פורסם ב-9 בספטמבר 2015
פרסמנו עדכון אבטחה למכשירי Nexus באמצעות עדכון אויר (OTA) כחלק מתהליך השחרור החודשי של עלון האבטחה של Android (Build LMY48M). העדכונים עבור מכשירי Nexus ותיקוני קוד המקור לבעיות אלו שוחררו גם למאגר המקור של Android Open Source Project (AOSP). הבעיות החמורות ביותר הן פגיעות אבטחה קריטית שעלולה לאפשר ביצוע קוד מרחוק במכשיר מושפע.
תמונות הקושחה של Nexus שוחררו גם לאתר Google Developer . בונה LMY48M ומעלה מטפל בבעיות אלה. שותפים קיבלו הודעה על בעיות אלה ב-13 באוגוסט 2015 או קודם לכן.
לא זיהינו ניצול לקוחות של הבעיות החדשות שדווחו. היוצא מן הכלל הוא הנושא הקיים (CVE-2015-3636). עיין בסעיף ההפחתה לפרטים על הגנות פלטפורמת האבטחה של אנדרואיד, והגנות שירות כגון SafetyNet, המפחיתות את הסבירות שניתן יהיה לנצל בהצלחה פרצות אבטחה ב-Android.
שים לב ששני עדכוני האבטחה הקריטיים (CVE-2015-3864 ו-CVE-2015-3686) מטפלים בפרצות שכבר נחשפו. אין פרצות אבטחה קריטיות שנחשפו לאחרונה בעדכון זה. הערכת החומרה מבוססת על ההשפעה שאולי תהיה לניצול הפגיעות על מכשיר מושפע, בהנחה שהפלטפורמה וההפחתות השירות מושבתות למטרות פיתוח או אם יעקפו בהצלחה.
אנו מעודדים את כל הלקוחות לקבל עדכונים אלה למכשירים שלהם.
הקלות
זהו סיכום של ההקלות שמספקות פלטפורמת האבטחה אנדרואיד והגנות שירות כגון SafetyNet. יכולות אלו מפחיתות את הסבירות שניתן יהיה לנצל בהצלחה פרצות אבטחה באנדרואיד.
- ניצול בעיות רבות באנדרואיד מקשה על ידי שיפורים בגרסאות חדשות יותר של פלטפורמת אנדרואיד. אנו ממליצים לכל המשתמשים לעדכן לגרסה העדכנית ביותר של אנדרואיד במידת האפשר.
- צוות אבטחת אנדרואיד עוקב באופן פעיל אחר שימוש לרעה עם Verify Apps ו- SafetyNet אשר יזהירו מפני אפליקציות שעלולות להיות מזיקים שעומדים להתקין. כלי השתרשות מכשירים אסורים ב-Google Play. כדי להגן על משתמשים שמתקינים יישומים מחוץ ל-Google Play, Verify Apps מופעל כברירת מחדל והוא יזהיר משתמשים לגבי יישומי השתרשות ידועים. אימות אפליקציות מנסה לזהות ולחסום התקנה של יישומים זדוניים ידועים המנצלים פגיעות של הסלמה של הרשאות. אם יישום כזה כבר הותקן, Verify Apps יודיע למשתמש וינסה להסיר אפליקציות כאלה.
- בהתאם, יישומי Google Hangouts ו-Messenger אינם מעבירים מדיה אוטומטית לתהליכים כגון שרת מדיה.
תודות
ברצוננו להודות לחוקרים אלו על תרומתם:
- ג'ורדן גרוסקובנג'ק ממודיעין אקסודוס (@jgrusko): CVE-2015-3864
- מיכאל בדנרסקי: CVE-2015-3845
- גואנג גונג מ-Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
- ברנן לאוטנר: CVE-2015-3863
- jgor (@indiecom): CVE-2015-3860
- Wish Wu של Trend Micro Inc. (@wish_wu): CVE-2015-3861
פרטי פגיעות אבטחה
בסעיפים שלהלן, אנו מספקים פרטים עבור כל אחת מפגיעות האבטחה בעלון זה. יש תיאור של הבעיה, רציונל חומרה וטבלה עם ה-CVE, הבאג המשויך, החומרה, הגרסאות המושפעות ותאריך הדיווח. היכן שהוא זמין, קישרנו את השינוי ב-AOSP שטיפל בבעיה למזהה הבאג. כאשר שינויים מרובים מתייחסים לבאג בודד, הפניות נוספות של AOSP מקושרות למספרים בעקבות מזהה הבאג.
פגיעות של ביצוע קוד מרחוק ב-Mediaserver
במהלך קבצי מדיה ועיבוד נתונים של קובץ בעל מבנה מיוחד, פגיעויות בשרת המדיה עלולות לאפשר לתוקף לגרום לפגיעה בזיכרון ולביצוע קוד מרחוק כתהליך שרת המדיה.
הפונקציונליות המושפעת מסופקת כחלק מרכזי ממערכת ההפעלה וישנן מספר יישומים המאפשרים להגיע אליה עם תוכן מרוחק, בעיקר MMS והשמעת מדיה בדפדפן.
בעיה זו מדורגת כחומרה קריטית בשל האפשרות של ביצוע קוד מרחוק בהקשר של שירות שרת המדיה. לשירות שרת המדיה יש גישה לזרמי אודיו ווידאו וכן גישה להרשאות שאפליקציות צד שלישי אינן יכולות לגשת אליהן בדרך כלל.
בעיה זו קשורה ל-CVE-2015-3824 שכבר דווח (ANDROID-20923261). עדכון האבטחה המקורי לא היה מספיק כדי לטפל בגרסה של בעיה זו שדווחה במקור.
| CVE | באג עם קישורי AOSP | חוּמרָה | גרסאות מושפעות |
|---|---|---|---|
| CVE-2015-3864 | ANDROID-23034759 | קריטי | 5.1 ומטה |
פגיעות הרשאות גובה בליבה
העלאת פגיעות הרשאות בטיפול של ליבת לינוקס בשקעי ping עלולה לאפשר ליישום זדוני להפעיל קוד שרירותי בהקשר של הליבה.
בעיה זו מדורגת כחומרה קריטית עקב האפשרות של ביצוע קוד בשירות מיוחס שיכול לעקוף הגנות התקנים, מה שעלול להוביל לפגיעה קבועה (כלומר, לדרוש הבהוב מחדש של מחיצת המערכת) במכשירים מסוימים.
בעיה זו זוהתה לראשונה בפומבי ב-01 במאי, 2015. ניצול של פגיעות זו נכלל במספר כלי "רוטציה" שעשויים לשמש את בעל המכשיר כדי לשנות את הקושחה במכשיר שלו.
| CVE | באג(ים) עם קישורי AOSP | חוּמרָה | גרסאות מושפעות |
|---|---|---|---|
| CVE-2015-3636 | ANDROID-20770158 | קריטי | 5.1 ומטה |
פגיעות העלאת הרשאות ב-Binder
הפגיעות של העלאת הרשאות ב-Binder עלולה לאפשר לאפליקציה זדונית להפעיל קוד שרירותי בהקשר של תהליך של אפליקציה אחרת.
בעיה זו מדורגת כחומרה גבוהה מכיוון שהיא מאפשרת לאפליקציה זדונית לקבל הרשאות שאינן נגישות לאפליקציה של צד שלישי.
| CVE | באג(ים) עם קישורי AOSP | חוּמרָה | גרסאות מושפעות |
|---|---|---|---|
| CVE-2015-3845 | ANDROID-17312693 | גָבוֹהַ | 5.1 ומטה |
| CVE-2015-1528 | ANDROID-19334482 [ 2 ] | גָבוֹהַ | 5.1 ומטה |
פגיעות העלאת הרשאות ב-Keystore
הפגיעות של העלאת הרשאות ב-Keystore עלולה לאפשר ליישום זדוני להפעיל קוד שרירותי בהקשר של שירות מאגר המפתחות. זה עלול לאפשר שימוש לא מורשה במפתחות המאוחסנים על ידי Keystore, כולל מפתחות מגובי חומרה.
בעיה זו מדורגת כחומרה גבוהה מכיוון שניתן להשתמש בה כדי לקבל הרשאות שאינן נגישות לאפליקציה של צד שלישי.
| CVE | באג(ים) עם קישורי AOSP | חוּמרָה | גרסאות מושפעות |
|---|---|---|---|
| CVE-2015-3863 | ANDROID-22802399 | גָבוֹהַ | 5.1 ומטה |
הפגיעות של העלאת הרשאות באזור
הפגיעות של העלאת הרשאות באזור עלולה, באמצעות יצירת הודעה זדונית לשירות, לאפשר לאפליקציה זדונית להפעיל קוד שרירותי בהקשר של שירות היעד.
בעיה זו מדורגת כחומרה גבוהה מכיוון שניתן להשתמש בה כדי לקבל הרשאות שאינן נגישות לאפליקציה של צד שלישי.
| CVE | באג(ים) עם קישורי AOSP | חוּמרָה | גרסאות מושפעות |
|---|---|---|---|
| CVE-2015-3849 | ANDROID-20883006 [ 2 ] | גָבוֹהַ | 5.1 ומטה |
פגיעות העלאת הרשאות ב-SMS מאפשרת עקיפת הודעות
העלאת פגיעות הרשאות באופן שבו אנדרואיד מעבד הודעות SMS עלולה לאפשר לאפליקציה זדונית לשלוח הודעת SMS שעוקפת את התראת אזהרת ה-SMS בתעריף המובחר.
בעיה זו מדורגת כחומרה גבוהה מכיוון שניתן להשתמש בה כדי לקבל הרשאות שאינן נגישות לאפליקציה של צד שלישי.
| CVE | באג(ים) עם קישורי AOSP | חוּמרָה | גרסאות מושפעות |
|---|---|---|---|
| CVE-2015-3858 | ANDROID-22314646 | גָבוֹהַ | 5.1 ומטה |
פגיעות העלאת הרשאות במסך נעילה
פגיעות העלאת הרשאות ב- Lockscreen עלולה לאפשר למשתמש זדוני לעקוף את מסך הנעילה על ידי גרימת קריסתו. בעיה זו מסווגת כחולשה רק ב-Android 5.0 ו-5.1. אמנם אפשר לגרום לממשק המשתמש של המערכת לקרוס ממסך הנעילה בצורה דומה ב-4.4, אך לא ניתן לגשת למסך הבית ויש לאתחל את המכשיר כדי להתאושש.
בעיה זו מדורגת כחומרה בינונית מכיוון שהיא עשויה לאפשר למישהו עם גישה פיזית למכשיר להתקין אפליקציות של צד שלישי מבלי שהבעלים של המכשיר יאשר את ההרשאות. זה גם יכול לאפשר לתוקף להציג נתוני אנשי קשר, יומני טלפון, הודעות SMS ונתונים אחרים המוגנים בדרך כלל עם הרשאה ברמה "מסוכנת".
| CVE | באג(ים) עם קישורי AOSP | חוּמרָה | גרסאות מושפעות |
|---|---|---|---|
| CVE-2015-3860 | ANDROID-22214934 | לְמַתֵן | 5.1 ו-5.0 |
פגיעות מניעת שירות ב-Mediaserver
פגיעות של מניעת שירות בשרת מדיה עלולה לאפשר לתוקף מקומי לחסום זמנית גישה למכשיר מושפע.
בעיה זו מדורגת כדרגת חומרה נמוכה מכיוון שמשתמש יכול לאתחל למצב בטוח כדי להסיר אפליקציה זדונית שמנצלת בעיה זו. אפשר גם לגרום לשרת המדיה לעבד את הקובץ הזדוני מרחוק דרך האינטרנט או דרך MMS, במקרה כזה תהליך שרת המדיה קורס והמכשיר נשאר שמיש.
| CVE | באג(ים) עם קישורי AOSP | חוּמרָה | גרסאות מושפעות |
|---|---|---|---|
| CVE-2015-3861 | ANDROID-21296336 | נָמוּך | 5.1 ומטה |