04 Ocak 2016 tarihinde yayınlandı | 28 Nisan 2016 güncellendi
Android Güvenlik Bülteni Aylık Sürüm sürecimizin bir parçası olarak kablosuz (OTA) güncellemesi aracılığıyla Nexus cihazlarına bir güvenlik güncellemesi yayınladık. Nexus ürün yazılımı görüntüleri de Google Developer sitesinde yayınlandı. LMY49F veya sonraki sürümleri ve 1 Ocak 2016 veya sonraki Güvenlik Düzeltme Eki Düzeyine sahip Android 6.0 sürümleri bu sorunları giderir. Daha fazla ayrıntı için Genel Sorular ve Cevaplar bölümüne bakın.
İş ortaklarına 7 Aralık 2015 veya daha önce bu bültende açıklanan sorunlar hakkında bilgi verildi ve güncellemeler sağlandı. Uygun olduğunda, bu sorunlar için kaynak kodu yamaları Android Açık Kaynak Projesi (AOSP) deposunda yayımlanmıştır.
Bu sorunlardan en ciddi olanı, medya dosyalarını işlerken e-posta, web'de gezinme ve MMS gibi birden çok yöntemle etkilenen bir cihazda uzaktan kod yürütülmesine olanak verebilecek bir Kritik güvenlik açığıdır. Önem derecesi değerlendirmesi , platform ve hizmet azaltmalarının geliştirme amaçları için devre dışı bırakıldığı veya başarılı bir şekilde atlandığı varsayılarak, güvenlik açığından yararlanmanın etkilenen bir cihaz üzerindeki etkisine dayanır.
Yeni bildirilen bu sorunlardan aktif müşteri yararlandığına dair herhangi bir rapor almadık. Android platformunun güvenliğini artıran SafetyNet gibi Android güvenlik platformu korumaları ve hizmet korumaları hakkında ayrıntılar için Azaltmalar bölümüne bakın. Tüm müşterilerimizi cihazlarında bu güncellemeleri kabul etmeye teşvik ediyoruz.
Hafifletmeler
Bu, Android güvenlik platformu ve SafetyNet gibi hizmet korumaları tarafından sağlanan azaltmaların bir özetidir. Bu yetenekler, güvenlik açıklarından Android'de başarıyla yararlanma olasılığını azaltır.
- Android platformunun daha yeni sürümlerinde yapılan geliştirmeler sayesinde Android'deki birçok sorundan yararlanma daha zor hale getirilmiştir. Tüm kullanıcıları, mümkün olduğunda Android'in en son sürümüne güncellemeye teşvik ediyoruz.
- Android Güvenlik ekibi, yüklenmek üzere olan zararlı olabilecek uygulamalar hakkında uyaracak olan Verify Apps ve SafetyNet ile kötüye kullanımı aktif olarak izliyor. Google Play'de cihaz köklendirme araçları yasaktır. Google Play dışından uygulama yükleyen kullanıcıları korumak için, Uygulamaları Doğrula varsayılan olarak etkindir ve kullanıcıları bilinen köklendirme uygulamaları hakkında uyarır. Doğrulama Uygulamaları, bir ayrıcalık yükseltme güvenlik açığından yararlanan bilinen kötü amaçlı uygulamaların yüklenmesini belirlemeye ve engellemeye çalışır. Böyle bir uygulama zaten yüklenmişse, Uygulamaları Doğrula, kullanıcıyı bilgilendirecek ve bu tür uygulamaları kaldırmaya çalışacaktır.
- Uygun olduğu şekilde, Google Hangouts ve Messenger uygulamaları, medyayı mediaserver gibi işlemlere otomatik olarak iletmez.
Teşekkür
Bu araştırmacılara katkılarından dolayı teşekkür etmek isteriz:
- Google Chrome Güvenlik Ekibinden Abhishek Arya, Oliver Chang ve Martin Barbella: CVE-2015-6636
- Sen Nie ( @nforest_ ) ve KEEN laboratuvarından jfang, Tencent ( @K33nTeam ): CVE-2015-6637
- Android Bionic Ekibinden Yabin Cui: CVE-2015-6640
- Google X'ten Tom Craig: CVE-2015-6641
- Jann Horn ( https://thejh.net ): CVE-2015-6642
- Jouni Malinen PGP kimliği EFC895FA: CVE-2015-5310
- Google Bilgi Güvenliği Mühendisi Ekibinden Quan Nguyen: CVE-2015-6644
- Gal Beniamini ( @laginimaineb , http://bits-Please.blogspot.com ): CVE-2015-6639
Güvenlik Açığı Ayrıntıları
Aşağıdaki bölümlerde, 2016-01-01 yama düzeyi için geçerli olan güvenlik açıklarının her biri için ayrıntılar sunuyoruz. Sorunun açıklaması, önem derecesi gerekçesi ve CVE, ilgili hata, önem derecesi, güncellenmiş sürümler ve rapor edilen tarihi içeren bir tablo vardır. Uygun olduğunda, sorunu gideren AOSP değişikliğini hata kimliğine bağlayacağız. Birden fazla değişiklik tek bir hatayla ilgili olduğunda, ek AOSP referansları, hata kimliğini izleyen sayılara bağlanır.
Mediaserver'da Uzaktan Kod Yürütme Güvenlik Açığı
Medya dosyası ve özel hazırlanmış bir dosyanın veri işlemesi sırasında, medya sunucusundaki güvenlik açıkları, bir saldırganın medya sunucusu işlemi olarak bellek bozulmasına ve uzaktan kod yürütülmesine neden olabilir.
Etkilenen işlevsellik, işletim sisteminin temel bir parçası olarak sağlanır ve uzak içerikle, özellikle de MMS ve tarayıcıdan medya oynatmayla ulaşılmasına izin veren birden çok uygulama vardır.
Bu sorun, medya sunucusu hizmeti bağlamında uzaktan kod yürütme olasılığı nedeniyle Kritik önem derecesi olarak derecelendirilmiştir. Medya sunucusu hizmetinin, ses ve video akışlarına erişiminin yanı sıra üçüncü taraf uygulamaların normalde erişemediği ayrıcalıklara erişimi vardır.
| CVE | AOSP bağlantılarına sahip hata(lar) | önem | Güncellenmiş sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6636 | ANDROID-25070493 | kritik | 5.0, 5.1.1, 6.0, 6.0.1 | Google Dahili |
| ANDROID-24686670 | kritik | 5.0, 5.1.1, 6.0, 6.0.1 | Google Dahili |
Misc-sd sürücüsünde Ayrıcalık Yükselmesi Güvenlik Açığı
MediaTek'in çeşitli sd sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek içinde rasgele kod yürütmesine olanak verebilir. Bu sorun, yerel kalıcı bir aygıt ihlali olasılığı nedeniyle Kritik önem derecesi olarak derecelendirilmiştir; bu durumda, işletim sisteminin yeniden yanıp sönmesiyle aygıtın onarılması gerekebilir.
| CVE | Hata(lar) | önem | Güncellenmiş sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6637 | ANDROID-25307013* | kritik | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 26 Ekim 2015 |
* Bu sorun için yama AOSP'de değil. Güncelleme, Google Developer sitesinde bulunan Nexus cihazlarının en son ikili sürücülerinde bulunur.
Imagination Technologies sürücüsünde Ayrıcalık Yükselmesi Güvenlik Açığı
Imagination Technologies'den bir çekirdek sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek içinde rasgele kod yürütmesine olanak verebilir. Bu sorun, yerel kalıcı bir aygıt ihlali olasılığı nedeniyle Kritik önem derecesi olarak derecelendirilmiştir; bu durumda, işletim sisteminin yeniden yanıp sönmesiyle aygıtın onarılması gerekebilir.
| CVE | Hata(lar) | önem | Güncellenmiş sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6638 | ANDROID-24673908* | kritik | 5.0, 5.1.1, 6.0, 6.0.1 | Google Dahili |
* Bu sorun için yama AOSP'de değil. Güncelleme, Google Developer sitesinde bulunan Nexus cihazlarının en son ikili sürücülerinde bulunur.
Trustzone'da Ayrıcalıkların Yükseltilmesi Güvenlik Açıkları
Widevine QSEE TrustZone uygulamasındaki ayrıcalık güvenlik açıklarının yükseltilmesi, QSEECOM'a erişimi olan ayrıcalıklı bir uygulamanın Trustzone bağlamında rastgele kod yürütmesini sağlayabilir. Bu sorun, yerel kalıcı bir aygıt ihlali olasılığı nedeniyle Kritik önem derecesi olarak derecelendirilmiştir; bu durumda, işletim sisteminin yeniden yanıp sönmesiyle aygıtın onarılması gerekebilir.
| CVE | Hata(lar) | önem | Güncellenmiş sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6639 | ANDROID-24446875* | kritik | 5.0, 5.1.1, 6.0, 6.0.1 | 23 Eylül 2015 |
| CVE-2015-6647 | ANDROID-24441554* | kritik | 5.0, 5.1.1, 6.0, 6.0.1 | 27 Eyl 2015 |
* Bu sorun için yama AOSP'de değil. Güncelleme, Google Developer sitesinde bulunan Nexus cihazlarının en son ikili sürücülerinde bulunur.
Çekirdekte Ayrıcalık Yükseltme Güvenlik Açığı
Çekirdekteki bir ayrıcalık yükselmesi güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdekte rasgele kod yürütmesine olanak verebilir. Bu sorun, yerel kalıcı bir aygıt ihlali olasılığı nedeniyle Kritik önem derecesi olarak derecelendirilmiştir; bu durumda, işletim sisteminin yeniden yanıp sönmesiyle aygıtın onarılması gerekebilir.
| CVE | AOSP Bağlantısı ile Hata(lar) | önem | Güncellenmiş sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6640 | ANDROID-20017123 | kritik | 4.4.4, 5.0, 5.1.1, 6.0 | Google Dahili |
Bluetooth'ta Ayrıcalık Yükselmesi Güvenlik Açığı
Bluetooth bileşenindeki bir ayrıcalık yükselmesi güvenlik açığı, Bluetooth üzerinden eşleştirilmiş uzak bir cihazın kullanıcının özel bilgilerine (Kişiler) erişmesini sağlayabilir. Bu sorun, uzaktan “ tehlikeli ” yetenekler kazanmak için kullanılabildiğinden, Yüksek önem derecesi olarak derecelendirilmiştir, bu izinlere yalnızca yerel olarak yüklenen üçüncü taraf uygulamalar tarafından erişilebilir.
| CVE | AOSP bağlantılarına sahip hata(lar) | önem | Güncellenmiş sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6641 | ANDROID-23607427 [ 2 ] | Yüksek | 6.0, 6.0.1 | Google Dahili |
Çekirdekte Bilgi İfşası Güvenlik Açığı
Çekirdekteki bir bilginin açığa çıkması güvenlik açığı, saldırganların platformu sömürme zorluğunu artırmak için güvenlik önlemlerinin atlanmasına izin verebilir. Bu sorunlar, üçüncü taraf uygulamalar tarafından erişilemeyen İmza veya İmza veya Sistem izin ayrıcalıkları gibi yükseltilmiş yetenekler elde etmek için de kullanılabildikleri için Yüksek önem derecesi olarak derecelendirilir.
| CVE | Hata(lar) | önem | Güncellenmiş sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6642 | ANDROID-24157888* | Yüksek | 4.4.4, 5.0, 5.1.1, 6.0 | 12 Eylül 2015 |
* Bu sorun için yama AOSP'de değil. Güncelleme, Google Developer sitesinde bulunan Nexus cihazlarının en son ikili sürücülerinde bulunur.
Kurulum Sihirbazında Ayrıcalık Yükselmesi Güvenlik Açığı
Kurulum Sihirbazı'ndaki bir ayrıcalık yükselmesi güvenlik açığı, cihaza fiziksel erişimi olan bir saldırganın cihaz ayarlarına erişmesine ve manuel cihaz sıfırlaması gerçekleştirmesine olanak verebilir. Bu sorun, fabrika ayarlarına sıfırlama korumasının hatalı bir şekilde çözülmesi için kullanılabildiğinden, Orta önem derecesi olarak derecelendirilmiştir.
| CVE | AOSP bağlantılarına sahip hata(lar) | önem | Güncellenmiş sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6643 | ANDROID-25290269 [ 2 ] | Ilıman | 5.1.1, 6.0, 6.0.1 | Google Dahili |
Wi-Fi'de Ayrıcalık Yükselmesi Güvenlik Açığı
Wi-Fi bileşenindeki bir ayrıcalık yükselmesi güvenlik açığı, yerel olarak yakın bir saldırganın Wi-Fi hizmetiyle ilgili bilgilere erişmesine olanak sağlayabilir. Bir cihaz, yalnızca yerel yakınlıktayken bu soruna karşı savunmasızdır. Bu sorun, uzaktan “ normal ” yetenekler kazanmak için kullanılabildiğinden, Orta önem derecesinde olarak derecelendirilmiştir, bu izinlere yalnızca yerel olarak yüklenen üçüncü taraf uygulamalar tarafından erişilebilir.
| CVE | AOSP bağlantılarına sahip hata(lar) | önem | Güncellenmiş sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-5310 | ANDROID-25266660 | Ilıman | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 25 Ekim 2015 |
Bouncy Castle'da Bilginin İfşa Edilmesi Güvenlik Açığı
Bouncy Castle'daki bir bilginin açığa çıkması güvenlik açığı, yerel bir kötü amaçlı uygulamanın kullanıcının özel bilgilerine erişmesine olanak sağlayabilir. Bu sorun, uygunsuz bir şekilde “ tehlikeli ” izinler almak için kullanılabileceğinden, Orta önem derecesi olarak derecelendirilmiştir.
| CVE | AOSP bağlantılarına sahip hata(lar) | önem | Güncellenmiş sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6644 | ANDROID-24106146 | Ilıman | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | Google Dahili |
SyncManager'da Hizmet Reddi Güvenlik Açığı
SyncManager'daki bir hizmet reddi güvenlik açığı, yerel bir kötü amaçlı uygulamanın yeniden başlatma döngüsüne neden olmasını sağlayabilir. Bu sorun, muhtemelen fabrika ayarlarına sıfırlama yoluyla düzeltilmesi gerekebilecek yerel bir geçici hizmet reddine neden olmak için kullanılabildiğinden, Orta önem derecesi olarak derecelendirilmiştir.
| CVE | AOSP bağlantılarına sahip hata(lar) | önem | Güncellenmiş sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6645 | ANDROID-23591205 | Ilıman | 4.4.4, 5.0, 5.1.1, 6.0 | Google Dahili |
Nexus Çekirdekleri için Saldırı Yüzeyi Azaltma
SysV IPC, hiçbir Android Çekirdeğinde desteklenmez. Kötü amaçlı uygulamalar tarafından istismar edilebilecek sisteme işlevsellik katmayan ek saldırı yüzeyini açığa çıkardığı için bunu işletim sisteminden kaldırdık. Ayrıca, System V IPC'leri Android'in uygulama yaşam döngüsüyle uyumlu değildir çünkü ayrılan kaynaklar bellek yöneticisi tarafından serbest bırakılamaz ve bu da global çekirdek kaynak sızıntısına neden olur. Bu değişiklik, CVE-2015-7613 gibi sorunları giderir.
| CVE | Hata(lar) | önem | Güncellenmiş sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6646 | ANDROID-22300191* | Ilıman | 6.0 | Google Dahili |
* Bu sorun için yama AOSP'de değil. Güncelleme, Google Developer sitesinde bulunan Nexus cihazlarının en son ikili sürücülerinde bulunur.
Genel Sorular ve Cevaplar
Bu bölüm, bu bülteni okuduktan sonra ortaya çıkabilecek yaygın soruların yanıtlarını gözden geçirmektedir.
1. Cihazımın bu sorunları gidermek için güncellenip güncellenmediğini nasıl belirleyebilirim?
LMY49F veya sonraki sürümleri ve 1 Ocak 2016 veya sonraki Güvenlik Düzeltme Eki Düzeyine sahip Android 6.0 sürümleri bu sorunları giderir. Güvenlik yaması düzeyinin nasıl kontrol edileceğine ilişkin talimatlar için Nexus belgelerine bakın. Bu güncellemeleri içeren cihaz üreticileri, yama dizesi düzeyini şu şekilde ayarlamalıdır: [ro.build.version.security_patch]:[2016-01-01]
Revizyonlar
- 04 Ocak 2016: Bülten yayınlandı.
- 06 Ocak 2016: Bülten, AOSP bağlantılarını içerecek şekilde revize edildi.
- 28 Nisan 2016: Teşekkür bölümünden CVE-2015-6617 kaldırıldı ve özet tablosuna CVE-2015-6647 eklendi