O Google está comprometido em promover a equidade racial para as comunidades negras. Veja como.
Esta página foi traduzida pela API Cloud Translation.
Switch to English

Boletim de Segurança Nexus - março de 2016

Publicado 07 de março de 2016 | Atualizado 08 de março de 2016

Lançamos uma atualização de segurança para dispositivos Nexus por meio de uma atualização sem fio (OTA) como parte de nosso processo de versão mensal do boletim de segurança do Android. As imagens de firmware do Nexus também foram divulgadas no site do desenvolvedor do Google . Cria o LMY49H ou posterior e o Android M com nível de patch de segurança de 01 de março de 2016 ou posterior soluciona esses problemas. Consulte a documentação do Nexus para obter instruções sobre como verificar o nível do patch de segurança.

Os parceiros foram notificados sobre os problemas descritos no boletim em 1 de fevereiro de 2016 ou anterior. Onde aplicável, os patches de código-fonte para esses problemas foram lançados no repositório Android Open Source Project (AOSP).

O mais grave desses problemas é uma vulnerabilidade de segurança crítica que pode permitir a execução remota de código em um dispositivo afetado por meio de vários métodos, como email, navegação na Web e MMS ao processar arquivos de mídia. A avaliação de gravidade é baseada no efeito que a exploração da vulnerabilidade poderia ter em um dispositivo afetado, supondo que as atenuações da plataforma e do serviço sejam desabilitadas para fins de desenvolvimento ou se ignoradas com êxito.

Não tivemos relatos de exploração ativa dos clientes sobre esses problemas relatados recentemente. Consulte a atenuações seção para obter detalhes sobre as proteções Android plataforma de segurança e proteções de serviços, como SafetyNet, que melhoram a segurança da plataforma Android. Incentivamos todos os clientes a aceitar essas atualizações em seus dispositivos.

Mitigações

Este é um resumo das atenuações fornecidas pela plataforma de segurança Android e proteções de serviço, como o SafetyNet. Esses recursos reduzem a probabilidade de que as vulnerabilidades de segurança possam ser exploradas com sucesso no Android.

  • A exploração de muitos problemas no Android é dificultada por aprimoramentos nas versões mais recentes da plataforma Android. Recomendamos que todos os usuários atualizem para a versão mais recente do Android sempre que possível.
  • A equipe do Android Security está monitorando ativamente os abusos com Verify Apps e SafetyNet, que alertam sobre aplicativos potencialmente perigosos a serem instalados. As ferramentas de root do dispositivo são proibidas no Google Play. Para proteger os usuários que instalam aplicativos fora do Google Play, o Verify Apps é ativado por padrão e avisa os usuários sobre aplicativos de root conhecidos. O Verify Apps tenta identificar e bloquear a instalação de aplicativos maliciosos conhecidos que exploram uma vulnerabilidade de escalação de privilégios. Se esse aplicativo já tiver sido instalado, o Verify Apps notificará o usuário e tentará remover esses aplicativos.
  • Conforme apropriado, os aplicativos Google Hangouts e Messenger não transmitem automaticamente a mídia para processos como o servidor de mídia.

Reconhecimentos

Gostaríamos de agradecer a esses pesquisadores por suas contribuições:

  • Abhishek Arya, Oliver Chang e Martin Barbella, da Equipe de segurança do Google Chrome: CVE-2016-0815
  • Anestis Bechtsoudis ( @anestisb ) de CENSUS SA: CVE-2016-0816, CVE-2016-0824
  • Chad Brubaker de Segurança Android: CVE-2016-0818
  • Marca do Google Project Zero: CVE-2016-0820
  • Mingjian Zhou ( @Mingjian_Zhou ), Chiachih Wu ( @chiachih_wu ) e Xuxian Jiang da equipe C0RE do Qihoo 360 : CVE-2016-0826
  • Peter Pi ( @heisecode ) da Trend Micro: CVE-2016-0827, CVE-2016-0828, CVE-2016-0829
  • Scott Bauer ( sbauer@eng.utah.edu , sbauer@plzdonthack.me ): CVE-2016-0822
  • Desejo Wu ( @wish_wu ) da Trend Micro Inc .: CVE-2016-0819
  • Yongzheng Wu e Tieyan Li da Huawei: CVE-2016-0831
  • Su Mon Kywe e Yingjiu Li, da Singapore Management University: CVE-2016-0831
  • Zach Riggle ( @ ebeip90 ) da Equipe de segurança do Android: CVE-2016-0821

Detalhes da vulnerabilidade de segurança

Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança que se aplicam ao nível de patch 01/03/2016. Há uma descrição do problema, uma justificativa de gravidade e uma tabela com o CVE, bug associado, gravidade, versões afetadas e data relatada. Quando disponível, vincularemos a alteração do AOSP que solucionou o problema ao ID do bug. Quando várias alterações estão relacionadas a um único bug, referências AOSP adicionais são vinculadas a números após o ID do bug.

Vulnerabilidade de execução remota de código no Mediaserver

Durante o arquivo de mídia e o processamento de dados de um arquivo especialmente criado, as vulnerabilidades no servidor de mídia podem permitir que um invasor cause corrupção de memória e execução remota de código como processo do servidor de mídia.

A funcionalidade afetada é fornecida como parte principal do sistema operacional e existem vários aplicativos que permitem que ele seja alcançado com conteúdo remoto, principalmente MMS e reprodução de mídia pelo navegador.

Esse problema é classificado como uma gravidade crítica devido à possibilidade de execução remota de código no contexto do serviço mediaserver. O serviço mediaserver tem acesso a fluxos de áudio e vídeo, bem como a privilégios que aplicativos de terceiros normalmente não podiam acessar.

CVE Erros com links AOSP Gravidade Versões atualizadas Data relatada
CVE-2016-0815 ANDROID-26365349 Crítico 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google Internal
CVE-2016-0816 ANDROID-25928803 Crítico 6.0, 6.0.1 Google Internal

Vulnerabilidades de execução remota de código na libvpx

Durante o arquivo de mídia e o processamento de dados de um arquivo especialmente criado, as vulnerabilidades no servidor de mídia podem permitir que um invasor cause corrupção de memória e execução remota de código como processo do servidor de mídia.

A funcionalidade afetada é fornecida como parte principal do sistema operacional e há vários aplicativos que permitem que seja alcançado com conteúdo remoto, principalmente MMS e reprodução de mídia pelo navegador.

Os problemas são classificados como Gravidade crítica, pois podem ser usados ​​para execução remota de código no contexto do serviço mediaserver. O serviço mediaserver tem acesso a fluxos de áudio e vídeo, bem como a privilégios que aplicativos de terceiros normalmente não podem acessar.

CVE Erro com links AOSP Gravidade Versões atualizadas Data relatada
CVE-2016-1621 ANDROID-23452792 [2] [3] Crítico 4.4.4, 5.0.2, 5.1.1, 6.0 Google Internal

Elevação de privilégio no Conscrypt

Uma vulnerabilidade no Conscrypt pode permitir que um tipo específico de certificado inválido, emitido por uma CA (Autoridade de Certificação) intermediária, seja incorretamente confiável. Isso pode permitir um ataque man-in-the-middle. Esse problema é classificado como uma gravidade crítica devido à possibilidade de elevação de privilégio e execução remota de código arbitrário.

CVE Erro com links AOSP Gravidade Versões atualizadas Data relatada
CVE-2016-0818 ANDROID-26232830 [2] Crítico 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google Internal

Vulnerabilidade de elevação de privilégio no componente de desempenho da Qualcomm

Uma vulnerabilidade de elevação de privilégio no componente de desempenho da Qualcomm pode permitir que um aplicativo mal-intencionado local execute código arbitrário no kernel. Esse problema é classificado como uma gravidade crítica devido à possibilidade de um comprometimento permanente do dispositivo local, e o dispositivo só pode ser reparado com a atualização do sistema operacional.

CVE Erro Gravidade Versões atualizadas Data relatada
CVE-2016-0819 ANDROID-25364034 * Crítico 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 29 Out 2015

* O patch para este problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site do desenvolvedor do Google .

Vulnerabilidade de elevação de privilégio no driver do kernel do MediaTek Wi-Fi

Há uma vulnerabilidade no driver do kernel do MediaTek Wi-Fi que pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Esse problema é classificado como uma gravidade crítica devido à possibilidade de elevação de privilégio e execução arbitrária de código no contexto do kernel.

CVE Erro Gravidade Versões atualizadas Data relatada
CVE-2016-0820 ANDROID-26267358 * Crítico 6.0.1 18 dez 2015

* O patch para este problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site do desenvolvedor do Google .

Vulnerabilidade de elevação de privilégio no componente Chaveiro do Kernel

Uma vulnerabilidade de elevação de privilégio no Kring Keyring Component pode permitir que um aplicativo mal-intencionado local execute código arbitrário no kernel. Esse problema é classificado como uma gravidade crítica devido à possibilidade de um comprometimento permanente local do dispositivo e o dispositivo só pode ser reparado potencialmente com a atualização do sistema operacional. No entanto, nas versões 5.0 e superior do Android, as regras do SELinux impedem que aplicativos de terceiros alcancem o código afetado.

Nota: Para referência, o patch no AOSP está disponível para versões específicas do kernel: 4.1 , 3.18 , 3.14 e 3.10 .

CVE Erro Gravidade Versões atualizadas Data relatada
CVE-2016-0728 ANDROID-26636379 Crítico 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11 Jan 2016

Vulnerabilidade de desvio de mitigação no kernel

Uma vulnerabilidade de desvio de mitigação no kernel pode permitir um desvio de medidas de segurança para aumentar a dificuldade dos invasores de explorar a plataforma. Esse problema foi classificado como Alta gravidade, pois poderia permitir um desvio das medidas de segurança para aumentar a dificuldade dos invasores de explorar a plataforma.

Nota: A atualização para esse problema está localizada no upstream do Linux .

CVE Erro Gravidade Versões atualizadas Data relatada
CVE-2016-0821 ANDROID-26186802 Alto 6.0.1 Google Internal

Elevação de privilégio no driver do kernel do MediaTek Connectivity

Há uma vulnerabilidade de elevação de privilégio em um driver do kernel de conectividade do MediaTek que pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Normalmente, um bug de execução de código do kernel como esse seria classificado como crítico, mas, como requer primeiro comprometer o serviço conn_launcher, justifica um downgrade para a classificação de severidade alta.

CVE Erro Gravidade Versões atualizadas Data relatada
CVE-2016-0822 ANDROID-25873324 * Alto 6.0.1 24 Nov 2015

* O patch para este problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site do desenvolvedor do Google .

Vulnerabilidade de divulgação de informações no kernel

Uma vulnerabilidade de divulgação de informações no kernel pode permitir um desvio das medidas de segurança para aumentar a dificuldade dos invasores de explorar a plataforma. Esses problemas são classificados como Alta gravidade, pois podem permitir um desvio local de tecnologias de mitigação de exploração, como o ASLR, em um processo privilegiado.

Nota: A correção para esse problema está localizada no Linux upstream .

CVE Erro Gravidade Versões atualizadas Data relatada
CVE-2016-0823 ANDROID-25739721 * Alto 6.0.1 Google Internal

* O patch para este problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site do desenvolvedor do Google .

Vulnerabilidade de divulgação de informações no libstagefright

Uma vulnerabilidade de divulgação de informações no libstagefright pode permitir um desvio das medidas de segurança para aumentar a dificuldade dos invasores de explorar a plataforma. Estas questões são classificadas como de alto gravidade, porque eles também poderiam ser usados para obter capacidades elevadas, tais como assinatura ou SignatureOrSystem permissões privilégios, que não são acessíveis a aplicativos de terceiros.

CVE Bug com link AOSP Gravidade Versões atualizadas Data relatada
CVE-2016-0824 ANDROID-25765591 Alto 6.0, 6.0.1 18 Nov 2015

Vulnerabilidade de divulgação de informações no Widevine

Uma vulnerabilidade de divulgação de informações no Widevine Trusted Application pode permitir que o código em execução no contexto do kernel acesse informações no armazenamento seguro TrustZone. Este problema é classificada como alta gravidade, pois poderia ser utilizado para obter capacidades elevadas, tais como assinatura ou SignatureOrSystem permissões privilégios.

CVE Insetos) Gravidade Versões atualizadas Data relatada
CVE-2016-0825 ANDROID-20860039 * Alto 6.0.1 Google Internal

* O patch para este problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site do desenvolvedor do Google .

Vulnerabilidade de elevação de privilégio no Mediaserver

Uma vulnerabilidade de elevação de privilégio no mediaserver pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto de um aplicativo de sistema elevado. Este problema é classificada como alta gravidade, pois poderia ser utilizado para obter capacidades elevadas, tais como assinatura ou SignatureOrSystem permissões privilégios, que não são acessíveis a um aplicativo de terceiros.

CVE Erros com links AOSP Gravidade Versões atualizadas Data relatada
CVE-2016-0826 ANDROID-26265403 [2] Alto 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 17 Dez 2015
CVE-2016-0827 ANDROID-26347509 Alto 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 28 Dez 2015

Vulnerabilidade de divulgação de informações no Mediaserver

Uma vulnerabilidade de divulgação de informações no servidor de mídia pode permitir um desvio das medidas de segurança para aumentar a dificuldade dos invasores de explorar a plataforma. Estas questões são classificadas como de alto gravidade, porque eles também poderiam ser usados para obter capacidades elevadas, tais como assinatura ou SignatureOrSystem permissões privilégios, que não são acessíveis a aplicativos de terceiros.

CVE Erros com links AOSP Gravidade Versões atualizadas Data relatada
CVE-2016-0828 ANDROID-26338113 Alto 5.0.2, 5.1.1, 6.0, 6.0.1 27 Dez 2015
CVE-2016-0829 ANDROID-26338109 Alto 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 27 Dez 2015

Vulnerabilidade de negação de serviço remota no Bluetooth

Uma vulnerabilidade de negação de serviço remota no componente Bluetooth pode permitir que um invasor proximal bloqueie o acesso a um dispositivo afetado. Um invasor pode causar um estouro de dispositivos Bluetooth identificados no componente Bluetooth, causando corrupção de memória e interrupção do serviço. Isso é classificado como uma severidade alta porque leva a uma negação de serviço para o serviço Bluetooth, que só pode ser corrigido com um flash do dispositivo.

CVE Bug com link AOSP Gravidade Versões atualizadas Data relatada
CVE-2016-0830 ANDROID-26071376 Alto 6.0, 6.0.1 Google Internal

Vulnerabilidade de divulgação de informações em telefonia

Uma vulnerabilidade de divulgação de informações no componente Telefonia pode permitir que um aplicativo acesse informações confidenciais. Este problema foi classificado como Gravidade moderada, pois poderia ser usado para acessar dados indevidamente sem permissão.

CVE Bug com link AOSP Gravidade Versões atualizadas Data relatada
CVE-2016-0831 ANDROID-25778215 Moderado 5.0.2, 5.1.1, 6.0, 6.0.1 16 Nov 2015

Vulnerabilidade de elevação de privilégio no Assistente de Instalação

Uma vulnerabilidade no Assistente de instalação pode permitir que um invasor com acesso físico ao dispositivo obtenha acesso às configurações do dispositivo e execute uma redefinição manual do dispositivo. Esse problema foi classificado como severidade moderada, pois poderia ser usado para solucionar indevidamente a proteção de redefinição de fábrica.

CVE Insetos) Gravidade Versões atualizadas Data relatada
CVE-2016-0832 ANDROID-25955042 * Moderado 5.1.1, 6.0, 6.0.1 Google Internal

* Não há patch de código fonte fornecido para esta atualização.

Perguntas e respostas comuns

Esta seção analisa respostas para perguntas comuns que podem ocorrer após a leitura deste boletim.

1. Como determino se meu dispositivo está atualizado para solucionar esses problemas?

Cria LMY49H ou posterior e o Android 6.0 com nível de patch de segurança de 1º de março de 2016 ou posterior soluciona esses problemas. Consulte a documentação do Nexus para obter instruções sobre como verificar o nível do patch de segurança. Os fabricantes de dispositivos que incluem essas atualizações devem definir o nível da cadeia de patches para: [ro.build.version.security_patch]: [2016-03-01]

Revisões

  • 7 de março de 2016: Boletim publicado.
  • 8 de março de 2016: Boletim revisado para incluir links AOSP.