Esta página foi traduzida pela API Cloud Translation.

Boletim de segurança do Nexus - setembro de 2015

Publicado em 9 de setembro de 2015

Lançamos uma atualização de segurança para dispositivos Nexus por meio de uma atualização over-the-air (OTA) como parte do nosso processo de lançamento mensal do Boletim de Segurança do Android (Build LMY48M). As atualizações para dispositivos Nexus e patches de código-fonte para esses problemas também foram lançadas no repositório de código-fonte do Android Open Source Project (AOSP). O mais grave desses problemas é uma vulnerabilidade crítica de segurança que pode permitir a execução remota de código em um dispositivo afetado.

As imagens do firmware do Nexus também foram divulgadas no site do Google Developers . As versões LMY48M ou posteriores resolvem esses problemas. Os parceiros foram notificados sobre esses problemas em 13 de agosto de 2015 ou antes.

Não detectamos exploração dos problemas relatados recentemente pelos clientes. A exceção é o problema existente (CVE-2015-3636). Consulte a seção Mitigações para obter detalhes sobre as proteções da plataforma de segurança Android e proteções de serviço, como SafetyNet, que reduzem a probabilidade de vulnerabilidades de segurança serem exploradas com sucesso no Android.

Observe que ambas as atualizações críticas de segurança (CVE-2015-3864 e CVE-2015-3686) abordam vulnerabilidades já divulgadas. Não há vulnerabilidades críticas de segurança recentemente divulgadas nesta atualização. A avaliação da gravidade baseia-se no efeito que a exploração da vulnerabilidade poderia ter num dispositivo afetado, assumindo que as mitigações da plataforma e do serviço estão desativadas para fins de desenvolvimento ou se forem contornadas com sucesso.

Incentivamos todos os clientes a aceitarem essas atualizações em seus dispositivos.

Mitigações

Este é um resumo das mitigações fornecidas pela plataforma de segurança Android e proteções de serviços como SafetyNet. Esses recursos reduzem a probabilidade de vulnerabilidades de segurança serem exploradas com sucesso no Android.

A exploração de muitos problemas no Android é dificultada pelas melhorias nas versões mais recentes da plataforma Android. Encorajamos todos os usuários a atualizar para a versão mais recente do Android sempre que possível.
A equipe de segurança do Android está monitorando ativamente abusos com Verify Apps e SafetyNet, que alertarão sobre aplicativos potencialmente prejudiciais prestes a serem instalados. Ferramentas de root de dispositivos são proibidas no Google Play. Para proteger os usuários que instalam aplicativos de fora do Google Play, o Verify Apps está ativado por padrão e avisará os usuários sobre aplicativos com root conhecidos. O Verify Apps tenta identificar e bloquear a instalação de aplicativos maliciosos conhecidos que exploram uma vulnerabilidade de escalonamento de privilégios. Se tal aplicativo já tiver sido instalado, o Verify Apps notificará o usuário e tentará remover tais aplicativos.
Conforme apropriado, os aplicativos Google Hangouts e Messenger não passam mídia automaticamente para processos como o mediaserver.

Reconhecimentos

Gostaríamos de agradecer a estes pesquisadores por suas contribuições:

Jordan Gruskovnjak da Exodus Intelligence (@jgrusko): CVE-2015-3864
Michał Bednarski: CVE-2015-3845
Guang Gong da Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
Brennan Lautner: CVE-2015-3863
jgor (@indiecom): CVE-2015-3860
Desejo Wu da Trend Micro Inc. (@wish_wu): CVE-2015-3861

Detalhes de vulnerabilidade de segurança

Nas seções abaixo, fornecemos detalhes de cada uma das vulnerabilidades de segurança deste boletim. Há uma descrição do problema, uma justificativa de gravidade e uma tabela com o CVE, bug associado, gravidade, versões afetadas e data relatada. Quando disponível, vinculamos a alteração do AOSP que resolveu o problema ao ID do bug. Quando várias alterações estão relacionadas a um único bug, referências adicionais do AOSP são vinculadas a números após o ID do bug.

Vulnerabilidade de execução remota de código no Mediaserver

Durante o processamento de arquivos de mídia e de dados de um arquivo especialmente criado, as vulnerabilidades no mediaserver podem permitir que um invasor cause corrupção de memória e execução remota de código durante o processo do mediaserver.

A funcionalidade afetada é fornecida como uma parte central do sistema operacional e há vários aplicativos que permitem que ela seja acessada com conteúdo remoto, principalmente MMS e reprodução de mídia no navegador.

Este problema é classificado como de gravidade Crítica devido à possibilidade de execução remota de código no contexto do serviço mediaserver. O serviço mediaserver tem acesso a fluxos de áudio e vídeo, bem como acesso a privilégios que aplicativos de terceiros normalmente não podem acessar.

Este problema está relacionado ao já relatado CVE-2015-3824 (ANDROID-20923261). A atualização de segurança original não foi suficiente para resolver uma variante deste problema relatado originalmente.

CVE	Bug com links AOSP	Gravidade	Versões afetadas
CVE-2015-3864	ANDROID-23034759	Crítico	5.1 e abaixo

Vulnerabilidade de privilégio de elevação no kernel

Uma vulnerabilidade de elevação de privilégio no tratamento de soquetes de ping pelo kernel Linux pode permitir que um aplicativo malicioso execute código arbitrário no contexto do kernel.

Este problema é classificado como de gravidade Crítica devido à possibilidade de execução de código em um serviço privilegiado que pode ignorar as proteções do dispositivo, levando potencialmente ao comprometimento permanente (ou seja, exigindo a atualização da partição do sistema) em alguns dispositivos.

Esse problema foi identificado publicamente pela primeira vez em 1º de maio de 2015. Uma exploração dessa vulnerabilidade foi incluída em diversas ferramentas de “rooting” que podem ser usadas pelo proprietário do dispositivo para modificar o firmware do dispositivo.

CVE	Bug(s) com links AOSP	Gravidade	Versões afetadas
CVE-2015-3636	ANDROID-20770158	Crítico	5.1 e abaixo

Vulnerabilidade de elevação de privilégio no Binder

Uma vulnerabilidade de elevação de privilégio no Binder pode permitir que um aplicativo malicioso execute código arbitrário dentro do contexto do processo de outro aplicativo.

Esse problema é classificado como de alta gravidade porque permite que um aplicativo malicioso obtenha privilégios não acessíveis a um aplicativo de terceiros.

CVE	Bug(s) com links AOSP	Gravidade	Versões afetadas
CVE-2015-3845	ANDROID-17312693	Alto	5.1 e abaixo
CVE-2015-1528	ANDROID-19334482 [ 2 ]	Alto	5.1 e abaixo

Vulnerabilidade de elevação de privilégio no Keystore

Uma vulnerabilidade de elevação de privilégio no Keystore pode permitir que um aplicativo malicioso execute código arbitrário dentro do contexto do serviço de keystore. Isso poderia permitir o uso não autorizado de chaves armazenadas pelo Keystore, incluindo chaves apoiadas por hardware.

Este problema é classificado como de gravidade alta porque pode ser usado para obter privilégios não acessíveis a um aplicativo de terceiros.

CVE	Bug(s) com links AOSP	Gravidade	Versões afetadas
CVE-2015-3863	ANDROID-22802399	Alto	5.1 e abaixo

Vulnerabilidade de elevação de privilégio na região

Uma vulnerabilidade de elevação de privilégio na região poderia, através da criação de uma mensagem maliciosa para um serviço, permitir que um aplicativo mal-intencionado executasse código arbitrário dentro do contexto do serviço de destino.

Este problema é classificado como de gravidade alta porque pode ser usado para obter privilégios não acessíveis a um aplicativo de terceiros.

CVE	Bug(s) com links AOSP	Gravidade	Versões afetadas
CVE-2015-3849	ANDROID-20883006 [ 2 ]	Alto	5.1 e abaixo

A vulnerabilidade de elevação de privilégio em SMS permite ignorar notificações

Uma vulnerabilidade de elevação de privilégio na maneira como o Android processa mensagens SMS pode permitir que um aplicativo malicioso envie uma mensagem SMS que contorne a notificação de aviso por SMS de tarifa premium.

Este problema é classificado como de gravidade alta porque pode ser usado para obter privilégios não acessíveis a um aplicativo de terceiros.

CVE	Bug(s) com links AOSP	Gravidade	Versões afetadas
CVE-2015-3858	ANDROID-22314646	Alto	5.1 e abaixo

Vulnerabilidade de elevação de privilégio na tela de bloqueio

Uma vulnerabilidade de elevação de privilégio na tela de bloqueio pode permitir que um usuário mal-intencionado ignore a tela de bloqueio, causando seu travamento. Este problema é classificado como vulnerabilidade apenas no Android 5.0 e 5.1. Embora seja possível fazer com que a IU do sistema trave na tela de bloqueio de maneira semelhante na versão 4.4, a tela inicial não pode ser acessada e o dispositivo deve ser reinicializado para se recuperar.

Este problema é classificado como de gravidade moderada porque potencialmente permite que alguém com acesso físico a um dispositivo instale aplicativos de terceiros sem que o proprietário do dispositivo aprove as permissões. Também pode permitir que o invasor visualize dados de contato, registros telefônicos, mensagens SMS e outros dados que normalmente são protegidos com uma permissão de nível “perigoso”.

CVE	Bug(s) com links AOSP	Gravidade	Versões afetadas
CVE-2015-3860	ANDROID-22214934	Moderado	5.1 e 5.0

Vulnerabilidade de negação de serviço no Mediaserver

Uma vulnerabilidade de negação de serviço no mediaserver pode permitir que um invasor local bloqueie temporariamente o acesso a um dispositivo afetado.

Esse problema é classificado como de gravidade baixa porque um usuário pode reinicializar no modo de segurança para remover um aplicativo mal-intencionado que está explorando esse problema. Também é possível fazer com que o mediaserver processe o arquivo malicioso remotamente através da web ou por MMS; nesse caso, o processo do mediaserver trava e o dispositivo permanece utilizável.

CVE	Bug(s) com links AOSP	Gravidade	Versões afetadas
CVE-2015-3861	ANDROID-21296336	Baixo	5.1 e abaixo