Publicado em 04 de janeiro de 2016 | Atualizado em 28 de abril de 2016
Lançamos uma atualização de segurança para dispositivos Nexus por meio de uma atualização over-the-air (OTA) como parte do nosso processo de lançamento mensal do Boletim de Segurança do Android. As imagens do firmware do Nexus também foram divulgadas no site do Google Developers . As versões LMY49F ou posterior e Android 6.0 com nível de patch de segurança de 1º de janeiro de 2016 ou posterior resolvem esses problemas. Consulte a seção Perguntas e Respostas Comuns para obter mais detalhes.
Os parceiros foram notificados e forneceram atualizações sobre os problemas descritos neste boletim em 7 de dezembro de 2015 ou antes. Quando aplicável, os patches de código-fonte para esses problemas foram lançados no repositório Android Open Source Project (AOSP).
O mais grave desses problemas é uma vulnerabilidade crítica de segurança que pode permitir a execução remota de código em um dispositivo afetado por meio de vários métodos, como e-mail, navegação na Web e MMS ao processar arquivos de mídia. A avaliação da gravidade baseia-se no efeito que a exploração da vulnerabilidade poderia ter num dispositivo afetado, assumindo que as mitigações da plataforma e do serviço estão desativadas para fins de desenvolvimento ou se forem contornadas com sucesso.
Não tivemos relatos de exploração ativa por parte dos clientes desses problemas recentemente relatados. Consulte a seção Mitigações para obter detalhes sobre as proteções da plataforma de segurança Android e proteções de serviço, como SafetyNet, que melhoram a segurança da plataforma Android. Incentivamos todos os clientes a aceitarem essas atualizações em seus dispositivos.
Mitigações
Este é um resumo das mitigações fornecidas pela plataforma de segurança Android e proteções de serviços como SafetyNet. Esses recursos reduzem a probabilidade de vulnerabilidades de segurança serem exploradas com sucesso no Android.
- A exploração de muitos problemas no Android é dificultada pelas melhorias nas versões mais recentes da plataforma Android. Encorajamos todos os usuários a atualizar para a versão mais recente do Android sempre que possível.
- A equipe de segurança do Android está monitorando ativamente abusos com Verify Apps e SafetyNet, que alertarão sobre aplicativos potencialmente prejudiciais prestes a serem instalados. Ferramentas de root de dispositivos são proibidas no Google Play. Para proteger os usuários que instalam aplicativos de fora do Google Play, o Verify Apps está ativado por padrão e avisará os usuários sobre aplicativos com root conhecidos. O Verify Apps tenta identificar e bloquear a instalação de aplicativos maliciosos conhecidos que exploram uma vulnerabilidade de escalonamento de privilégios. Se tal aplicativo já tiver sido instalado, o Verify Apps notificará o usuário e tentará remover tais aplicativos.
- Conforme apropriado, os aplicativos Google Hangouts e Messenger não passam mídia automaticamente para processos como o mediaserver.
Reconhecimentos
Gostaríamos de agradecer a estes pesquisadores por suas contribuições:
- Abhishek Arya, Oliver Chang e Martin Barbella da equipe de segurança do Google Chrome: CVE-2015-6636
- Sen Nie ( @nforest_ ) e jfang do laboratório KEEN, Tencent ( @K33nTeam ): CVE-2015-6637
- Yabin Cui da equipe Android Bionic: CVE-2015-6640
- Tom Craig do Google X: CVE-2015-6641
- Jann Horn ( https://thejh.net ): CVE-2015-6642
- Jouni Malinen PGP id EFC895FA: CVE-2015-5310
- Quan Nguyen da equipe de engenheiros de segurança da informação do Google: CVE-2015-6644
- Gal Beniamini ( @laginimaineb , http://bits-please.blogspot.com ): CVE-2015-6639
Detalhes de vulnerabilidade de segurança
Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança que se aplicam ao nível do patch 01/01/2016. Há uma descrição do problema, uma justificativa de gravidade e uma tabela com o CVE, bug associado, gravidade, versões atualizadas e data relatada. Quando disponível, vincularemos a alteração do AOSP que resolveu o problema ao ID do bug. Quando várias alterações estão relacionadas a um único bug, referências adicionais do AOSP são vinculadas a números após o ID do bug.
Vulnerabilidade de execução remota de código no Mediaserver
Durante o processamento de arquivos de mídia e de dados de um arquivo especialmente criado, as vulnerabilidades no mediaserver podem permitir que um invasor cause corrupção de memória e execução remota de código durante o processo do mediaserver.
A funcionalidade afetada é fornecida como uma parte central do sistema operacional e há vários aplicativos que permitem que ela seja acessada com conteúdo remoto, principalmente MMS e reprodução de mídia no navegador.
Este problema é classificado como de gravidade Crítica devido à possibilidade de execução remota de código no contexto do serviço mediaserver. O serviço mediaserver tem acesso a fluxos de áudio e vídeo, bem como acesso a privilégios que aplicativos de terceiros normalmente não podem acessar.
| CVE | Bug(s) com links AOSP | Gravidade | Versões atualizadas | Data relatada |
|---|---|---|---|---|
| CVE-2015-6636 | ANDROID-25070493 | Crítico | 5.0, 5.1.1, 6.0, 6.0.1 | Interno do Google |
| ANDROID-24686670 | Crítico | 5.0, 5.1.1, 6.0, 6.0.1 | Interno do Google |
Vulnerabilidade de elevação de privilégio no driver misc-sd
Uma vulnerabilidade de elevação de privilégio no driver misc-sd da MediaTek pode permitir que um aplicativo malicioso local execute código arbitrário dentro do kernel. Este problema é classificado como de gravidade Crítica devido à possibilidade de um comprometimento local permanente do dispositivo, caso em que o dispositivo possivelmente precisará ser reparado atualizando novamente o sistema operacional.
| CVE | Insetos) | Gravidade | Versões atualizadas | Data relatada |
|---|---|---|---|---|
| CVE-2015-6637 | ANDROID-25307013* | Crítico | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 26 de outubro de 2015 |
* O patch para este problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site do Google Developers .
Vulnerabilidade de elevação de privilégio no driver Imagination Technologies
Uma vulnerabilidade de elevação de privilégio em um driver de kernel da Imagination Technologies poderia permitir que um aplicativo malicioso local executasse código arbitrário dentro do kernel. Este problema é classificado como de gravidade Crítica devido à possibilidade de um comprometimento local permanente do dispositivo, caso em que o dispositivo possivelmente precisará ser reparado atualizando novamente o sistema operacional.
| CVE | Insetos) | Gravidade | Versões atualizadas | Data relatada |
|---|---|---|---|---|
| CVE-2015-6638 | ANDROID-24673908* | Crítico | 5.0, 5.1.1, 6.0, 6.0.1 | Interno do Google |
* O patch para este problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site do Google Developers .
Vulnerabilidades de elevação de privilégio na zona confiável
As vulnerabilidades de elevação de privilégios no aplicativo Widevine QSEE TrustZone podem permitir que um aplicativo privilegiado e comprometido com acesso ao QSEECOM execute código arbitrário no contexto Trustzone. Este problema é classificado como de gravidade Crítica devido à possibilidade de um comprometimento local permanente do dispositivo, caso em que o dispositivo possivelmente precisará ser reparado atualizando novamente o sistema operacional.
| CVE | Insetos) | Gravidade | Versões atualizadas | Data relatada |
|---|---|---|---|---|
| CVE-2015-6639 | ANDROID-24446875* | Crítico | 5.0, 5.1.1, 6.0, 6.0.1 | 23 de setembro de 2015 |
| CVE-2015-6647 | ANDRÓIDE-24441554* | Crítico | 5.0, 5.1.1, 6.0, 6.0.1 | 27 de setembro de 2015 |
* O patch para este problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site do Google Developers .
Vulnerabilidade de elevação de privilégio no kernel
Uma vulnerabilidade de elevação de privilégio no kernel pode permitir que um aplicativo malicioso local execute código arbitrário no kernel. Este problema é classificado como de gravidade Crítica devido à possibilidade de um comprometimento local permanente do dispositivo, caso em que o dispositivo possivelmente precisará ser reparado atualizando novamente o sistema operacional.
| CVE | Bug(s) com link AOSP | Gravidade | Versões atualizadas | Data relatada |
|---|---|---|---|---|
| CVE-2015-6640 | ANDROID-20017123 | Crítico | 4.4.4, 5.0, 5.1.1, 6.0 | Interno do Google |
Vulnerabilidade de elevação de privilégio em Bluetooth
Uma vulnerabilidade de elevação de privilégio no componente Bluetooth pode permitir que um dispositivo remoto emparelhado por Bluetooth obtenha acesso às informações privadas do usuário (Contatos). Este problema é classificado como de alta gravidade porque pode ser usado para obter recursos “ perigosos ” remotamente; essas permissões são acessíveis apenas a aplicativos de terceiros instalados localmente.
| CVE | Bug(s) com links AOSP | Gravidade | Versões atualizadas | Data relatada |
|---|---|---|---|---|
| CVE-2015-6641 | ANDROID-23607427 [ 2 ] | Alto | 6.0, 6.0.1 | Interno do Google |
Vulnerabilidade de divulgação de informações no kernel
Uma vulnerabilidade de divulgação de informações no kernel poderia permitir contornar as medidas de segurança em vigor para aumentar a dificuldade dos invasores explorarem a plataforma. Esses problemas são classificados como de alta gravidade porque também podem ser usados para obter recursos elevados, como privilégios de permissão Signature ou SignatureOrSystem , que não são acessíveis a aplicativos de terceiros.
| CVE | Insetos) | Gravidade | Versões atualizadas | Data relatada |
|---|---|---|---|---|
| CVE-2015-6642 | ANDROID-24157888* | Alto | 4.4.4, 5.0, 5.1.1, 6.0 | 12 de setembro de 2015 |
* O patch para este problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site do Google Developers .
Vulnerabilidade de elevação de privilégio no assistente de configuração
Uma vulnerabilidade de elevação de privilégio no Assistente de configuração pode permitir que um invasor com acesso físico ao dispositivo obtenha acesso às configurações do dispositivo e execute uma redefinição manual do dispositivo. Esse problema é classificado como de gravidade moderada porque pode ser usado para contornar incorretamente a proteção de redefinição de fábrica.
| CVE | Bug(s) com links AOSP | Gravidade | Versões atualizadas | Data relatada |
|---|---|---|---|---|
| CVE-2015-6643 | ANDROID-25290269 [ 2 ] | Moderado | 5.1.1, 6.0, 6.0.1 | Interno do Google |
Vulnerabilidade de elevação de privilégio em Wi-Fi
Uma vulnerabilidade de elevação de privilégio no componente Wi-Fi poderia permitir que um invasor localmente próximo obtivesse acesso a informações relacionadas ao serviço Wi-Fi. Um dispositivo só é vulnerável a esse problema quando estiver próximo. Este problema é classificado como de gravidade moderada porque pode ser usado para obter recursos “ normais ” remotamente; essas permissões são acessíveis apenas para aplicativos de terceiros instalados localmente.
| CVE | Bug(s) com links AOSP | Gravidade | Versões atualizadas | Data relatada |
|---|---|---|---|---|
| CVE-2015-5310 | ANDROID-25266660 | Moderado | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 25 de outubro de 2015 |
Vulnerabilidade de divulgação de informações no Castelo Insuflável
Uma vulnerabilidade de divulgação de informações no Bouncy Castle poderia permitir que um aplicativo malicioso local obtivesse acesso às informações privadas do usuário. Este problema é classificado como de gravidade moderada porque pode ser usado para obter indevidamente permissões “ perigosas ”.
| CVE | Bug(s) com links AOSP | Gravidade | Versões atualizadas | Data relatada |
|---|---|---|---|---|
| CVE-2015-6644 | ANDROID-24106146 | Moderado | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | Interno do Google |
Vulnerabilidade de negação de serviço no SyncManager
Uma vulnerabilidade de negação de serviço no SyncManager pode permitir que um aplicativo malicioso local cause um loop de reinicialização. Esse problema é classificado como gravidade moderada porque pode ser usado para causar uma negação de serviço temporária local que possivelmente precisaria ser corrigida por meio de uma redefinição de fábrica.
| CVE | Bug(s) com links AOSP | Gravidade | Versões atualizadas | Data relatada |
|---|---|---|---|---|
| CVE-2015-6645 | ANDROID-23591205 | Moderado | 4.4.4, 5.0, 5.1.1, 6.0 | Interno do Google |
Redução da superfície de ataque para kernels Nexus
SysV IPC não é compatível com nenhum kernel Android. Removemos isso do sistema operacional porque expõe uma superfície de ataque adicional que não adiciona funcionalidade ao sistema que poderia ser explorada por aplicativos maliciosos. Além disso, os IPCs do System V não são compatíveis com o ciclo de vida do aplicativo Android porque os recursos alocados não podem ser liberados pelo gerenciador de memória, levando ao vazamento global de recursos do kernel. Esta alteração resolve problemas como CVE-2015-7613.
| CVE | Insetos) | Gravidade | Versões atualizadas | Data relatada |
|---|---|---|---|---|
| CVE-2015-6646 | ANDROID-22300191* | Moderado | 6,0 | Interno do Google |
* O patch para este problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site do Google Developers .
Perguntas e respostas comuns
Esta seção analisa respostas a perguntas comuns que podem surgir após a leitura deste boletim.
1. Como determino se meu dispositivo está atualizado para resolver esses problemas?
As versões LMY49F ou posterior e Android 6.0 com nível de patch de segurança de 1º de janeiro de 2016 ou posterior resolvem esses problemas. Consulte a documentação do Nexus para obter instruções sobre como verificar o nível do patch de segurança. Os fabricantes de dispositivos que incluem essas atualizações devem definir o nível da string do patch como: [ro.build.version.security_patch]:[2016-01-01]
Revisões
- 04 de janeiro de 2016: Boletim publicado.
- 06 de janeiro de 2016: Boletim revisado para incluir links AOSP.
- 28 de abril de 2016: CVE-2015-6617 removido dos Agradecimentos e adicionado CVE-2015-6647 à tabela de resumo