Google si impegna a promuovere l'equità razziale per le comunità nere. Vedi come.
Questa pagina è stata tradotta dall'API Cloud Translation.
Switch to English

Bollettino sulla sicurezza di Nexus — aprile 2016

Pubblicato 04 aprile 2016 | Aggiornato il 19 dicembre 2016

Abbiamo rilasciato un aggiornamento di sicurezza per i dispositivi Nexus attraverso un aggiornamento over-the-air (OTA) come parte del nostro processo di rilascio mensile del bollettino sulla sicurezza di Android. Le immagini del firmware Nexus sono state anche rilasciate sul sito per sviluppatori Google . I livelli di patch di sicurezza del 02 aprile 2016 o successivi risolvono questi problemi (fare riferimento alla documentazione di Nexus per istruzioni su come controllare il livello di patch di sicurezza).

I partner sono stati informati dei problemi descritti nel bollettino il 16 marzo 2016 o precedenti. Laddove applicabile, le patch di codice sorgente per questi problemi sono state rilasciate nel repository AOSP (Android Open Source Project).

Il più grave di questi problemi è una vulnerabilità di sicurezza critica che potrebbe consentire l'esecuzione di codice in modalità remota su un dispositivo interessato attraverso più metodi come e-mail, navigazione Web e MMS durante l'elaborazione dei file multimediali. La valutazione della gravità si basa sull'effetto che lo sfruttamento della vulnerabilità potrebbe avere su un dispositivo interessato, presupponendo che le mitigazioni della piattaforma e del servizio siano disabilitate a fini di sviluppo o se vengano aggirate correttamente.

L'advisory sulla sicurezza di Android 2016-03-18 ha discusso in precedenza dell'uso di CVE-2015-1805 da un'applicazione di rooting. CVE-2015-1805 è stato risolto in questo aggiornamento. Non sono stati segnalati casi di sfruttamento attivo o abuso da parte dei clienti degli altri problemi appena segnalati. Fare riferimento alla sezione Mitigazioni per ulteriori dettagli sulle protezioni della piattaforma di sicurezza Android e protezioni di servizio come SafetyNet, che migliorano la sicurezza della piattaforma Android.

Fattori attenuanti

Questo è un riepilogo delle mitigazioni fornite dalla piattaforma di sicurezza Android e delle protezioni del servizio come SafetyNet. Queste funzionalità riducono la probabilità che le vulnerabilità di sicurezza possano essere sfruttate con successo su Android.

  • Lo sfruttamento per molti problemi su Android è reso più difficile dai miglioramenti nelle nuove versioni della piattaforma Android. Incoraggiamo tutti gli utenti ad aggiornare all'ultima versione di Android ove possibile.
  • Il team di sicurezza di Android sta monitorando attivamente gli abusi con Verify Apps e SafetyNet, che avviserà l'utente delle applicazioni potenzialmente dannose rilevate che stanno per essere installate. Gli strumenti di rooting dei dispositivi sono vietati in Google Play. Per proteggere gli utenti che installano applicazioni al di fuori di Google Play, Verifica app è abilitato per impostazione predefinita e avvisa gli utenti delle applicazioni di rooting note. Verifica App tenta di identificare e bloccare l'installazione di applicazioni dannose note che sfruttano una vulnerabilità di escalation di privilegi. Se tale applicazione è già stata installata, Verifica App avviserà l'utente e tenterà di rimuovere tali applicazioni.
  • Se del caso, le applicazioni di Google Hangouts e Messenger non passano automaticamente i media a processi come mediaserver.

Ringraziamenti

Il team di sicurezza di Android desidera ringraziare questi ricercatori per i loro contributi:

Il team di sicurezza Android ringrazia anche Yuan-Tsung Lo , Wenke Dou , Chiachih Wu ( @chiachih_wu ) e Xuxian Jiang del team C0RE e Zimperium per il loro contributo al CVE-2015-1805.

Dettagli sulla vulnerabilità della sicurezza

Le sezioni seguenti contengono i dettagli per ciascuna delle vulnerabilità di sicurezza che si applicano al livello di patch 2016-04-02. Esiste una descrizione del problema, una logica di gravità e una tabella con CVE, bug associato, gravità, versioni interessate e data riportata. Se disponibile, collegheremo il commit AOSP che ha risolto il problema con l'ID del bug. Quando più modifiche si riferiscono a un singolo bug, ulteriori riferimenti AOSP sono collegati ai numeri che seguono l'ID bug.

Vulnerabilità legata all'esecuzione di codice in modalità remota in DHCPCD

Una vulnerabilità nel servizio Dynamic Host Configuration Protocol potrebbe consentire a un utente malintenzionato di causare il danneggiamento della memoria, con conseguente esecuzione di codice in modalità remota. Questo problema è classificato come gravità critica a causa della possibilità di esecuzione di codice in modalità remota nel contesto del client DHCP. Il servizio DHCP ha accesso ai privilegi a cui le app di terze parti non potevano normalmente accedere.

CVE Bug con collegamenti AOSP Gravità Versioni aggiornate Data riportata
CVE-2014-6060 ANDROID-15268738 critico 4.4.4 30 luglio 2014
CVE-2014-6060 ANDROID-16677003 critico 4.4.4 30 luglio 2014
CVE-2016-1503 ANDROID-26461634 critico 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 4 gennaio 2016

Vulnerabilità legata all'esecuzione di codice in modalità remota in Media Codec

Durante il file multimediale e l'elaborazione dei dati di un file appositamente predisposto, le vulnerabilità in un codec multimediale utilizzato da mediaserver potrebbero consentire a un utente malintenzionato di causare il danneggiamento della memoria e l'esecuzione di codice in modalità remota come processo mediaserver.

La funzionalità interessata viene fornita come parte principale del sistema operativo e ci sono più applicazioni che ne consentono il raggiungimento con contenuti remoti, in particolare MMS e riproduzione di file multimediali da browser.

Questo problema è classificato come gravità critica a causa della possibilità di esecuzione di codice in modalità remota nel contesto del servizio mediaserver. Il servizio mediaserver ha accesso a flussi audio e video, nonché l'accesso ai privilegi a cui le app di terze parti non potevano normalmente accedere.

CVE insetto Gravità Versioni aggiornate Data riportata
CVE-2016-0834 ANDROID-26220548 * critico 6.0, 6.0.1 16 dic 2015

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto negli ultimi driver binari per i dispositivi Nexus disponibili sul sito di Google Developer .

Vulnerabilità legata all'esecuzione di codice in modalità remota in Mediaserver

Durante il file multimediale e l'elaborazione dei dati di un file appositamente predisposto, le vulnerabilità nel mediaserver potrebbero consentire a un utente malintenzionato di causare il danneggiamento della memoria e l'esecuzione di codice in modalità remota come processo mediaserver.

La funzionalità interessata viene fornita come parte principale del sistema operativo e ci sono più applicazioni che ne consentono il raggiungimento con contenuti remoti, in particolare MMS e riproduzione di file multimediali da browser.

Questo problema è classificato come gravità critica a causa della possibilità di esecuzione di codice in modalità remota nel contesto del servizio mediaserver. Il servizio mediaserver ha accesso a flussi audio e video, nonché l'accesso ai privilegi a cui le app di terze parti non potevano normalmente accedere.

CVE Bug con collegamenti AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-0835 ANDROID-26070014 [ 2 ] critico 6.0, 6.0.1 6-dic-2015
CVE-2016-0836 ANDROID-25812590 critico 6.0, 6.0.1 19 nov 2015
CVE-2016-0837 ANDROID-27208621 critico 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11 febbraio 2016
CVE-2016-0838 ANDROID-26366256 [ 2 ] critico 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google interno
CVE-2016-0839 ANDROID-25753245 critico 6.0, 6.0.1 Google interno
CVE-2016-0840 ANDROID-26399350 critico 6.0, 6.0.1 Google interno
CVE-2016-0841 ANDROID-26040840 critico 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google interno

Vulnerabilità legata all'esecuzione di codice in modalità remota in libstagefright

Durante il file multimediale e l'elaborazione dei dati di un file appositamente predisposto, le vulnerabilità in libstagefright potrebbero consentire a un utente malintenzionato di causare il danneggiamento della memoria e l'esecuzione di codice in modalità remota come processo mediaserver.

La funzionalità interessata viene fornita come parte principale del sistema operativo e ci sono più applicazioni che ne consentono il raggiungimento con contenuti remoti, in particolare MMS e riproduzione di file multimediali da browser.

Questo problema è classificato come gravità critica a causa della possibilità di esecuzione di codice in modalità remota nel contesto del servizio mediaserver. Il servizio mediaserver ha accesso a flussi audio e video, nonché l'accesso ai privilegi a cui le app di terze parti non potevano normalmente accedere.

CVE Bug con collegamento AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-0842 ANDROID-25818142 critico 6.0, 6.0.1 23 nov 2015

Vulnerabilità legata all'acquisizione di privilegi più elevati nel kernel

Una vulnerabilità legata all'acquisizione di privilegi più elevati nel kernel potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario all'interno del kernel. Questo problema è classificato come gravità critica a causa della possibilità di un compromesso permanente del dispositivo locale e potrebbe essere necessario riparare il dispositivo eseguendo nuovamente il flashing del sistema operativo. Questo problema è stato descritto nell'Advisory Android sulla sicurezza 18-03-2016 .

CVE insetto Gravità Versioni aggiornate Data riportata
CVE-2015-1805 ANDROID-27275324 * critico 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 19 febbraio 2016

* La patch in AOSP è disponibile per specifiche versioni del kernel: 3.14 , 3.10 e 3.4 .

Vulnerabilità legata all'acquisizione di privilegi più elevati nel Modulo prestazioni Qualcomm

Una vulnerabilità legata all'acquisizione di privilegi più elevati nel componente del gestore eventi delle prestazioni per i processori ARM di Qualcomm potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario all'interno del kernel. Questo problema è classificato come gravità critica a causa della possibilità di un compromesso permanente del dispositivo locale e potrebbe essere necessario riparare il dispositivo eseguendo nuovamente il flashing del sistema operativo.

CVE insetto Gravità Versioni aggiornate Data riportata
CVE-2016-0843 ANDROID-25801197 * critico 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 19 nov 2015

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto negli ultimi driver binari per i dispositivi Nexus disponibili sul sito di Google Developer .

Vulnerabilità legata all'acquisizione di privilegi più elevati nel componente RF di Qualcomm

Esiste una vulnerabilità nel driver RF Qualcomm che potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come gravità critica a causa della possibilità di un compromesso permanente del dispositivo locale e potrebbe essere necessario riparare il dispositivo eseguendo nuovamente il flashing del sistema operativo.

CVE Bug con collegamento AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-0844 ANDROID-26324307 * critico 6.0, 6.0.1 25 dicembre 2015

* Una patch aggiuntiva per questo problema si trova in upstream Linux .

Vulnerabilità legata all'acquisizione di privilegi più elevati nel kernel

Una vulnerabilità legata all'acquisizione di privilegi più elevati nel kernel comune potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel kernel. Questo problema è classificato come gravità critica a causa della possibilità di un compromesso permanente del dispositivo locale e potrebbe essere necessario riparare il dispositivo eseguendo nuovamente il flashing del sistema operativo.

CVE Bug con collegamenti AOSP Gravità Versioni aggiornate Data riportata
CVE-2014-9322 ANDROID-26927260 [ 2 ] [ 3 ]
[ 4 ] [ 5 ] [ 6 ] [ 7 ] [ 8 ] [ 9 ] [ 10 ] [ 11 ]
critico 6.0, 6.0.1 25 dicembre 2015

Vulnerabilità legata all'acquisizione di privilegi più elevati nell'interfaccia nativa di IMemory

Una vulnerabilità legata all'acquisizione di privilegi più elevati nell'interfaccia nativa di IMemory potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto di un'applicazione di sistema elevata. Questo problema è classificato come severo perché potrebbe essere utilizzato per ottenere capacità elevate, come i privilegi delle autorizzazioni Signature o SignatureOrSystem , che non sono accessibili a un'applicazione di terze parti.

CVE Bug con collegamento AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-0846 ANDROID-26877992 alto 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 29 gennaio 2016

Vulnerabilità legata all'acquisizione di privilegi più elevati nel componente Telecom

Una vulnerabilità legata all'acquisizione di privilegi più elevati nel componente Telecom potrebbe consentire a un utente malintenzionato di far apparire le chiamate provenienti da qualsiasi numero arbitrario. Questo problema è classificato come severo perché potrebbe essere utilizzato per ottenere l'accesso locale a funzionalità elevate, come i privilegi delle autorizzazioni Signature o SignatureOrSystem , che non sono accessibili a un'applicazione di terze parti.

CVE Bug con collegamenti AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-0847 ANDROID-26864502 [ 2 ] alto 5.0.2, 5.1.1, 6.0, 6.0.1 Google interno

Vulnerabilità legata all'acquisizione di privilegi più elevati in Download Manager

Una vulnerabilità legata all'acquisizione di privilegi più elevati in Download Manager potrebbe consentire a un utente malintenzionato di accedere a file non autorizzati nella memoria privata. Questo problema è classificato come severo perché potrebbe essere utilizzato per ottenere l'accesso locale a funzionalità elevate, come i privilegi delle autorizzazioni Signature o SignatureOrSystem , che non sono accessibili a un'applicazione di terze parti.

CVE Bug con collegamento AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-0848 ANDROID-26211054 alto 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 14 dic 2015

Vulnerabilità legata all'acquisizione di privilegi più elevati nella procedura di recupero

Una vulnerabilità legata all'acquisizione di privilegi più elevati nella Procedura di ripristino potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto di un'applicazione di sistema elevata. Questo problema è classificato come severo perché potrebbe essere utilizzato per ottenere capacità elevate, come i privilegi delle autorizzazioni Signature o SignatureOrSystem , che non sono accessibili a un'applicazione di terze parti.

CVE Bug con collegamento AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-0849 ANDROID-26960931 alto 5.0.2, 5.1.1, 6.0, 6.0.1 3 febbraio 2016

Vulnerabilità legata all'acquisizione di privilegi più elevati in Bluetooth

Un'elevata vulnerabilità dei privilegi in Bluetooth potrebbe consentire a un dispositivo non attendibile di accoppiarsi al telefono durante il processo di associazione iniziale. Ciò potrebbe comportare l'accesso non autorizzato alle risorse del dispositivo, come la connessione a Internet. Questo problema è classificato come severo perché potrebbe essere utilizzato per ottenere capacità elevate che non sono accessibili a dispositivi non attendibili.

CVE Bug con collegamento AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-0850 ANDROID-26551752 alto 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 13 gennaio 2016

Vulnerabilità legata all'acquisizione di privilegi più elevati nel driver aptico di Texas Instruments

Esiste un'elevata vulnerabilità dei privilegi in un driver del kernel aptico di Texas Instruments che potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto del kernel. Normalmente un bug di esecuzione del codice del kernel come questo sarebbe classificato come Critico, ma poiché prima richiede di compromettere un servizio in grado di chiamare il driver, viene invece valutato come Gravità elevata.

CVE insetto Gravità Versioni aggiornate Data riportata
CVE-2016-2409 ANDROID-25981545 * alto 6.0, 6.0.1 25 dicembre 2015

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto negli ultimi driver binari per i dispositivi Nexus disponibili sul sito di Google Developer .

Vulnerabilità legata all'acquisizione di privilegi più elevati nel driver del kernel video Qualcomm

Esiste un'elevazione della vulnerabilità dei privilegi in un driver del kernel video Qualcomm che potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto del kernel. Normalmente una vulnerabilità legata all'esecuzione di codice del kernel viene classificata come Critica, ma poiché richiede innanzitutto di compromettere un servizio in grado di chiamare il driver, viene invece classificata come Gravità elevata.

CVE insetto Gravità Versioni aggiornate Data riportata
CVE-2016-2410 ANDROID-26291677 * alto 6.0, 6.0.1 21 dic 2015

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto negli ultimi driver binari per i dispositivi Nexus disponibili sul sito di Google Developer .

Vulnerabilità legata all'acquisizione di privilegi più elevati nel componente Qualcomm Power Management

Esiste un'elevata vulnerabilità dei privilegi in un driver del kernel di Qualcomm Power Management che potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto del kernel. Normalmente un bug di esecuzione del codice del kernel come questo sarebbe classificato come Critico, ma poiché richiede prima di tutto di compromettere il dispositivo e l'elevazione alla radice, viene invece valutato come Gravità elevata.

CVE insetto Gravità Versioni aggiornate Data riportata
CVE-2016-2411 ANDROID-26866053 * alto 6.0, 6.0.1 28 gennaio 2016

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto negli ultimi driver binari per i dispositivi Nexus disponibili sul sito di Google Developer .

Vulnerabilità legata all'acquisizione di privilegi più elevati in System_server

Una vulnerabilità legata all'acquisizione di privilegi più elevati in System_server potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto di un'applicazione di sistema elevata. Questo problema è classificato come severo perché potrebbe essere utilizzato per ottenere capacità elevate, come i privilegi delle autorizzazioni Signature o SignatureOrSystem , che non sono accessibili a un'applicazione di terze parti.

CVE Bug con collegamento AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-2412 ANDROID-26593930 alto 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 15 gennaio 2016

Vulnerabilità legata all'acquisizione di privilegi più elevati in Mediaserver

Una vulnerabilità legata all'acquisizione di privilegi più elevati in mediaserver potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto di un'applicazione di sistema elevata. Questo problema è classificato come severo perché potrebbe essere utilizzato per ottenere capacità elevate, come i privilegi delle autorizzazioni Signature o SignatureOrSystem , che non sono accessibili a un'applicazione di terze parti.

CVE Bug con collegamento AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-2413 ANDROID-26403627 alto 5.0.2, 5.1.1, 6.0, 6.0.1 5 gennaio 2016

Vulnerabilità legata alla negazione del servizio in Minikin

Una vulnerabilità di negazione del servizio nella libreria Minikin potrebbe consentire a un utente malintenzionato locale di bloccare temporaneamente l'accesso a un dispositivo interessato. Un utente malintenzionato può causare il caricamento di un carattere non attendibile e causare un overflow nel componente Minikin, causando un arresto anomalo. Questa è classificata come Gravità elevata perché Denial of Service comporterebbe un ciclo di riavvio continuo.

CVE Bug con collegamenti AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-2414 ANDROID-26413177 [ 2 ] alto 5.0.2, 5.1.1, 6.0, 6.0.1 3 nov 2015

Vulnerabilità legata alla divulgazione di informazioni in Exchange ActiveSync

Una vulnerabilità legata alla divulgazione di informazioni in Exchange ActiveSync potrebbe consentire a un'applicazione locale dannosa di ottenere l'accesso alle informazioni private di un utente. Questo problema è classificato come severo perché consente l'accesso remoto ai dati protetti.

CVE Bug con collegamento AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-2415 ANDROID-26488455 alto 5.0.2, 5.1.1, 6.0, 6.0.1 11 gennaio 2016

Vulnerabilità legata alla divulgazione di informazioni in Mediaserver

Una vulnerabilità legata alla divulgazione di informazioni in Mediaserver potrebbe consentire di aggirare le misure di sicurezza in atto per aumentare la difficoltà degli aggressori che sfruttano la piattaforma. Questi problemi sono classificati come severi perché potrebbero anche essere utilizzati per ottenere capacità elevate, come i privilegi delle autorizzazioni Signature o SignatureOrSystem , che non sono accessibili alle applicazioni di terze parti.

CVE Bug con collegamenti AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-2416 ANDROID-27046057 [ 2 ] alto 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 5 febbraio 2016
CVE-2016-2417 ANDROID-26914474 alto 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 1 febbraio 2016
CVE-2016-2418 ANDROID-26324358 alto 6.0, 6.0.1 24 dicembre 2015
CVE-2016-2419 ANDROID-26323455 alto 6.0, 6.0.1 24 dicembre 2015

Vulnerabilità legata all'acquisizione di privilegi più elevati nel componente Debuggerd

Una vulnerabilità legata all'acquisizione di privilegi più elevati nel componente Debuggerd potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario che potrebbe portare a una compromissione permanente del dispositivo. Di conseguenza, potrebbe essere necessario riparare il dispositivo eseguendo nuovamente il flashing del sistema operativo. Normalmente un bug di esecuzione del codice come questo verrebbe valutato come Critico, ma poiché consente un aumento dei privilegi dal sistema alla radice solo nella versione 4.4.4 di Android, viene invece valutato come Moderato. Nelle versioni Android 5.0 e successive, le regole SELinux impediscono alle applicazioni di terzi di raggiungere il codice interessato.

CVE Bug con collegamenti AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-2420 ANDROID-26403620 [ 2 ] Moderare 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 5 gennaio 2016

Vulnerabilità legata all'acquisizione di privilegi più elevati in Installazione guidata

Una vulnerabilità nell'Installazione guidata potrebbe consentire a un utente malintenzionato di ignorare la protezione del ripristino delle impostazioni di fabbrica e ottenere l'accesso al dispositivo. Questo è classificato come gravità moderata perché potenzialmente consente a qualcuno con accesso fisico a un dispositivo di bypassare la protezione del ripristino delle impostazioni di fabbrica, che consentirebbe a un utente malintenzionato di ripristinare correttamente un dispositivo, cancellando tutti i dati.

CVE insetto Gravità Versioni aggiornate Data riportata
CVE-2016-2421 ANDROID-26154410 * Moderare 5.1.1, 6.0, 6.0.1 Google interno

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto nell'ultima versione binaria per i dispositivi Nexus disponibile dal sito degli sviluppatori di Google .

Vulnerabilità legata all'acquisizione di privilegi più elevati nel Wi-Fi

Un'elevata vulnerabilità dei privilegi nel Wi-Fi potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto di un'applicazione di sistema elevata. Questo problema è classificato come gravità moderata perché potrebbe essere utilizzato per ottenere capacità elevate, come i privilegi delle autorizzazioni Signature o SignatureOrSystem , che non sono accessibili a un'applicazione di terze parti.

CVE Bug con collegamento AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-2422 ANDROID-26324357 Moderare 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 23 dic 2015

Vulnerabilità legata all'acquisizione di privilegi più elevati in Telefonia

Una vulnerabilità nella telefonia potrebbe consentire a un utente malintenzionato di ignorare la protezione del ripristino delle impostazioni di fabbrica e ottenere l'accesso al dispositivo. Questo è classificato come gravità moderata perché potenzialmente consente a qualcuno con accesso fisico a un dispositivo di bypassare la protezione del ripristino delle impostazioni di fabbrica, che consentirebbe a un utente malintenzionato di ripristinare correttamente un dispositivo, cancellando tutti i dati.

CVE Bug con collegamento AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-2423 ANDROID-26303187 Moderare 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google interno

Vulnerabilità legata alla negazione del servizio in SyncStorageEngine

Una vulnerabilità di negazione del servizio in SyncStorageEngine potrebbe consentire a un'applicazione dannosa locale di causare un ciclo di riavvio. Questo problema è classificato come gravità moderata perché potrebbe essere utilizzato per causare un diniego di servizio temporaneo locale che potrebbe essere necessario risolvere tramite un ripristino delle impostazioni di fabbrica.

CVE Bug con collegamento AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-2424 ANDROID-26513719 Moderare 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google interno

Vulnerabilità legata alla divulgazione di informazioni nella posta AOSP

Una vulnerabilità legata alla divulgazione di informazioni in AOSP Mail potrebbe consentire a un'applicazione locale dannosa di ottenere l'accesso alle informazioni private di un utente. Questo problema è classificato come gravità moderata perché potrebbe essere utilizzato per ottenere in modo errato autorizzazioni "pericolose".

CVE Bug con collegamento AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-2425 ANDROID-26989185 Moderare 4.4.4, 5.1.1, 6.0, 6.0.1 29 gennaio 2016
CVE-2016-2425 ANDROID-7154234 * Moderare 5.0.2 29 gennaio 2016

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto nell'ultima versione binaria per i dispositivi Nexus disponibile dal sito degli sviluppatori di Google .

Vulnerabilità legata alla divulgazione di informazioni in Framework

Una vulnerabilità legata alla divulgazione di informazioni nel componente Framework potrebbe consentire a un'applicazione di accedere a informazioni riservate. Questo problema è classificato Gravità moderata perché potrebbe essere utilizzato per accedere impropriamente ai dati senza autorizzazione.

CVE Bug con collegamento AOSP Gravità Versioni aggiornate Data riportata
CVE-2016-2426 ANDROID-26094635 Moderare 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 8 dicembre 2015

Domande e risposte comuni

Questa sezione esamina le risposte alle domande più comuni che possono verificarsi dopo aver letto questo bollettino.

1. Come posso determinare se il mio dispositivo è stato aggiornato per risolvere questi problemi?

I livelli di patch di sicurezza del 2 aprile 2016 o successivi risolvono questi problemi (consultare la documentazione di Nexus per istruzioni su come controllare il livello di patch di sicurezza). I produttori di dispositivi che includono questi aggiornamenti dovrebbero impostare il livello della stringa di patch su: [ro.build.version.security_patch]: [2016-04-02]

2. Perché questo livello di patch di sicurezza è il 2 aprile 2016?

Il livello della patch di sicurezza per l'aggiornamento di sicurezza mensile è normalmente impostato sul primo del mese. Per aprile, un livello di patch di sicurezza del 1 ° aprile 2016 indica che sono stati risolti tutti i problemi descritti in questo bollettino, ad eccezione di CVE-2015-1805, come descritto nell'advisory sulla sicurezza di Android 2016-03-18 . Un livello di patch di sicurezza del 2 aprile 2016 indica che sono stati risolti tutti i problemi descritti in questo bollettino, incluso CVE-2015-1805, come descritto nell'advisory sulla sicurezza di Android 2016-03-18 .

revisioni

  • 04 aprile 2016: pubblicazione del bollettino.
  • 06 aprile 2016: bollettino rivisto per includere collegamenti AOSP.
  • 07 aprile 2016: il bollettino è stato modificato per includere un collegamento AOSP aggiuntivo.
  • 11 luglio 2016: descrizione aggiornata di CVE-2016-2427.
  • 01 agosto 2016: descrizione aggiornata di CVE-2016-2427
  • 19 dicembre 2016: aggiornato per rimuovere CVE-2016-2427, che è stato ripristinato.