Nexus-Sicherheitsbulletin – September 2015

Veröffentlicht am 9. September 2015

Wir haben im Rahmen unseres monatlichen Veröffentlichungsprozesses für das Sicherheitsbulletin für Android ein Sicherheitsupdate für Nexus-Geräte über ein Over-the-Air-Update (OTA) veröffentlicht (Build LMY48M). Die Updates für Nexus-Geräte und die Quellcode-Patches für diese Probleme wurden auch im Quell-Repository des Open-Source-Projekts für Android (AOSP) veröffentlicht. Das schwerwiegendste dieser Probleme ist eine kritische Sicherheitslücke, die die Remote-Codeausführung auf einem betroffenen Gerät ermöglichen könnte.

Die Nexus-Firmware-Images wurden auch auf der Google Developers-Website veröffentlicht. Diese Probleme werden in den Builds LMY48M oder höher behoben. Partner wurden am 13. August 2015 oder früher über diese Probleme informiert.

Wir haben keine Ausnutzung der neu gemeldeten Probleme durch Kunden festgestellt. Die Ausnahme ist das bestehende Problem (CVE-2015-3636). Im Abschnitt Maßnahmen zur Risikominderung finden Sie Details zu den Schutzmaßnahmen der Android-Sicherheitsplattform und zu Schutzmaßnahmen von Diensten wie SafetyNet,die die Wahrscheinlichkeit verringern, dass Sicherheitslücken unter Android erfolgreich ausgenutzt werden können.

Beide kritischen Sicherheitsupdates (CVE-2015-3864 und CVE-2015-3686) beheben bereits offengelegte Sicherheitslücken. In diesem Update werden keine neu offengelegten kritischen Sicherheitslücken behoben. Die Bewertung des Schweregrads basiert auf den Auswirkungen, die eine Ausnutzung der Sicherheitslücke auf ein betroffenes Gerät haben könnte, wenn die Maßnahmen zur Risikominderung auf Plattform- und Dienstebene zu Entwicklungszwecken deaktiviert oder erfolgreich umgangen werden.

Wir empfehlen allen Kunden, diese Updates auf ihren Geräten zu akzeptieren.

Maßnahmen zur Risikominderung

Dies ist eine Zusammenfassung der Maßnahmen, die von der Android-Sicherheitsplattform und von Diensten wie SafetyNet bereitgestellt werden. Diese Funktionen verringern die Wahrscheinlichkeit, dass Sicherheitslücken unter Android erfolgreich ausgenutzt werden können.

  • Die Ausnutzung vieler Sicherheitslücken unter Android wird durch Verbesserungen in neueren Versionen der Android-Plattform erschwert. Wir empfehlen allen Nutzern, nach Möglichkeit auf die aktuelle Android-Version zu aktualisieren.
  • Das Android-Sicherheitsteam überwacht aktiv Missbrauch mit „Apps überprüfen“ und SafetyNet, die vor potenziell schädlichen Anwendungen warnen, die installiert werden sollen. Tools zum Rooten von Geräten sind bei Google Play verboten. Zum Schutz von Nutzern, die Apps von außerhalb von Google Play installieren, ist die Funktion „Apps überprüfen“ standardmäßig aktiviert. Sie warnt Nutzer vor bekannten Rooting-Apps. Die Funktion „Apps überprüfen“ versucht, die Installation bekannter schädlicher Anwendungen zu erkennen und zu blockieren, die eine Sicherheitslücke zur Rechteausweitung ausnutzen. Wenn eine solche Anwendung bereits installiert wurde, benachrichtigt „Apps überprüfen“ den Nutzer und versucht, die Anwendung zu entfernen.
  • Google Hangouts und Messenger-Anwendungen geben Medien nicht automatisch an Prozesse wie mediaserver weiter.

Danksagungen

Wir möchten uns bei den folgenden Forschern für ihre Beiträge bedanken:

  • Jordan Gruskovnjak von Exodus Intelligence (@jgrusko): CVE-2015-3864
  • Michał Bednarski: CVE-2015-3845
  • Guang Gong von Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
  • Brennan Lautner: CVE-2015-3863
  • jgor (@indiecom): CVE-2015-3860
  • Wish Wu von Trend Micro Inc. (@wish_wu): CVE-2015-3861
  • Eric Dalci und Yi Zhang von Amazon Device Security: CVE-2015-3858

Details zu Sicherheitslücken

In den folgenden Abschnitten finden Sie Details zu den einzelnen Sicherheitslücken in diesem Bulletin. Es gibt eine Beschreibung des Problems, eine Begründung des Schweregrads und eine Tabelle mit dem CVE, dem zugehörigen Fehler, dem Schweregrad, den betroffenen Versionen und dem Datum, an dem das Problem gemeldet wurde. Wenn verfügbar, haben wir die AOSP-Änderung, mit der das Problem behoben wurde, mit der Bug-ID verknüpft. Wenn sich mehrere Änderungen auf denselben Bug beziehen, werden nach der Bug-ID anklickbare Ziffern zu zusätzlichen AOSP-Referenzen angegeben.

Sicherheitslücke bei der Codeausführung per Fernzugriff im Mediaserver

Während der Verarbeitung von Mediendateien und Daten einer speziell gestalteten Datei können Sicherheitslücken im Mediaserver es einem Angreifer ermöglichen, eine Speicherbeschädigung und Remote-Codeausführung als Mediaserver-Prozess zu verursachen.

Die betroffene Funktion ist ein wichtiger Bestandteil des Betriebssystems und es gibt mehrere Anwendungen, über die sie mit Remote-Inhalten erreicht werden kann, insbesondere MMS und die Wiedergabe von Medien im Browser.

Dieses Problem wird aufgrund der Möglichkeit einer Remote-Codeausführung im Kontext des Mediaserver-Dienstes als „Kritisch“ eingestuft. Der Mediaserver-Dienst hat Zugriff auf Audio- und Videostreams sowie auf Berechtigungen, auf die Drittanbieter-Apps normalerweise nicht zugreifen können.

Dieses Problem hängt mit der bereits gemeldeten Sicherheitslücke CVE-2015-3824 (ANDROID-20923261) zusammen. Das ursprüngliche Sicherheitsupdate war nicht ausreichend, um eine Variante dieses ursprünglich gemeldeten Problems zu beheben.

CVE Fehler bei AOSP-Links Schweregrad Betroffene Versionen
CVE-2015-3864 ANDROID-23034759 Kritisch 5.1 und niedriger

Sicherheitslücke bei der Rechteausweitung im Kernel

Eine Sicherheitslücke im Linux-Kernel, die eine Rechteausweitung ermöglicht, könnte es einer schädlichen Anwendung erlauben, beliebigen Code im Kontext des Kernels auszuführen.

Dieses Problem wurde aufgrund der Möglichkeit der Codeausführung in einem privilegierten Dienst, der Geräteschutzmaßnahmen umgehen kann, als „Kritisch“ eingestuft. Dies kann auf einigen Geräten zu einer dauerhaften Kompromittierung führen, d. h. die Systempartition muss neu geflasht werden.

Dieses Problem wurde am 1. Mai 2015 erstmals öffentlich identifiziert. Ein Exploit dieser Sicherheitslücke ist in einer Reihe von Rooting-Tools enthalten, die vom Geräteinhaber verwendet werden können, um die Firmware auf seinem Gerät zu ändern.

CVE Fehler mit AOSP-Links Schweregrad Betroffene Versionen
CVE-2015-3636 ANDROID-20770158 Kritisch 5.1 und niedriger

Sicherheitslücke bezüglich Rechteausweitung in Binder

Durch eine Sicherheitslücke in Binder, die eine Erhöhung von Berechtigungen ermöglicht, könnte eine schädliche Anwendung beliebigen Code im Kontext des Prozesses einer anderen App ausführen.

Dieses Problem wurde als „Hoch“ eingestuft, da es einer schädlichen Anwendung ermöglicht, Berechtigungen zu erlangen, die für Drittanbieter-Anwendungen nicht zugänglich sind.

CVE Fehler mit AOSP-Links Schweregrad Betroffene Versionen
CVE-2015-3845 ANDROID-17312693 Hoch 5.1 und niedriger
CVE-2015-1528 ANDROID-19334482 [2] Hoch 5.1 und niedriger

Sicherheitslücke im Keystore, die eine Rechteausweitung ermöglicht

Eine Sicherheitslücke im Keystore, die eine Rechteausweitung ermöglicht, kann einer schädlichen Anwendung erlauben, beliebigen Code im Kontext des Keystore-Dienstes auszuführen. Dies könnte die unbefugte Verwendung von Schlüsseln ermöglichen, die im Keystore gespeichert sind, einschließlich hardwaregestützter Schlüssel.

Dieses Problem wird als „Hoch“ eingestuft, da es ausgenutzt werden kann, um Berechtigungen zu erlangen, die für Drittanbieter-Apps nicht zugänglich sind.

CVE Fehler mit AOSP-Links Schweregrad Betroffene Versionen
CVE-2015-3863 ANDROID-22802399 Hoch 5.1 und niedriger

Sicherheitslücke bei der Rechteausweitung in Region

Eine Sicherheitslücke in Region, die eine Erhöhung von Berechtigungen ermöglicht, könnte es einer schädlichen Anwendung erlauben, durch Erstellen einer schädlichen Nachricht an einen Dienst beliebigen Code im Kontext des Zieldienstes auszuführen.

Dieses Problem wird als „Hoch“ eingestuft, da es ausgenutzt werden kann, um Berechtigungen zu erlangen, die für Drittanbieter-Apps nicht zugänglich sind.

CVE Fehler mit AOSP-Links Schweregrad Betroffene Versionen
CVE-2015-3849 ANDROID-20883006 [2] Hoch 5.1 und niedriger

Sicherheitslücke zur Rechteausweitung in SMS ermöglicht Umgehung von Benachrichtigungen

Eine Sicherheitslücke zur Erhöhung von Berechtigungen bei der Verarbeitung von SMS durch Android könnte es einer schädlichen App ermöglichen, eine SMS zu senden, die die Warnmeldung für kostenpflichtige SMS umgeht.

Dieses Problem wird als „Hoch“ eingestuft, da es ausgenutzt werden kann, um Berechtigungen zu erlangen, die für Drittanbieter-Apps nicht zugänglich sind.

CVE Fehler mit AOSP-Links Schweregrad Betroffene Versionen
CVE-2015-3858 ANDROID-22314646 Hoch 5.1 und niedriger

Sicherheitslücke bezüglich Rechteausweitung im Sperrbildschirm

Eine Sicherheitslücke im Sperrbildschirm, die eine Rechteausweitung ermöglicht, könnte es einem böswilligen Nutzer erlauben, den Sperrbildschirm zu umgehen, indem er ihn zum Absturz bringt. Dieses Problem wird nur unter Android 5.0 und 5.1 als Sicherheitslücke eingestuft. Es ist zwar möglich, die System-UI auf ähnliche Weise über den Sperrbildschirm in Version 4.4 zum Absturz zu bringen, aber der Startbildschirm ist nicht zugänglich und das Gerät muss neu gestartet werden, um es wiederherzustellen.

Dieses Problem wird als mittelschwer eingestuft, da es potenziell jemandem mit physischem Zugriff auf ein Gerät ermöglicht, Drittanbieter-Apps zu installieren, ohne dass der Eigentümer des Geräts die Berechtigungen genehmigt. Außerdem kann der Angreifer Kontaktdaten, Anruflisten, SMS-Nachrichten und andere Daten einsehen, die normalerweise mit einer Berechtigung der Stufe „Gefährlich“ geschützt sind.

CVE Fehler mit AOSP-Links Schweregrad Betroffene Versionen
CVE-2015-3860 ANDROID-22214934 Moderat 5.1 und 5.0

Denial-of-Service-Sicherheitslücke im Mediaserver

Eine Denial-of-Service-Sicherheitslücke im Mediaserver könnte es einem lokalen Angreifer ermöglichen, den Zugriff auf ein betroffenes Gerät vorübergehend zu blockieren.

Dieses Problem wird als geringfügig eingestuft, da ein Nutzer im abgesicherten Modus neu starten kann, um eine schädliche Anwendung zu entfernen, die dieses Problem ausnutzt. Es ist auch möglich, dass der Mediaserver die schädliche Datei remote über das Web oder über MMS verarbeitet. In diesem Fall stürzt der Mediaserver-Prozess ab und das Gerät bleibt nutzbar.

CVE Fehler mit AOSP-Links Schweregrad Betroffene Versionen
CVE-2015-3861 ANDROID-21296336 Niedrig 5.1 und niedriger