تم النشر في 02 نوفمبر 2015
لقد أصدرنا تحديثًا أمنيًا لأجهزة Nexus من خلال التحديث عبر الأثير (OTA) كجزء من عملية الإصدار الشهري لنشرة أمان Android. تم أيضًا إصدار صور البرامج الثابتة لـ Nexus على موقع Google Developer . يعمل إصدار LMY48X أو إصدار أحدث ونظام Android Marshmallow بمستوى تصحيح الأمان بتاريخ 1 نوفمبر 2015 أو إصدار أحدث على معالجة هذه المشكلات. راجع قسم الأسئلة والأجوبة الشائعة لمزيد من التفاصيل.
تم إشعار الشركاء بهذه المشكلات في 5 أكتوبر 2015 أو قبل ذلك. سيتم إصدار تصحيحات التعليمات البرمجية المصدر لهذه المشكلات إلى مستودع Android Open Source Project (AOSP) خلال الـ 48 ساعة القادمة. سنقوم بمراجعة هذه النشرة مع روابط AOSP عندما تكون متاحة.
أخطر هذه المشكلات هو وجود ثغرة أمنية خطيرة يمكنها تمكين تنفيذ التعليمات البرمجية عن بعد على جهاز متأثر من خلال طرق متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط. يعتمد تقييم الخطورة على التأثير الذي قد يحدثه استغلال الثغرة الأمنية على الجهاز المتأثر، بافتراض أن عمليات تخفيف النظام الأساسي والخدمة معطلة لأغراض التطوير أو إذا تم تجاوزها بنجاح.
لم تصلنا أي تقارير عن استغلال العملاء النشط لهذه المشكلات التي تم الإبلاغ عنها حديثًا. راجع قسم عمليات التخفيف للحصول على تفاصيل حول عمليات حماية النظام الأساسي لأمان Android وعمليات حماية الخدمة مثل SafetyNet، والتي تعمل على تحسين أمان نظام Android الأساسي. نحن نشجع جميع العملاء على قبول هذه التحديثات على أجهزتهم.
التخفيف
هذا ملخص لعمليات التخفيف التي يوفرها النظام الأساسي لأمان Android وعمليات حماية الخدمة مثل SafetyNet. تعمل هذه الإمكانات على تقليل احتمالية استغلال الثغرات الأمنية بنجاح على نظام Android.
- أصبح استغلال العديد من المشكلات على Android أكثر صعوبة بسبب التحسينات في الإصدارات الأحدث من نظام Android الأساسي. نحن نشجع جميع المستخدمين على التحديث إلى أحدث إصدار من Android حيثما أمكن ذلك.
- يقوم فريق Android Security بمراقبة إساءة الاستخدام بشكل نشط من خلال Verify Apps وSafetyNet الذي سيحذر من التطبيقات الضارة المحتملة التي سيتم تثبيتها. أدوات تأصيل الجهاز محظورة داخل Google Play. لحماية المستخدمين الذين يقومون بتثبيت التطبيقات من خارج Google Play، يتم تمكين التحقق من التطبيقات افتراضيًا وسيحذر المستخدمين بشأن تطبيقات التجذير المعروفة. تحاول ميزة التحقق من التطبيقات تحديد وحظر تثبيت التطبيقات الضارة المعروفة التي تستغل ثغرة أمنية في تصعيد الامتيازات. إذا تم تثبيت مثل هذا التطبيق بالفعل، فسوف يقوم Verify Apps بإعلام المستخدم ومحاولة إزالة أي من هذه التطبيقات.
- حسب الاقتضاء، لا تقوم تطبيقات Google Hangouts وMessenger بتمرير الوسائط تلقائيًا إلى عمليات مثل خادم الوسائط.
شكر وتقدير
ونود أن نشكر هؤلاء الباحثين على مساهماتهم:
- أبهيشيك آريا وأوليفر تشانغ ومارتن باربيلا، فريق أمان Google Chrome: CVE-2015-6608
- دانيال ميكاي (daniel.micay@copperhead.co) في شركة Copperhead Security: CVE-2015-6609
- Dongkwan Kim من System Security Lab، KAIST (dkay@kaist.ac.kr): CVE-2015-6614
- هونغيل كيم من مختبر أمن النظام، KAIST (hongilk@kaist.ac.kr): CVE-2015-6614
- جاك تانغ من Trend Micro (@jacktang310): CVE-2015-6611
- بيتر باي من Trend Micro: CVE-2015-6611
- ناتالي سيلفانوفيتش من Google Project Zero: CVE-2015-6608
- تشيدان هي (@flanker_hqd) ووين شو (@antlr7) من KeenTeam (@K33nTeam, http://k33nteam.org/): CVE-2015-6612
- Guang Gong (龚广) ( @oldfresher ، higongguang@gmail.com) من Qihoo 360 Technology CC o.Ltd : CVE-2015-6612
- سبعة شن من تريند مايكرو: CVE-2015-6610
تفاصيل الثغرة الأمنية
في الأقسام أدناه، نقدم تفاصيل لكل من الثغرات الأمنية التي تنطبق على مستوى التصحيح 01-11-2015. يوجد وصف للمشكلة، وأساس خطورتها، وجدول يتضمن الأخطاء الشائعة، والأخطاء المرتبطة، وخطورة المشكلة، والإصدارات المتأثرة، وتاريخ الإبلاغ عنها. حيثما كان ذلك متاحًا، قمنا بربط تغيير AOSP الذي عالج المشكلة بمعرف الخطأ. عندما تتعلق تغييرات متعددة بخطأ واحد، يتم ربط مراجع AOSP الإضافية بالأرقام التي تتبع معرف الخطأ.
ثغرات أمنية في تنفيذ التعليمات البرمجية عن بعد في Mediaserver
أثناء معالجة ملفات الوسائط والبيانات لملف تم إعداده خصيصًا، قد تسمح الثغرات الأمنية في خادم الوسائط للمهاجم بالتسبب في تلف الذاكرة وتنفيذ التعليمات البرمجية عن بُعد أثناء عملية خادم الوسائط.
يتم توفير الوظيفة المتأثرة كجزء أساسي من نظام التشغيل، وهناك العديد من التطبيقات التي تسمح بالوصول إليها من خلال المحتوى البعيد، وأبرزها رسائل الوسائط المتعددة (MMS) وتشغيل الوسائط عبر المتصفح.
تم تصنيف هذه المشكلة على أنها خطيرة نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في سياق خدمة خادم الوسائط. تتمتع خدمة خادم الوسائط بإمكانية الوصول إلى تدفقات الصوت والفيديو بالإضافة إلى الوصول إلى الامتيازات التي لا يمكن لتطبيقات الطرف الثالث الوصول إليها عادةً.
| مكافحة التطرف العنيف | الأخطاء (الأخطاء) مع روابط AOSP | خطورة | الإصدارات المتأثرة | تاريخ الإبلاغ |
|---|---|---|---|---|
| CVE-2015-6608 | الروبوت-19779574 | شديد الأهمية | 5.0، 5.1، 6.0 | جوجل الداخلية |
| الروبوت-23680780 | ||||
| الروبوت-23876444 | ||||
| الروبوت-23881715 | شديد الأهمية | 4.4، 5.0، 5.1، 6.0 | جوجل الداخلية | |
| الروبوت-14388161 | شديد الأهمية | 4.4 و 5.1 | جوجل الداخلية | |
| الروبوت-23658148 | شديد الأهمية | 5.0، 5.1، 6.0 | جوجل الداخلية |
ثغرة أمنية في تنفيذ التعليمات البرمجية عن بعد في libutils
يمكن استغلال ثغرة أمنية في المكتبة العامة libutils أثناء معالجة الملفات الصوتية. قد تسمح هذه الثغرة الأمنية للمهاجم، أثناء معالجة ملف معد خصيصًا، بالتسبب في تلف الذاكرة وتنفيذ التعليمات البرمجية عن بُعد.
يتم توفير الوظيفة المتأثرة كواجهة برمجة التطبيقات (API) وهناك العديد من التطبيقات التي تسمح بالوصول إليها من خلال المحتوى البعيد، وأبرزها رسائل الوسائط المتعددة (MMS) وتشغيل الوسائط عبر المتصفح. تم تصنيف هذه المشكلة على أنها مشكلة خطيرة للغاية بسبب إمكانية تنفيذ التعليمات البرمجية عن بعد في خدمة مميزة. يتمتع المكون المتأثر بإمكانية الوصول إلى تدفقات الصوت والفيديو بالإضافة إلى الوصول إلى الامتيازات التي لا يمكن لتطبيقات الطرف الثالث الوصول إليها عادةً.
| مكافحة التطرف العنيف | الأخطاء (الأخطاء) مع روابط AOSP | خطورة | الإصدارات المتأثرة | تاريخ الإبلاغ |
|---|---|---|---|---|
| CVE-2015-6609 | أندرويد-22953624 [ 2 ] | شديد الأهمية | 6.0 وما دون | 3 أغسطس 2015 |
ثغرات الكشف عن المعلومات في Mediaserver
توجد ثغرات أمنية للكشف عن المعلومات في خادم الوسائط والتي يمكن أن تسمح بتجاوز الإجراءات الأمنية المعمول بها لزيادة صعوبة استغلال المهاجمين للمنصة.
| مكافحة التطرف العنيف | الأخطاء (الأخطاء) مع روابط AOSP | خطورة | الإصدارات المتأثرة | تاريخ الإبلاغ |
|---|---|---|---|---|
| CVE-2015-6611 | أندرويد-23905951 [ 2 ] [ 3 ] | عالي | 6.0 وما دون | 07 سبتمبر 2015 |
| أندرويد-23912202* | ||||
| أندرويد-23953967* | ||||
| الروبوت-23696300 | عالي | 6.0 وما دون | 31 أغسطس 2015 | |
| الروبوت-23600291 | عالي | 6.0 وما دون | 26 أغسطس 2015 | |
| أندرويد-23756261 [ 2 ] | عالي | 6.0 وما دون | 26 أغسطس 2015 | |
| أندرويد-23540907 [ 2 ] | عالي | 5.1 وأدناه | 25 أغسطس 2015 | |
| الروبوت-23541506 | عالي | 6.0 وما دون | 25 أغسطس 2015 | |
| أندرويد-23284974* | ||||
| أندرويد-23542351* | ||||
| أندرويد-23542352* | ||||
| الروبوت-23515142 | عالي | 5.1 وأدناه | 19 أغسطس 2015 |
* تم تضمين تصحيح هذا الخطأ في روابط AOSP المتوفرة الأخرى.
رفع ثغرة الامتياز في libstagefright
توجد ثغرة أمنية عالية في الامتيازات في libstagefright والتي يمكن أن تمكن تطبيقًا ضارًا محليًا من التسبب في تلف الذاكرة وتنفيذ تعليمات برمجية عشوائية في سياق خدمة خادم الوسائط. على الرغم من أن هذه المشكلة عادةً ما يتم تصنيفها على أنها خطيرة، فقد قمنا بتقييمها على أنها عالية الخطورة نظرًا لقلة احتمال استغلالها عن بُعد.
| مكافحة التطرف العنيف | الأخطاء (الأخطاء) مع روابط AOSP | خطورة | الإصدارات المتأثرة | تاريخ الإبلاغ |
|---|---|---|---|---|
| CVE-2015-6610 | أندرويد-23707088 [ 2 ] | عالي | 6.0 وما دون | 19 أغسطس 2015 |
رفع ثغرة الامتياز في libmedia
توجد ثغرة أمنية في libmedia يمكنها تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق خدمة خادم الوسائط. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها للوصول إلى الامتيازات التي لا يمكن لتطبيق جهة خارجية الوصول إليها مباشرة.
| مكافحة التطرف العنيف | الأخطاء (الأخطاء) مع روابط AOSP | خطورة | الإصدارات المتأثرة | تاريخ الإبلاغ |
|---|---|---|---|---|
| CVE-2015-6612 | الروبوت-23540426 | عالي | 6.0 وما دون | 23 أغسطس 2015 |
ارتفاع ثغرة الامتياز في تقنية البلوتوث
توجد ثغرة أمنية في تقنية Bluetooth يمكنها تمكين تطبيق محلي من إرسال أوامر إلى منفذ تصحيح أخطاء الاستماع الموجود على الجهاز. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها للحصول على إمكانات عالية، مثل امتيازات أذونات التوقيع أو SignatureOrSystem ، والتي لا يمكن لتطبيق جهة خارجية الوصول إليها.
| مكافحة التطرف العنيف | الأخطاء (الأخطاء) مع روابط AOSP | خطورة | الإصدارات المتأثرة | تاريخ الإبلاغ |
|---|---|---|---|---|
| CVE-2015-6613 | الروبوت-24371736 | عالي | 6.0 | جوجل الداخلية |
ارتفاع ثغرة الامتياز في الاتصالات الهاتفية
ثغرة أمنية في مكون الاتصال الهاتفي يمكنها تمكين تطبيق ضار محلي من تمرير بيانات غير مصرح بها إلى واجهات الشبكة المقيدة، مما قد يؤثر على رسوم البيانات. ويمكنه أيضًا منع الجهاز من تلقي المكالمات بالإضافة إلى السماح للمهاجم بالتحكم في إعدادات كتم المكالمات. تم تصنيف هذه المشكلة على أنها متوسطة الخطورة لأنه يمكن استخدامها للحصول على أذونات " خطيرة " بشكل غير صحيح.
| مكافحة التطرف العنيف | الأخطاء (الأخطاء) مع روابط AOSP | خطورة | الإصدارات المتأثرة | تاريخ الإبلاغ |
|---|---|---|---|---|
| CVE-2015-6614 | الروبوت-21900139 [ 2 ] [ 3 ] | معتدل | 5.0، 5.1 | 8 يونيو 2015 |
الأسئلة والأجوبة الشائعة
سيستعرض هذا القسم إجابات الأسئلة الشائعة التي قد تطرأ بعد قراءة هذه النشرة.
1. كيف يمكنني تحديد ما إذا كان جهازي قد تم تحديثه لمعالجة هذه المشكلات؟
يعمل إصدار LMY48X أو إصدار أحدث ونظام Android Marshmallow بمستوى تصحيح الأمان بتاريخ 1 نوفمبر 2015 أو إصدار أحدث على معالجة هذه المشكلات. راجع وثائق Nexus للحصول على إرشادات حول كيفية التحقق من مستوى تصحيح الأمان. يجب على الشركات المصنعة للأجهزة التي تتضمن هذه التحديثات تعيين مستوى سلسلة التصحيح على: [ro.build.version.security_patch]:[2015-11-01]
التنقيحات
- 02 تشرين الثاني (نوفمبر) 2015: نُشرت في الأصل