - Maret 2016

Diterbitkan 07 Maret 2016 | Diperbarui 08 Maret 2016

Kami telah merilis pembaruan keamanan untuk perangkat Nexus melalui pembaruan over-the-air (OTA) sebagai bagian dari proses rilis Buletin Buletin Keamanan Android kami. Gambar firmware Nexus juga telah dirilis ke situs Pengembang Google . Membangun LMY49H atau lebih baru dan Android M dengan Security Patch Level 01 Maret 2016 atau lebih baru untuk mengatasi masalah ini. Lihat dokumentasi Nexus untuk petunjuk tentang cara memeriksa tingkat patch keamanan.

Mitra diberi tahu tentang masalah yang dijelaskan dalam buletin pada 1 Februari 2016 atau sebelumnya. Jika berlaku, tambalan kode sumber untuk masalah ini telah dirilis ke repositori Android Open Source Project (AOSP).

Yang paling parah dari masalah ini adalah kerentanan keamanan kritis yang dapat memungkinkan eksekusi kode jarak jauh pada perangkat yang terpengaruh melalui beberapa metode seperti email, penelusuran web, dan MMS saat memproses file media. Penilaian tingkat permasalahan didasarkan pada efek bahwa mengeksploitasi kerentanan mungkin akan terjadi pada perangkat yang terpengaruh, dengan asumsi platform dan mitigasi layanan dinonaktifkan untuk tujuan pengembangan atau jika berhasil dilewati.

Kami belum memiliki laporan tentang eksploitasi pelanggan aktif terhadap masalah yang baru dilaporkan ini. Rujuk ke bagian Mitigasi untuk perincian tentang perlindungan platform keamanan Android dan perlindungan layanan seperti SafetyNet, yang meningkatkan keamanan platform Android. Kami mendorong semua pelanggan untuk menerima pembaruan ini ke perangkat mereka.

Mitigasi

Ini adalah ringkasan dari mitigasi yang disediakan oleh platform keamanan Android dan perlindungan layanan seperti SafetyNet. Kemampuan ini mengurangi kemungkinan kerentanan keamanan dapat berhasil dieksploitasi di Android.

  • Eksploitasi untuk banyak masalah di Android menjadi lebih sulit dengan peningkatan versi Android yang lebih baru. Kami mendorong semua pengguna untuk memperbarui ke versi Android terbaru jika memungkinkan.
  • Tim Keamanan Android secara aktif memantau penyalahgunaan dengan Verify Apps dan SafetyNet yang akan memperingatkan tentang aplikasi yang berpotensi berbahaya yang akan dipasang. Alat rooting perangkat dilarang di dalam Google Play. Untuk melindungi pengguna yang memasang aplikasi dari luar Google Play, Verifikasi Aplikasi diaktifkan secara default dan akan memperingatkan pengguna tentang aplikasi rooting yang dikenal. Verifikasi Aplikasi berupaya mengidentifikasi dan memblokir pemasangan aplikasi jahat yang diketahui yang mengeksploitasi kerentanan hak istimewa. Jika aplikasi semacam itu telah diinstal, Verifikasi Aplikasi akan memberi tahu pengguna dan berusaha menghapus aplikasi tersebut.
  • Jika sesuai, aplikasi Google Hangouts dan Messenger tidak secara otomatis mengirimkan media ke proses seperti mediaserver.

Ucapan Terima Kasih

Kami ingin mengucapkan terima kasih kepada para peneliti ini atas kontribusi mereka:

  • Abhishek Arya, Oliver Chang, dan Martin Barbella dari Tim Keamanan Google Chrome: CVE-2016-0815
  • Anestis Bechtsoudis ( @anestisb ) dari CENSUS SA: CVE-2016-0816, CVE-2016-0824
  • Chad Brubaker dari Android Security: CVE-2016-0818
  • Tandai Merek Google Project Zero: CVE-2016-0820
  • Mingjian Zhou ( @Mingjian_Zhou ), Chiachih Wu ( @chiachih_wu ), dan Xuxian Jiang dari Tim C0RE dari Qihoo 360 : CVE-2016-0826
  • Peter Pi ( @heisecode ) dari Trend Micro: CVE-2016-0827, CVE-2016-0828, CVE-2016-0829
  • Scott Bauer ( sbauer@eng.utah.edu , sbauer@plzdonthack.me ): CVE-2016-0822
  • Wish Wu ( @wish_wu ) dari Trend Micro Inc .: CVE-2016-0819
  • Yongzheng Wu dan Tieyan Li dari Huawei: CVE-2016-0831
  • Su Mon Kywe dan Yingjiu Li dari Singapore Management University: CVE-2016-0831
  • Zach Riggle ( @ ebeip90 ) dari Tim Keamanan Android: CVE-2016-0821

Rincian Kerentanan Keamanan

Di bagian di bawah ini, kami memberikan perincian untuk masing-masing kerentanan keamanan yang berlaku untuk tingkat tambalan 2016-03-01. Ada deskripsi masalah, alasan keparahan, dan tabel dengan CVE, bug terkait, keparahan, versi yang terpengaruh, dan tanggal yang dilaporkan. Jika tersedia, kami akan menautkan perubahan AOSP yang membahas masalah ini ke ID bug. Ketika beberapa perubahan berhubungan dengan satu bug, referensi AOSP tambahan dihubungkan ke nomor setelah ID bug.

Kerentanan Eksekusi Kode Jarak Jauh di Mediaserver

Selama file media dan pemrosesan data dari file yang dibuat khusus, kerentanan dalam mediaserver dapat memungkinkan penyerang menyebabkan kerusakan memori dan eksekusi kode jarak jauh sebagai proses mediaserver.

Fungsionalitas yang terpengaruh disediakan sebagai bagian inti dari sistem operasi, dan ada beberapa aplikasi yang memungkinkan untuk dijangkau dengan konten jarak jauh, terutama MMS dan pemutaran browser dari media.

Masalah ini dinilai sebagai tingkat keparahan Kritis karena kemungkinan eksekusi kode jarak jauh dalam konteks layanan mediaserver. Layanan mediaserver memiliki akses ke streaming audio dan video serta akses ke hak istimewa yang biasanya tidak bisa diakses oleh aplikasi pihak ketiga.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0815 ANDROID-26365349 Kritis 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google Internal
CVE-2016-0816 ANDROID-25928803 Kritis 6.0, 6.0.1 Google Internal

Kerentanan Eksekusi Kode Jarak Jauh di libvpx

Selama file media dan pemrosesan data dari file yang dibuat khusus, kerentanan dalam mediaserver dapat memungkinkan penyerang menyebabkan kerusakan memori dan eksekusi kode jarak jauh sebagai proses mediaserver.

Fungsionalitas yang terpengaruh disediakan sebagai bagian inti dari sistem operasi dan ada beberapa aplikasi yang memungkinkan untuk dijangkau dengan konten jarak jauh, terutama MMS dan pemutaran media browser.

Masalah-masalah tersebut dinilai sebagai tingkat keparahan Kritis karena dapat digunakan untuk eksekusi kode jarak jauh dalam konteks layanan mediaserver. Layanan mediaserver memiliki akses ke streaming audio dan video serta akses ke hak istimewa yang biasanya tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-1621 ANDROID-23452792 [2] [3] Kritis 4.4.4, 5.0.2, 5.1.1, 6.0 Google Internal

Peningkatan Privilege di Conscrypt

Kerentanan dalam Conscrypt dapat memungkinkan jenis sertifikat tidak valid tertentu, yang dikeluarkan oleh Otoritas Sertifikat perantara (CA), untuk dipercaya secara salah. Ini dapat memungkinkan serangan dari orang ke tengah Masalah ini dinilai sebagai tingkat keparahan Kritis karena kemungkinan peningkatan hak istimewa dan eksekusi kode arbitrer jarak jauh.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0818 ANDROID-26232830 [2] Kritis 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google Internal

Peningkatan Kerentanan Privilege dalam Komponen Kinerja Qualcomm

Peningkatan kerentanan hak istimewa dalam komponen kinerja Qualcomm dapat memungkinkan aplikasi jahat lokal untuk mengeksekusi kode arbitrer di kernel. Masalah ini dinilai sebagai tingkat keparahan Kritis karena kemungkinan kompromi perangkat permanen lokal, dan perangkat hanya dapat diperbaiki dengan menginstal ulang sistem operasi.

CVE Bug Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0819 ANDROID-25364034 * Kritis 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 29 Okt 2015

* Tambalan untuk masalah ini tidak di AOSP. Pembaruan terkandung dalam driver biner terbaru untuk perangkat Nexus yang tersedia dari situs Pengembang Google .

Peningkatan Kerentanan Privilege di MediaTek Wi-Fi Kernel Driver

Ada kerentanan dalam driver kernel MediaTek Wi-Fi yang dapat memungkinkan aplikasi jahat lokal untuk mengeksekusi kode arbitrer dalam konteks kernel. Masalah ini dinilai sebagai tingkat keparahan Kritis karena kemungkinan peningkatan hak istimewa dan eksekusi kode arbitrer dalam konteks kernel.

CVE Bug Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0820 ANDROID-26267358 * Kritis 6.0.1 18 Des 2015

* Tambalan untuk masalah ini tidak di AOSP. Pembaruan terkandung dalam driver biner terbaru untuk perangkat Nexus yang tersedia dari situs Pengembang Google .

Peningkatan Kerentanan Privilege dalam Komponen Keyring Kernel

Peningkatan kerentanan hak istimewa dalam Komponen Keyring Kernel dapat memungkinkan aplikasi jahat lokal untuk mengeksekusi kode arbitrer di dalam kernel. Masalah ini dinilai sebagai tingkat keparahan Kritis karena kemungkinan kompromi perangkat permanen lokal dan perangkat berpotensi hanya dapat diperbaiki dengan menginstal ulang sistem operasi. Namun, di Android versi 5.0 dan di atasnya, aturan SELinux mencegah aplikasi pihak ketiga mencapai kode yang terpengaruh.

Catatan: Untuk referensi, tambalan di AOSP tersedia untuk versi kernel spesifik: 4.1 , 3.18 , 3.14 , dan 3.10 .

CVE Bug Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0728 ANDROID-26636379 Kritis 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11 Jan 2016

Kerentanan Bypass Mitigasi di Kernel

Kerentanan bypass mitigasi dalam kernel dapat memungkinkan bypass langkah-langkah keamanan untuk meningkatkan kesulitan penyerang mengeksploitasi platform. Masalah ini dinilai sebagai tingkat keparahan yang tinggi karena dapat memungkinkan bypass langkah-langkah keamanan untuk meningkatkan kesulitan penyerang mengeksploitasi platform.

Catatan: Pembaruan untuk masalah ini terletak di hulu Linux .

CVE Bug Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0821 ANDROID-26186802 Tinggi 6.0.1 Google Internal

Peningkatan Privilege dalam MediaTek Connectivity Kernel Driver

Ada peningkatan kerentanan hak istimewa dalam driver kernel konektivitas MediaTek yang dapat memungkinkan aplikasi jahat lokal untuk mengeksekusi kode arbitrer dalam konteks kernel. Biasanya bug eksekusi kode kernel seperti ini akan dinilai kritis, tetapi karena itu memerlukan pertama-tama kompromi layanan conn_launcher, itu membenarkan downgrade ke peringkat tingkat keparahan tinggi.

CVE Bug Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0822 ANDROID-25873324 * Tinggi 6.0.1 24 Nov 2015

* Tambalan untuk masalah ini tidak di AOSP. Pembaruan terkandung dalam driver biner terbaru untuk perangkat Nexus yang tersedia dari situs Pengembang Google .

Kerentanan Pengungkapan Informasi dalam Kernel

Kerentanan pengungkapan informasi dalam kernel dapat memungkinkan bypass langkah-langkah keamanan untuk meningkatkan kesulitan penyerang mengeksploitasi platform. Masalah-masalah ini dinilai sebagai keparahan tinggi karena mereka dapat memungkinkan bypass lokal teknologi mitigasi eksploitasi seperti ASLR dalam proses istimewa.

Catatan: Perbaikan untuk masalah ini terletak di Linux hulu .

CVE Bug Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0823 ANDROID-25739721 * Tinggi 6.0.1 Google Internal

* Tambalan untuk masalah ini tidak di AOSP. Pembaruan terkandung dalam driver biner terbaru untuk perangkat Nexus yang tersedia dari situs Pengembang Google .

Keterbukaan Informasi Keterbukaan di libstagefright

Kerentanan pengungkapan informasi dalam libstagefright dapat memungkinkan bypass langkah-langkah keamanan untuk meningkatkan kesulitan penyerang mengeksploitasi platform. Masalah-masalah ini dinilai sebagai tingkat keparahan tinggi karena mereka juga dapat digunakan untuk mendapatkan kapabilitas yang lebih tinggi, seperti hak istimewa Signature atau SignatureOrSystem , yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0824 ANDROID-25765591 Tinggi 6.0, 6.0.1 18 Nov 2015

Kerentanan Pengungkapan Informasi di Widevine

Kerentanan pengungkapan informasi dalam Aplikasi Tepercaya Widevine dapat memungkinkan kode berjalan dalam konteks kernel untuk mengakses informasi dalam penyimpanan aman TrustZone. Masalah ini dinilai sebagai Tingkat keparahan tinggi karena dapat digunakan untuk mendapatkan kemampuan yang ditingkatkan, seperti hak istimewa Signature atau SignatureOrSystem .

CVE Bug) Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0825 ANDROID-20860039 * Tinggi 6.0.1 Google Internal

* Tambalan untuk masalah ini tidak di AOSP. Pembaruan terkandung dalam driver biner terbaru untuk perangkat Nexus yang tersedia dari situs Pengembang Google .

Peningkatan Kerentanan Privilege dalam Mediaserver

Peningkatan kerentanan hak istimewa dalam mediaserver dapat memungkinkan aplikasi jahat lokal untuk mengeksekusi kode arbitrer dalam konteks aplikasi sistem yang ditingkatkan. Masalah ini dinilai sebagai Tingkat keparahan tinggi karena dapat digunakan untuk mendapatkan kemampuan yang lebih tinggi, seperti hak istimewa Signature atau SignatureOrSystem , yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0826 ANDROID-26265403 [2] Tinggi 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 17 Des 2015
CVE-2016-0827 ANDROID-26347509 Tinggi 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 28 Des 2015

Kerentanan Pengungkapan Informasi dalam Mediaserver

Kerentanan pengungkapan informasi dalam mediaserver dapat memungkinkan bypass langkah-langkah keamanan yang ada untuk meningkatkan kesulitan penyerang mengeksploitasi platform. Masalah-masalah ini dinilai sebagai tingkat keparahan tinggi karena mereka juga dapat digunakan untuk mendapatkan kapabilitas yang lebih tinggi, seperti hak istimewa Signature atau SignatureOrSystem , yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0828 ANDROID-26338113 Tinggi 5.0.2, 5.1.1, 6.0, 6.0.1 27 Des 2015
CVE-2016-0829 ANDROID-26338109 Tinggi 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 27 Des 2015

Remote Denial of Service Vulnerability di Bluetooth

Penolakan jauh terhadap kerentanan layanan dalam komponen Bluetooth dapat memungkinkan penyerang proksimal memblokir akses ke perangkat yang terpengaruh. Penyerang dapat menyebabkan meluapnya perangkat Bluetooth yang diidentifikasi dalam komponen Bluetooth, yang menyebabkan kerusakan memori dan berhenti layanan. Ini dinilai sebagai tingkat keparahan tinggi karena mengarah ke Penolakan Layanan ke layanan Bluetooth, yang berpotensi hanya dapat diperbaiki dengan flash perangkat.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0830 ANDROID-26071376 Tinggi 6.0, 6.0.1 Google Internal

Kerentanan Pengungkapan Informasi dalam Telephony

Kerentanan pengungkapan informasi dalam komponen Telephony dapat memungkinkan aplikasi mengakses informasi sensitif. Masalah ini diberi peringkat Keparahan sedang karena dapat digunakan untuk mengakses data secara tidak patut tanpa izin.

CVE Bug dengan tautan AOSP Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0831 ANDROID-25778215 Moderat 5.0.2, 5.1.1, 6.0, 6.0.1 16 Nov 2015

Peningkatan Kerentanan Privilege di Setup Wizard

Kerentanan dalam Setup Wizard dapat memungkinkan penyerang yang memiliki akses fisik ke perangkat untuk mendapatkan akses ke pengaturan perangkat dan melakukan reset perangkat manual. Masalah ini dinilai sebagai tingkat keparahan yang sedang karena dapat digunakan untuk bekerja secara tidak benar di sekitar perlindungan pengaturan ulang pabrik.

CVE Bug) Kerasnya Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0832 ANDROID-25955042 * Moderat 5.1.1, 6.0, 6.0.1 Google Internal

* Tidak ada patch kode sumber yang disediakan untuk pembaruan ini.

Pertanyaan dan Jawaban Umum

Bagian ini mengulas jawaban untuk pertanyaan umum yang mungkin muncul setelah membaca buletin ini.

1. Bagaimana cara saya menentukan apakah perangkat saya diperbarui untuk mengatasi masalah ini?

Membangun LMY49H atau lebih baru dan Android 6.0 dengan Security Patch Level 1 Maret 2016 atau lebih baru untuk mengatasi masalah ini. Lihat dokumentasi Nexus untuk petunjuk tentang cara memeriksa tingkat patch keamanan. Pabrikan perangkat yang menyertakan pembaruan ini harus mengatur level string patch ke: [ro.build.version.security_patch]: [2016-03-01]

Revisi

  • 07 Maret 2016: Buletin diterbitkan.
  • 08 Maret 2016: Buletin direvisi untuk menyertakan tautan AOSP.