نشرة Nexus الأمنية - ديسمبر 2015

تم النشر في 07 ديسمبر 2015 | تم التحديث في 7 مارس 2016

لقد أصدرنا تحديثًا أمنيًا لأجهزة Nexus من خلال التحديث عبر الأثير (OTA) كجزء من عملية الإصدار الشهري لنشرة أمان Android. تم أيضًا إصدار صور البرامج الثابتة لـ Nexus على موقع Google Developer . يعمل إصدار LMY48Z أو إصدار أحدث ونظام Android 6.0 بمستوى تصحيح الأمان بتاريخ 1 ديسمبر 2015 أو إصدار أحدث على معالجة هذه المشكلات. راجع قسم الأسئلة والأجوبة الشائعة لمزيد من التفاصيل.

تم إخطار الشركاء بهذه المشكلات وتقديم تحديثات لها في 2 تشرين الثاني (نوفمبر) 2015 أو قبل ذلك. حيثما أمكن، تم إصدار تصحيحات التعليمات البرمجية المصدر لهذه المشكلات إلى مستودع Android Open Source Project (AOSP).

أخطر هذه المشكلات هو وجود ثغرة أمنية خطيرة يمكنها تمكين تنفيذ التعليمات البرمجية عن بعد على جهاز متأثر من خلال طرق متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط. يعتمد تقييم الخطورة على التأثير الذي قد يحدثه استغلال الثغرة الأمنية على الجهاز المتأثر، بافتراض أن عمليات تخفيف النظام الأساسي والخدمة معطلة لأغراض التطوير أو إذا تم تجاوزها بنجاح.

لم تصلنا أي تقارير عن استغلال العملاء النشط لهذه المشكلات التي تم الإبلاغ عنها حديثًا. راجع قسم عمليات التخفيف للحصول على تفاصيل حول عمليات حماية النظام الأساسي لأمان Android وعمليات حماية الخدمة مثل SafetyNet، والتي تعمل على تحسين أمان نظام Android الأساسي. نحن نشجع جميع العملاء على قبول هذه التحديثات على أجهزتهم.

التخفيف

هذا ملخص لعمليات التخفيف التي يوفرها النظام الأساسي لأمان Android وعمليات حماية الخدمة مثل SafetyNet. تعمل هذه الإمكانات على تقليل احتمالية استغلال الثغرات الأمنية بنجاح على نظام Android.

  • أصبح استغلال العديد من المشكلات على Android أكثر صعوبة بسبب التحسينات في الإصدارات الأحدث من نظام Android الأساسي. نحن نشجع جميع المستخدمين على التحديث إلى أحدث إصدار من Android حيثما أمكن ذلك.
  • يقوم فريق Android Security بمراقبة إساءة الاستخدام بشكل نشط من خلال Verify Apps وSafetyNet الذي سيحذر من التطبيقات الضارة المحتملة التي سيتم تثبيتها. أدوات تأصيل الجهاز محظورة داخل Google Play. لحماية المستخدمين الذين يقومون بتثبيت التطبيقات من خارج Google Play، يتم تمكين التحقق من التطبيقات افتراضيًا وسيحذر المستخدمين بشأن تطبيقات التجذير المعروفة. تحاول ميزة التحقق من التطبيقات تحديد وحظر تثبيت التطبيقات الضارة المعروفة التي تستغل ثغرة أمنية في تصعيد الامتيازات. إذا تم تثبيت مثل هذا التطبيق بالفعل، فسوف يقوم Verify Apps بإعلام المستخدم ومحاولة إزالة أي من هذه التطبيقات.
  • حسب الاقتضاء، لا تقوم تطبيقات Google Hangouts وMessenger بتمرير الوسائط تلقائيًا إلى عمليات مثل خادم الوسائط.

شكر وتقدير

ونود أن نشكر هؤلاء الباحثين على مساهماتهم:

  • أبهيشيك آريا وأوليفر تشانغ ومارتن باربيلا من فريق أمان Google Chrome: CVE-2015-6616، CVE-2015-6617، CVE-2015-6623، CVE-2015-6626، CVE-2015-6619، CVE-2015-6633 ، CVE-2015-6634
  • الجناح ( @flanker_hqd ) من KeenTeam ( @K33nTeam ): CVE-2015-6620
  • Guang Gong (龚广) ( @oldfresher , higongguang@gmail.com) من Qihoo 360 Technology Co.Ltd : CVE-2015-6626
  • مارك كارتر ( @hanpingchinese ) من EmberMitre Ltd: CVE-2015-6630
  • ميشال بيدنارسكي ( https://github.com/michalbednarski ): CVE-2015-6621
  • ناتالي سيلفانوفيتش من Google Project Zero: CVE-2015-6616
  • بيتر باي من Trend Micro: CVE-2015-6616، CVE-2015-6628
  • Qidan He ( @flanker_hqd ) وMarco Grassi ( @marcograss ) من KeenTeam ( @K33nTeam ): CVE-2015-6622
  • تزو-يين (نينا) تاي: CVE-2015-6627
  • Joaquín Rinaudo ( @xeroxnir ) من Programa STIC في Fundación Dr. Manuel Sadosky، بوينس آيرس، الأرجنتين: CVE-2015-6631
  • Wangtao (neobyte) من Baidu X-Team: CVE-2015-6626

تفاصيل الثغرة الأمنية

في الأقسام أدناه، نقدم تفاصيل لكل من الثغرات الأمنية التي تنطبق على مستوى التصحيح 01-12-2015. يوجد وصف للمشكلة، ومبرر خطورتها، وجدول يتضمن الأخطاء الشائعة، والأخطاء المرتبطة، وخطورة المشكلة، والإصدارات المحدثة، وتاريخ الإبلاغ عنها. عندما يكون ذلك متاحًا، سنقوم بربط تغيير AOSP الذي عالج المشكلة بمعرف الخطأ. عندما تتعلق تغييرات متعددة بخطأ واحد، يتم ربط مراجع AOSP الإضافية بالأرقام التي تتبع معرف الخطأ.

ثغرات أمنية في تنفيذ التعليمات البرمجية عن بعد في Mediaserver

أثناء معالجة ملفات الوسائط والبيانات لملف تم إعداده خصيصًا، قد تسمح الثغرات الأمنية في خادم الوسائط للمهاجم بالتسبب في تلف الذاكرة وتنفيذ التعليمات البرمجية عن بُعد أثناء عملية خادم الوسائط.

يتم توفير الوظيفة المتأثرة كجزء أساسي من نظام التشغيل، وهناك العديد من التطبيقات التي تسمح بالوصول إليها من خلال المحتوى البعيد، وأبرزها رسائل الوسائط المتعددة (MMS) وتشغيل الوسائط عبر المتصفح.

تم تصنيف هذه المشكلة على أنها خطيرة نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في سياق خدمة خادم الوسائط. تتمتع خدمة خادم الوسائط بإمكانية الوصول إلى تدفقات الصوت والفيديو بالإضافة إلى الوصول إلى الامتيازات التي لا يمكن لتطبيقات الطرف الثالث الوصول إليها عادةً.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6616 الروبوت-24630158 شديد الأهمية 6.0 وما دون جوجل الداخلية
الروبوت-23882800 شديد الأهمية 6.0 وما دون جوجل الداخلية
الروبوت-17769851 شديد الأهمية 5.1 وأدناه جوجل الداخلية
الروبوت-24441553 شديد الأهمية 6.0 وما دون 22 سبتمبر 2015
الروبوت-24157524 شديد الأهمية 6.0 08 سبتمبر 2015

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بعد في Skia

قد يتم استغلال الثغرة الأمنية في مكون Skia عند معالجة ملف وسائط مصمم خصيصًا، مما قد يؤدي إلى تلف الذاكرة وتنفيذ التعليمات البرمجية عن بُعد في عملية مميزة. تم تصنيف هذه المشكلة على أنها خطيرة نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد من خلال طرق هجوم متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6617 الروبوت-23648740 شديد الأهمية 6.0 وما دون جوجل الداخلية

رفع الامتياز في النواة

قد تؤدي زيادة ثغرة الامتيازات في نواة النظام إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية داخل سياق جذر الجهاز. تم تصنيف هذه المشكلة على أنها خطيرة للغاية نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ولا يمكن إصلاح الجهاز إلا عن طريق إعادة تحديث نظام التشغيل.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6619 الروبوت-23520714 شديد الأهمية 6.0 وما دون 7 يونيو 2015

ثغرات أمنية في تنفيذ التعليمات البرمجية عن بعد في برنامج تشغيل العرض

توجد ثغرات أمنية في برامج تشغيل العرض، والتي قد تتسبب، عند معالجة ملف وسائط، في تلف الذاكرة وتنفيذ تعليمات برمجية عشوائية محتملة في سياق برنامج تشغيل وضع المستخدم الذي تم تحميله بواسطة خادم الوسائط. تم تصنيف هذه المشكلة على أنها خطيرة نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد من خلال طرق هجوم متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6633 أندرويد-23987307* شديد الأهمية 6.0 وما دون جوجل الداخلية
CVE-2015-6634 الروبوت-24163261 [ 2 ] [ 3 ] [ 4 ] شديد الأهمية 5.1 وأدناه جوجل الداخلية

*التصحيح الخاص بهذه المشكلة غير موجود في AOSP. التحديث موجود في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة على موقع Google Developer .

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بعد في تقنية البلوتوث

قد تسمح ثغرة أمنية في مكون Bluetooth الخاص بنظام Android بتنفيذ التعليمات البرمجية عن بُعد. ومع ذلك، هناك حاجة إلى خطوات يدوية متعددة قبل حدوث ذلك. للقيام بذلك، سيتطلب الأمر جهازًا مقترنًا بنجاح، بعد تمكين ملف تعريف شبكة المنطقة الشخصية (PAN) (على سبيل المثال، استخدام التوصيل عبر Bluetooth) وإقران الجهاز. سيكون تنفيذ التعليمات البرمجية عن بعد ضمن امتياز خدمة Bluetooth. يكون الجهاز عرضة لهذه المشكلة فقط من جهاز مقترن بنجاح أثناء وجوده على مقربة محلية.

تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه لا يمكن للمهاجم تنفيذ تعليمات برمجية عشوائية عن بعد إلا بعد اتخاذ خطوات يدوية متعددة ومن مهاجم قريب محليًا تم السماح له مسبقًا بإقران جهاز.

مكافحة التطرف العنيف الأخطاء خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6618 أندرويد-24595992* عالي 4.4، 5.0، و5.1 28 سبتمبر 2015

*التصحيح الخاص بهذه المشكلة غير موجود في AOSP. التحديث موجود في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة على موقع Google Developer .

رفع نقاط الضعف في الامتيازات في libstagefright

هناك العديد من نقاط الضعف في libstagefright التي قد تمكن تطبيقًا ضارًا محليًا من تنفيذ تعليمات برمجية عشوائية في سياق خدمة خادم الوسائط. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها للحصول على إمكانات عالية، مثل امتيازات أذونات التوقيع أو SignatureOrSystem ، والتي لا يمكن لتطبيقات الطرف الثالث الوصول إليها.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6620 الروبوت-24123723 عالي 6.0 وما دون 10 سبتمبر 2015
الروبوت-24445127 عالي 6.0 وما دون 2 سبتمبر 2015

رفع ثغرة الامتياز في SystemUI

عند ضبط منبه باستخدام تطبيق الساعة، قد تسمح ثغرة أمنية في مكون SystemUI لأحد التطبيقات بتنفيذ مهمة بمستوى امتياز مرتفع. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها للحصول على إمكانات عالية، مثل امتيازات أذونات التوقيع أو SignatureOrSystem ، والتي لا يمكن لتطبيقات الطرف الثالث الوصول إليها.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6621 الروبوت-23909438 عالي 5.0، 5.1، و 6.0 7 سبتمبر 2015

ثغرة أمنية في الكشف عن المعلومات في مكتبة الأطر الأصلية

يمكن أن تسمح ثغرة الكشف عن المعلومات في مكتبة Android Native Frameworks بتجاوز الإجراءات الأمنية المعمول بها لزيادة صعوبة استغلال المهاجمين للنظام الأساسي. تم تصنيف هذه المشكلات على أنها عالية الخطورة لأنه يمكن استخدامها أيضًا للحصول على إمكانات عالية، مثل امتيازات أذونات التوقيع أو SignatureOrSystem ، والتي لا يمكن لتطبيقات الجهات الخارجية الوصول إليها.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6622 الروبوت-23905002 عالي 6.0 وما دون 7 سبتمبر 2015

ارتفاع ثغرة الامتياز في شبكة Wi-Fi

قد تؤدي زيادة ثغرة الامتياز في شبكة Wi-Fi إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق خدمة نظام مرتفعة. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها للحصول على إمكانات عالية، مثل امتيازات أذونات التوقيع أو SignatureOrSystem ، والتي لا يمكن لتطبيق جهة خارجية الوصول إليها.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6623 الروبوت-24872703 عالي 6.0 جوجل الداخلية

رفع ثغرة الامتياز في خادم النظام

قد تؤدي زيادة ثغرة الامتياز في مكون System Server إلى تمكين تطبيق ضار محلي من الوصول إلى المعلومات المتعلقة بالخدمة. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها للحصول على إمكانات عالية، مثل امتيازات أذونات التوقيع أو SignatureOrSystem ، والتي لا يمكن لتطبيقات الجهات الخارجية الوصول إليها.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6624 الروبوت-23999740 عالي 6.0 جوجل الداخلية

ثغرات الكشف عن المعلومات في libstagefright

توجد ثغرات أمنية للكشف عن المعلومات في libstagefright والتي قد تسمح أثناء الاتصال بخادم الوسائط بتجاوز الإجراءات الأمنية المعمول بها مما يزيد من صعوبة استغلال المهاجمين للمنصة. تم تصنيف هذه المشكلات على أنها عالية الخطورة لأنه يمكن استخدامها أيضًا للحصول على إمكانات عالية، مثل امتيازات أذونات التوقيع أو SignatureOrSystem ، والتي لا يمكن لتطبيقات الجهات الخارجية الوصول إليها.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6632 الروبوت-24346430 عالي 6.0 وما دون جوجل الداخلية
CVE-2015-6626 الروبوت-24310423 عالي 6.0 وما دون 2 سبتمبر 2015
CVE-2015-6631 الروبوت-24623447 عالي 6.0 وما دون 21 أغسطس 2015

ثغرة أمنية في الكشف عن المعلومات في الصوت

يمكن استغلال ثغرة أمنية في مكون الصوت أثناء معالجة الملفات الصوتية. قد تسمح مشكلة عدم الحصانة هذه لتطبيق خبيث محلي، أثناء معالجة ملف معد خصيصًا، بالتسبب في الكشف عن المعلومات. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها للحصول على إمكانات عالية، مثل امتيازات أذونات التوقيع أو SignatureOrSystem ، والتي لا يمكن لتطبيقات الجهات الخارجية الوصول إليها.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6627 الروبوت-24211743 عالي 6.0 وما دون جوجل الداخلية

ثغرة أمنية في الكشف عن المعلومات في الإطار الإعلامي

توجد ثغرة أمنية في الكشف عن المعلومات في Media Framework والتي قد تسمح أثناء الاتصال بخادم الوسائط بتجاوز الإجراءات الأمنية المعمول بها مما يزيد من صعوبة استغلال المهاجمين للنظام الأساسي. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها أيضًا للحصول على إمكانات عالية، مثل امتيازات أذونات التوقيع أو SignatureOrSystem ، والتي لا يمكن لتطبيقات الجهات الخارجية الوصول إليها.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6628 الروبوت-24074485 عالي 6.0 وما دون 8 سبتمبر 2015

ثغرة أمنية في الكشف عن المعلومات في شبكة Wi-Fi

قد تسمح ثغرة أمنية في مكون Wi-Fi للمهاجم بالتسبب في كشف خدمة Wi-Fi عن المعلومات. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها للحصول على إمكانات عالية، مثل امتيازات أذونات التوقيع أو SignatureOrSystem ، والتي لا يمكن لتطبيقات الطرف الثالث الوصول إليها.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6629 الروبوت-22667667 عالي 5.1 و 5.0 جوجل الداخلية

رفع ثغرة الامتياز في خادم النظام

قد تؤدي زيادة ثغرة الامتيازات في خادم النظام إلى تمكين تطبيق ضار محلي من الوصول إلى المعلومات المتعلقة بخدمة Wi-Fi. تم تصنيف هذه المشكلة على أنها متوسطة الخطورة لأنه يمكن استخدامها للحصول على أذونات " خطيرة " بشكل غير صحيح.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6625 الروبوت-23936840 معتدل 6.0 جوجل الداخلية

ثغرة أمنية في الكشف عن المعلومات في SystemUI

قد تؤدي ثغرة أمنية في الكشف عن المعلومات في SystemUI إلى تمكين تطبيق ضار محلي من الوصول إلى لقطات الشاشة. تم تصنيف هذه المشكلة على أنها متوسطة الخطورة لأنه يمكن استخدامها للحصول على أذونات " خطيرة " بشكل غير صحيح.

مكافحة التطرف العنيف الأخطاء (الأخطاء) مع روابط AOSP خطورة الإصدارات المحدثة تاريخ الإبلاغ
CVE-2015-6630 الروبوت-19121797 معتدل 5.0، 5.1، و 6.0 22 يناير 2015

الأسئلة والأجوبة الشائعة

سيستعرض هذا القسم إجابات الأسئلة الشائعة التي قد تطرأ بعد قراءة هذه النشرة.

1. كيف يمكنني تحديد ما إذا كان جهازي قد تم تحديثه لمعالجة هذه المشكلات؟

يعمل إصدار LMY48Z أو إصدار أحدث ونظام Android 6.0 بمستوى تصحيح الأمان بتاريخ 1 ديسمبر 2015 أو إصدار أحدث على معالجة هذه المشكلات. راجع وثائق Nexus للحصول على إرشادات حول كيفية التحقق من مستوى تصحيح الأمان. يجب على الشركات المصنعة للأجهزة التي تتضمن هذه التحديثات تعيين مستوى سلسلة التصحيح على: [ro.build.version.security_patch]:[2015-12-01]

التنقيحات

  • 07 ديسمبر 2015: نُشرت في الأصل
  • 09 ديسمبر 2015: تمت مراجعة النشرة لتشمل روابط AOSP.
  • 22 ديسمبر 2015: تمت إضافة الرصيد المفقود إلى قسم الشكر والتقدير.
  • 07 مارس 2016: تمت إضافة الرصيد المفقود إلى قسم الشكر والتقدير.