2015 年 11 月 2 日公開
Android のセキュリティに関する月例情報公開の一環として、Nexus デバイスに対するセキュリティ アップデートを無線（OTA）アップデートで配信しました。Nexus ファームウェア イメージも Google デベロッパー サイトにリリースされています。LMY48X 以降のビルド、および Android Marshmallow（セキュリティ パッチ レベルが 2015 年 11 月 1 日以降）で上記の問題に対処しています。詳しくは、一般的な質問と回答をご覧ください。
パートナーには下記の問題について 2015 年 10 月 5 日までに通知済みです。下記の問題に対するソースコードのパッチは、今後 48 時間にわたって Android オープンソース プロジェクト（AOSP）レポジトリにリリースされます。AOSP リンクが利用可能になり次第、この公開情報を改訂します。
下記の問題のうち最も重大度の高いものは、多様な方法（メール、ウェブの閲覧、MMS など）により、攻撃対象のデバイスでメディア ファイルを処理する際にリモートでのコード実行が可能になるおそれのある重大なセキュリティの脆弱性です。重大度の評価は、対象デバイスで脆弱性が悪用された場合の影響に基づくもので、プラットフォームやサービスでのリスク軽減策が開発目的または不正な回避により無効となっていることを前提としています。
この新たに報告された問題によって実際のユーザー デバイスが不正使用された報告はありません。Android セキュリティ プラットフォームの保護や SafetyNet のようなサービスの保護について詳しくは、下記のリスクの軽減をご覧ください。こうした保護により、Android プラットフォームのセキュリティが改善されます。ご利用のデバイスでは、上記の更新を行うことをすべてのユーザーにおすすめします。
リスクの軽減
ここでは、Android セキュリティ プラットフォームの保護と SafetyNet のようなサービスの保護によるリスクの軽減について概説します。こうした機能は、Android でセキュリティの脆弱性が悪用される可能性を減らします。
- Android 上の多くの問題の悪用は、Android プラットフォームの最新版で機能が強化されるほど困難になります。Google では、すべてのユーザーに対し、できる限り最新バージョンの Android に更新することをおすすめしています。
- Android セキュリティ チームは、「アプリの確認」や SafetyNet によって脆弱性の悪用を積極的に監視しています。こうした機能は、有害な可能性があるアプリがインストールされる前に警告します。デバイスの root 権限を取得するツールは Google Play では禁止されています。Google Play 以外からアプリをインストールするユーザーを保護するため、「アプリの確認」はデフォルトで有効になっており、既知の root 権限取得アプリについてユーザーに警告します。「アプリの確認」では、悪意のある既知のアプリで権限昇格の脆弱性が悪用されないように、そのようなアプリのインストールを見つけて阻止します。こうしたアプリがすでにインストールされている場合は、ユーザーに通知して、そのアプリの削除を試みます。
- Google ハングアウトやメッセンジャーのアプリでは状況を適宜判断し、メディアサーバーなどのプロセスに自動的にメディアを渡すことはありません。
謝辞
調査にご協力くださった下記の皆様方に感謝いたします（敬称略）。
- Google Chrome セキュリティ チームの Abhishek Arya、Oliver Chang、Martin Barbella: CVE-2015-6608
- Copperhead Security の Daniel Micay（daniel.micay@copperhead.co）: CVE-2015-6609
- KAIST System Security Lab の Dongkwan Kim（dkay@kaist.ac.kr）: CVE-2015-6614
- KAIST System Security Lab の Hongil Kim（hongilk@kaist.ac.kr）: CVE-2015-6614
- Trend Micro の Jack Tang（@jacktang310）: CVE-2015-6611
- Trend Micro の Peter Pi: CVE-2015-6611
- Google Project Zero の Natalie Silvanovich: CVE-2015-6608
- KeenTeam（@K33nTeam、http://k33nteam.org/）の Qidan He（@flanker_hqd）、Wen Xu（@antlr7）: CVE-2015-6612
- Qihoo 360 Technology Co.Ltd の Guang Gong（龚广）（@oldfresher、higongguang@gmail.com）: CVE-2015-6612
- Trend Micro の Seven Shen: CVE-2015-6610
セキュリティの脆弱性の詳細
パッチレベル 2015-11-01 に該当するセキュリティ脆弱性の各項目について、下記に詳細を説明します。問題の内容とその重大度の根拠について説明し、CVE、関連するバグ、重大度、影響を受けるバージョン、報告日を表にまとめています。その問題に対処した AOSP の変更がある場合は、そのバグ ID にリンクを設定しています。複数の変更が同じバグに関係する場合は、バグ ID の後に続く番号で、追加の AOSP リファレンスへのリンクを示します。
メディアサーバーでのリモートコード実行の脆弱性
特別に細工されたメディア ファイルやデータのメディアサーバーでの処理中に、攻撃者がメディアサーバーの脆弱性を悪用して、メモリ破壊やリモートコード実行を行うおそれがあります。
影響を受ける機能はオペレーティング システムの中核部分として提供されており、複数のアプリにおいて、リモート コンテンツ（特に MMS やブラウザでのメディアの再生）によってこの脆弱性が攻撃されるおそれがあります。
メディアサーバーのサービスにおいてリモートでコードが実行されるおそれがあるため、この問題の重大度は「重大」と判断されています。メディアサーバーのサービスは音声や動画のストリームにアクセスできるほか、通常はサードパーティ製アプリがアクセスできないような権限にアクセスできます。
| CVE | バグと AOSP リンク | 重大度 | 影響のあるバージョン | 報告日 |
|---|---|---|---|---|
| CVE-2015-6608 | ANDROID-19779574 | 重大 | 5.0、5.1、6.0 | Google 社内 |
| ANDROID-23680780 | ||||
| ANDROID-23876444 | ||||
| ANDROID-23881715 | 重大 | 4.4、5.0、5.1、6.0 | Google 社内 | |
| ANDROID-14388161 | 重大 | 4.4、5.1 | Google 社内 | |
| ANDROID-23658148 | 重大 | 5.0、5.1、6.0 | Google 社内 |
libutils でのリモートコード実行の脆弱性
汎用ライブラリである libutils の脆弱性が、音声ファイルの処理中に悪用されるおそれがあります。特別に細工したファイルが処理される間に、攻撃者が脆弱性をメモリ破壊やリモートコード実行に悪用できるおそれがあります。
影響を受ける機能は API として提供されており、複数のアプリにおいて、リモート コンテンツ（特に MMS やブラウザでのメディアの再生）によってこの脆弱性が攻撃されるおそれがあります。特権サービスでリモートコード実行が可能になるため、この問題は「重大」と判断されています。攻撃を受けたコンポーネントは音声や動画のストリームにアクセスできるほか、通常はサードパーティのアプリがアクセスできない権限にアクセスできます。
| CVE | バグと AOSP リンク | 重大度 | 影響のあるバージョン | 報告日 |
|---|---|---|---|---|
| CVE-2015-6609 | ANDROID-22953624 [2] | 重大 | 6.0 以下 | 2015 年 8 月 3 日 |
メディアサーバーでの情報開示の脆弱性
メディアサーバーに情報開示の脆弱性があり、攻撃者によるプラットフォームの悪用を困難にするよう設定されたセキュリティ対策が回避できるおそれがあります。
| CVE | バグと AOSP リンク | 重大度 | 影響のあるバージョン | 報告日 |
|---|---|---|---|---|
| CVE-2015-6611 | ANDROID-23905951 [2] [3] | 高 | 6.0 以下 | 2015 年 9 月 7 日 |
| ANDROID-23912202* | ||||
| ANDROID-23953967* | ||||
| ANDROID-23696300 | 高 | 6.0 以下 | 2015 年 8 月 31 日 | |
| ANDROID-23600291 | 高 | 6.0 以下 | 2015 年 8 月 26 日 | |
| ANDROID-23756261 [2] | 高 | 6.0 以下 | 2015 年 8 月 26 日 | |
| ANDROID-23540907 [2] | 高 | 5.1 以下 | 2015 年 8 月 25 日 | |
| ANDROID-23541506 | 高 | 6.0 以下 | 2015 年 8 月 25 日 | |
| ANDROID-23284974* | ||||
| ANDROID-23542351* | ||||
| ANDROID-23542352* | ||||
| ANDROID-23515142 | 高 | 5.1 以下 | 2015 年 8 月 19 日 |
* このバグへのパッチは別途提供される AOSP リンクに含まれます。
libstagefright での権限昇格の脆弱性
libstagefright に権限昇格の脆弱性があり、メディアサーバーのサービス中に悪意のあるローカルアプリがメモリの破壊や任意のコードの実行を行えるおそれがあります。この問題は、通常は「重大」と判断されますが、リモートで悪用される可能性が低いため、重大度は「高」と判断されています。
| CVE | バグと AOSP リンク | 重大度 | 影響のあるバージョン | 報告日 |
|---|---|---|---|---|
| CVE-2015-6610 | ANDROID-23707088 [2] | 高 | 6.0 以下 | 2015 年 8 月 19 日 |
libmedia での権限昇格の脆弱性
libmedia に権限昇格の脆弱性があり、メディアサーバーのサービス中に悪意のあるローカルアプリが任意のコードを実行できるおそれがあります。サードパーティのアプリが直接はアクセスできない権限にアクセスできるようになるので、この問題の重大度は「高」と判断されています。
| CVE | バグと AOSP リンク | 重大度 | 影響のあるバージョン | 報告日 |
|---|---|---|---|---|
| CVE-2015-6612 | ANDROID-23540426 | 高 | 6.0 以下 | 2015 年 8 月 23 日 |
Bluetooth での権限昇格の脆弱性
Bluetooth に脆弱性があり、リッスン中のデバイスのデバッグポートにローカルアプリがコマンドを送信できるおそれがあります。サードパーティ アプリによるアクセスが許可されていない signature 権限や signatureOrSystem 権限などへの昇格にこのような脆弱性が利用されるおそれがあるため、この問題の重大度は「高」と判断されています。
| CVE | バグと AOSP リンク | 重大度 | 影響のあるバージョン | 報告日 |
|---|---|---|---|---|
| CVE-2015-6613 | ANDROID-24371736 | 高 | 6.0 | Google 社内 |
電話機能での権限昇格の脆弱性
電話コンポーネントに脆弱性があり、データ料金の請求に影響を及ぼす可能性のある不正なデータを、悪意のあるローカルアプリが制限付きネットワーク インターフェースに渡せるおそれがあります。デバイスへの着信の阻止や、攻撃者による着信音のミュート設定の制御を可能にするおそれもあります。「dangerous」権限を不正取得できるおそれがあるため、この問題の重大度は「中」と判断されています。
| CVE | バグと AOSP リンク | 重大度 | 影響のあるバージョン | 報告日 |
|---|---|---|---|---|
| CVE-2015-6614 | ANDROID-21900139 [2] [3] | 中 | 5.0、5.1 | 2015 年 6 月 8 日 |
一般的な質問と回答
上記の公開情報に対する一般的な質問について、以下で回答します。
1. 上記の問題に対処するようにデバイスが更新されているかどうかを確かめるには、どうすればよいですか？
LMY48X 以降のビルド、および Android Marshmallow（セキュリティ パッチ レベルが 2015 年 11 月 1 日以降）で上記の問題に対処しています。セキュリティ パッチ レベルを確認する方法について詳しくは、Nexus のドキュメントをご覧ください。このアップデートを組み込んだデバイス メーカーは、パッチ文字列のレベルを [ro.build.version.security_patch]:[2015-11-01] に設定する必要があります。
改訂
- 2015 年 11 月 2 日: 初公開