Nexus Güvenlik Bülteni - Eylül 2015

Yayınlanma tarihi: 9 Eylül 2015

Android Güvenlik Bülteni Aylık Sürüm sürecimiz kapsamında Nexus cihazlar için kablosuz (OTA) bir güvenlik güncellemesi yayınladık (Derleme LMY48M). Nexus cihazlar için güncellemeler ve bu sorunlarla ilgili kaynak kodu yamaları da Android Açık Kaynak Projesi (AOSP) kaynak deposunda yayınlanmıştır. Bu sorunların en önemlisi, etkilenen cihazda uzaktan kod yürütülmesine olanak tanıyabilecek kritik bir güvenlik açığıdır.

Nexus donanım yazılımı görüntüleri de Google Developers sitesinde yayınlanmıştır. LMY48M veya sonraki derlemeler bu sorunları giderir. İş ortakları, bu sorunlar hakkında 13 Ağustos 2015'te veya daha önce bilgilendirilmiştir.

Yeni bildirilen sorunların müşteriler tarafından kötüye kullanıldığına dair bir bulguya rastlamadık. Mevcut sorun (CVE-2015-3636) bu durumun istisnasıdır. Android güvenlik platformu korumaları ve SafetyNet gibi hizmet korumaları hakkında ayrıntılı bilgi için Azaltmalar bölümüne bakın. Bu korumalar, güvenlik açıklarının Android'de başarılı bir şekilde kötüye kullanılma olasılığını azaltır.

Kritik güvenlik güncellemelerinin (CVE-2015-3864 ve CVE-2015-3686) her ikisinin de daha önce açıklanan güvenlik açıklarını giderdiğini lütfen unutmayın. Bu güncellemede yeni açıklanan kritik güvenlik açığı yoktur. Önem derecesi değerlendirmesi, güvenlik açığından yararlanmanın etkilenen bir cihaz üzerinde yaratabileceği olası etkiye dayanır. Bu değerlendirme yapılırken platform ve hizmet azaltma önlemlerinin geliştirme amacıyla devre dışı bırakıldığı veya başarılı bir şekilde atlatıldığı varsayılır.

Tüm müşterilerimizin cihazlarında bu güncellemeleri kabul etmelerini öneririz.

Azaltma

Bu, Android güvenlik platformu tarafından sağlanan risk azaltma yöntemlerinin ve SafetyNet gibi hizmet korumalarının bir özetidir. Bu özellikler, Android'de güvenlik açıklarının kötü amaçla kullanılma olasılığını azaltır.

  • Android platformunun yeni sürümlerindeki geliştirmeler, Android'deki birçok sorunun kötüye kullanımını zorlaştırmaktadır. Tüm kullanıcıların mümkün olduğunca Android'in en yeni sürümüne güncelleme yapmasını öneririz.
  • Android Güvenlik Ekibi, Uygulamaları Doğrula ve SafetyNet ile kötüye kullanım durumlarını etkin bir şekilde izler. Bu araçlar, yüklenmek üzere olan potansiyel zararlı uygulamalar hakkında uyarı verir. Cihaz root'lama araçları Google Play'de yasaktır. Google Play dışından uygulama yükleyen kullanıcıları korumak için Uygulamaları Doğrula özelliği varsayılan olarak etkindir ve kullanıcıları bilinen root uygulamaları hakkında uyarır. Uygulama Doğrulama, ayrıcalık artırma güvenlik açığından yararlanan, bilinen kötü amaçlı uygulamaları tespit etmeye ve yüklenmesini engellemeye çalışır. Bu tür bir uygulama zaten yüklenmişse Uygulamaları Doğrulama, kullanıcıyı bilgilendirir ve bu tür uygulamaları kaldırmaya çalışır.
  • Google Hangouts ve Messenger uygulamaları, medyayı mediaserver gibi işlemlere otomatik olarak aktarmaz.

Onaylar

Katkılarından dolayı bu araştırmacılara teşekkür ederiz:

  • Exodus Intelligence'tan Jordan Gruskovnjak (@jgrusko): CVE-2015-3864
  • Michał Bednarski: CVE-2015-3845
  • Qihoo 360 Technology Co. Ltd'den Guang Gong (@oldfresher): CVE-2015-1528, CVE-2015-3849
  • Brennan Lautner: CVE-2015-3863
  • jgor (@indiecom): CVE-2015-3860
  • Trend Micro Inc.'den Wish Wu (@wish_wu): CVE-2015-3861
  • Amazon Cihaz Güvenliği'nden Eric Dalci ve Yi Zhang: CVE-2015-3858

Güvenlik Açığı Ayrıntıları

Aşağıdaki bölümlerde, bu bültendeki güvenlik açıklarının her biriyle ilgili ayrıntılar verilmektedir. Sorunun açıklaması, önem derecesi gerekçesi ve CVE, ilişkili hata, önem derecesi, etkilenen sürümler ve bildirilen tarih bilgilerini içeren bir tablo bulunur. Mümkün olduğunda, sorunu ele alan AOSP değişikliğini hata kimliğine bağladık. Birden fazla değişiklik tek bir hatayla ilgili olduğunda ek AOSP referansları, hata kimliğini takip eden sayılara bağlanır.

Mediaserver'da Uzaktan Kod Yürütme Güvenlik Açığı

Özel olarak hazırlanmış bir dosyanın medya dosyası ve veri işleme sürecinde, mediaserver'daki güvenlik açıkları, saldırganın mediaserver işlemi olarak bellek bozulmasına ve uzaktan kod yürütmesine neden olabilir.

Etkilenen işlev, işletim sisteminin temel bir parçası olarak sağlanır ve bu işleve uzaktan içerikle erişilmesine olanak tanıyan birden fazla uygulama vardır. Bunların en önemlileri MMS ve medyanın tarayıcıda oynatılmasıdır.

Mediaserver hizmeti bağlamında uzaktan kod yürütme olasılığı nedeniyle bu sorun, Kritik önem derecesinde olarak değerlendirilmiştir. Mediaserver hizmeti, ses ve video akışlarının yanı sıra üçüncü taraf uygulamaların normalde erişemediği ayrıcalıklara da erişebilir.

Bu sorun, daha önce bildirilen CVE-2015-3824 (ANDROID-20923261) ile ilgilidir. Orijinal güvenlik güncellemesi, orijinal olarak bildirilen bu sorunun bir varyantını gidermek için yeterli değildi.

CVE AOSP bağlantılarıyla ilgili hata Önem derecesi Etkilenen Sürümler
CVE-2015-3864 ANDROID-23034759 Kritik 5.1 ve altı

Çekirdekte Üst Düzey Ayrıcalık Güvenlik Açığı

Linux çekirdeğinin ping soketlerini işlemesinde bulunan bir ayrıcalık yükseltme güvenlik açığı, kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir.

Bu sorun, cihaz korumalarını atlayabilen ayrıcalıklı bir hizmette kod yürütme olasılığı nedeniyle Kritik önem derecesinde olarak değerlendirilmiştir.Bu durum, bazı cihazlarda kalıcı güvenlik ihlallerine (ör. sistem bölümünün yeniden yüklenmesini gerektiren) yol açabilir.

Bu sorun ilk olarak 1 Mayıs 2015'te herkese açık olarak tanımlanmıştır. Bu güvenlik açığından yararlanan bir kod, cihaz sahibinin cihazındaki donanım yazılımını değiştirmek için kullanabileceği bir dizi "root" aracına dahil edilmiştir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Etkilenen Sürümler
CVE-2015-3636 ANDROID-20770158 Kritik 5.1 ve altı

Binder'da Ayrıcalık Yükseltme Güvenlik Açığı

Binder'da bulunan ayrıcalık yükseltme güvenlik açığı, kötü amaçlı bir uygulamanın başka bir uygulamanın işlemi bağlamında rastgele kod yürütmesine olanak tanıyabilir.

Bu sorun, kötü amaçlı bir uygulamanın üçüncü taraf uygulamaların erişemediği ayrıcalıklar elde etmesine olanak tanıdığı için Yüksek önem derecesinde olarak değerlendirilmiştir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Etkilenen Sürümler
CVE-2015-3845 ANDROID-17312693 Yüksek 5.1 ve altı
CVE-2015-1528 ANDROID-19334482 [2] Yüksek 5.1 ve altı

Keystore'da Ayrıcalık Yükseltme Güvenlik Açığı

Keystore'daki bir ayrıcalık yükseltme güvenlik açığı, kötü amaçlı bir uygulamanın keystore hizmeti bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu durum, donanım tabanlı anahtarlar da dahil olmak üzere Keystore tarafından depolanan anahtarların yetkisiz kullanımına olanak tanıyabilir.

Bu sorun, üçüncü taraf uygulamalarının erişemeyeceği ayrıcalıklar elde etmek için kullanılabileceğinden Yüksek önem derecesinde olarak değerlendirilmiştir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Etkilenen Sürümler
CVE-2015-3863 ANDROID-22802399 Yüksek 5.1 ve altı

Bölgede Ayrıcalık Yükseltme Güvenlik Açığı

Bölge'deki bir ayrıcalık yükseltme güvenlik açığı, kötü amaçlı bir uygulamanın bir hizmete kötü amaçlı mesaj oluşturarak hedef hizmet bağlamında rastgele kod yürütmesine olanak tanıyabilir.

Bu sorun, üçüncü taraf uygulamalarının erişemeyeceği ayrıcalıklar elde etmek için kullanılabileceğinden Yüksek önem derecesinde olarak değerlendirilmiştir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Etkilenen Sürümler
CVE-2015-3849 ANDROID-20883006 [2] Yüksek 5.1 ve altı

SMS'te ayrıcalık yükseltme güvenlik açığı, bildirimlerin atlanmasına olanak tanır.

Android'in SMS mesajlarını işleme biçimindeki bir ayrıcalık yükseltme güvenlik açığı, kötü amaçlı bir uygulamanın, özel tarifeli SMS uyarı bildirimini atlayan bir SMS mesajı göndermesine olanak tanıyabilir.

Bu sorun, üçüncü taraf uygulamalarının erişemeyeceği ayrıcalıklar elde etmek için kullanılabileceğinden Yüksek önem derecesinde olarak değerlendirilmiştir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Etkilenen Sürümler
CVE-2015-3858 ANDROID-22314646 Yüksek 5.1 ve altı

Kilit Ekranında Ayrıcalık Yükseltme Güvenlik Açığı

Kilit ekranındaki bir ayrıcalık yükseltme güvenlik açığı, kötü amaçlı bir kullanıcının kilit ekranını kilitlenmeye zorlayarak atlamasına olanak tanıyabilir. Bu sorun yalnızca Android 5.0 ve 5.1'de güvenlik açığı olarak sınıflandırılmıştır. 4.4'te kilit ekranından benzer bir şekilde Sistem Kullanıcı Arayüzü'nün kilitlenmesine neden olmak mümkün olsa da ana ekrana erişilemez ve cihazın kurtarılması için yeniden başlatılması gerekir.

Bu sorun, bir cihaza fiziksel erişimi olan bir kişinin, cihaz sahibinin izinleri onaylamasına gerek kalmadan üçüncü taraf uygulamaları yüklemesine olanak tanıyabileceğinden Orta önem düzeyinde olarak değerlendirilmiştir. Ayrıca saldırganın kişi verilerini, telefon günlüklerini, SMS mesajlarını ve normalde "tehlikeli" düzeyde bir izinle korunan diğer verileri görüntülemesine de olanak tanıyabilir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Etkilenen Sürümler
CVE-2015-3860 ANDROID-22214934 Orta 5.1 ve 5.0

Mediaserver'da Hizmet Reddi Güvenlik Açığı

Mediaserver'daki bir hizmet reddi güvenlik açığı, yerel bir saldırganın etkilenen bir cihaza erişimi geçici olarak engellemesine olanak tanıyabilir.

Kullanıcı, bu sorundan yararlanan kötü amaçlı bir uygulamayı kaldırmak için cihazı güvenli modda yeniden başlatabileceğinden bu sorun, düşük önem derecesinde olarak değerlendirilmiştir. Ayrıca, mediaserver'ın kötü amaçlı dosyayı web veya MMS üzerinden uzaktan işlemesine neden olmak da mümkündür. Bu durumda mediaserver işlemi kilitlenir ve cihaz kullanılabilir durumda kalır.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Etkilenen Sürümler
CVE-2015-3861 ANDROID-21296336 Düşük 5.1 ve altı