بولتن امنیتی Nexus - ژانویه 2016

منتشر شده در 4 ژانویه 2016 | به روز شده در 28 آوریل 2016

ما یک به‌روزرسانی امنیتی برای دستگاه‌های Nexus از طریق به‌روزرسانی هوایی (OTA) به عنوان بخشی از فرآیند انتشار ماهانه بولتن امنیتی Android خود منتشر کرده‌ایم. تصاویر سفت‌افزار Nexus نیز در سایت Google Developer منتشر شده است. بیلدهای LMY49F یا جدیدتر و Android 6.0 با سطح وصله امنیتی 1 ژانویه 2016 یا جدیدتر این مشکلات را برطرف می‌کنند. برای جزئیات بیشتر به بخش پرسش ها و پاسخ های رایج مراجعه کنید.

در 7 دسامبر 2015 یا قبل از آن، شرکا در مورد مسائل توضیح داده شده در این بولتن مطلع شدند و به‌روزرسانی‌هایی را ارائه کردند. در صورت لزوم، وصله‌های کد منبع برای این مشکلات در مخزن پروژه منبع باز Android (AOSP) منتشر شده است.

شدیدترین این مشکلات یک آسیب پذیری امنیتی بحرانی است که می تواند اجرای کد از راه دور را در دستگاه آسیب دیده از طریق چندین روش مانند ایمیل، مرور وب و MMS هنگام پردازش فایل های رسانه ای فعال کند. ارزیابی شدت بر اساس تأثیری است که بهره‌برداری از آسیب‌پذیری احتمالاً روی دستگاه آسیب‌دیده می‌گذارد، با این فرض که پلت‌فرم و کاهش خدمات برای اهداف توسعه غیرفعال شده باشند یا اگر با موفقیت دور زده شوند.

ما هیچ گزارشی مبنی بر بهره برداری فعال مشتری از این مشکلات گزارش شده جدید نداشته ایم. برای جزئیات بیشتر در مورد محافظت از پلتفرم امنیتی اندروید و محافظت از خدمات مانند SafetyNet، که امنیت پلتفرم اندروید را بهبود می بخشد، به بخش کاهش دهنده ها مراجعه کنید. ما همه مشتریان را تشویق می کنیم که این به روز رسانی ها را برای دستگاه های خود بپذیرند.

اقدامات کاهشی

این خلاصه‌ای از کاهش‌های ارائه‌شده توسط پلتفرم امنیتی Android و محافظت‌های خدماتی مانند SafetyNet است. این قابلیت ها احتمال سوء استفاده موفقیت آمیز از آسیب پذیری های امنیتی در اندروید را کاهش می دهد.

• بهره برداری از بسیاری از مسائل در اندروید با پیشرفت در نسخه های جدیدتر پلتفرم اندروید دشوارتر شده است. ما همه کاربران را تشویق می کنیم تا در صورت امکان به آخرین نسخه اندروید بروزرسانی کنند.
• تیم امنیت Android با Verify Apps و SafetyNet که در مورد برنامه‌های بالقوه مضر در شرف نصب هشدار می‌دهند، به طور فعال در حال نظارت بر سوء استفاده است. ابزارهای روت کردن دستگاه در Google Play ممنوع است. برای محافظت از کاربرانی که برنامه‌های خارج از Google Play را نصب می‌کنند، Verify Apps به طور پیش‌فرض فعال است و به کاربران در مورد برنامه‌های روت‌شده شناخته شده هشدار می‌دهد. Verify Apps تلاش می کند تا نصب برنامه های مخرب شناخته شده ای را که از یک آسیب پذیری افزایش امتیاز سوء استفاده می کنند، شناسایی و مسدود کند. اگر چنین برنامه‌ای قبلاً نصب شده باشد، Verify Apps به کاربر اطلاع می‌دهد و سعی می‌کند چنین برنامه‌هایی را حذف کند.
• در صورت لزوم، برنامه‌های Google Hangouts و Messenger رسانه‌ها را به‌طور خودکار به فرآیندهایی مانند مدیا سرور منتقل نمی‌کنند.

سپاسگزاریها

مایلیم از این پژوهشگران به خاطر مشارکتشان تشکر کنیم:

• آبیشک آریا، الیور چانگ و مارتین باربلا از تیم امنیتی Google Chrome: CVE-2015-6636
• Sen Ni ( @nforest_ ) و jfang از آزمایشگاه KEEN، Tencent ( @K33nTeam ): CVE-2015-6637
• Yabin Cui از تیم Android Bionic: CVE-2015-6640
• تام کریگ از Google X: CVE-2015-6641
• جان هورن ( https://thejh.net ): CVE-2015-6642
• Jouni Malinen PGP id EFC895FA: CVE-2015-5310
• کوان نگوین از تیم مهندس امنیت اطلاعات گوگل: CVE-2015-6644
• گال بنیامینی ( @laginimaineb ، http://bits-please.blogspot.com ): CVE-2015-6639

جزئیات آسیب پذیری امنیتی

در بخش‌های زیر، جزئیات مربوط به هر یک از آسیب‌پذیری‌های امنیتی را که در سطح وصله 01-01-2016 اعمال می‌شود، ارائه می‌کنیم. شرحی از مشکل، دلیل شدت، و جدولی با CVE، اشکال مرتبط، شدت، نسخه های به روز شده و تاریخ گزارش شده وجود دارد. زمانی که در دسترس باشد، تغییر AOSP که مشکل را برطرف کرده است را به شناسه اشکال مرتبط می کنیم. هنگامی که تغییرات متعدد به یک باگ مربوط می شود، ارجاعات اضافی AOSP به اعدادی که پس از شناسه اشکال مرتبط هستند، مرتبط می شوند.

آسیب پذیری اجرای کد از راه دور در Mediaserver

در طول فایل رسانه و پردازش داده‌های یک فایل ساخته‌شده خاص، آسیب‌پذیری‌های موجود در مدیاسرور می‌تواند به مهاجم اجازه دهد که باعث خرابی حافظه و اجرای کد از راه دور به عنوان فرآیند سرور رسانه‌ای شود.

عملکرد آسیب‌دیده به‌عنوان بخش اصلی سیستم‌عامل ارائه می‌شود و برنامه‌های متعددی وجود دارد که امکان دسترسی به آن را با محتوای راه دور فراهم می‌کند، به ویژه MMS و مرورگر پخش رسانه.

این موضوع به دلیل امکان اجرای کد از راه دور در زمینه سرویس سرور رسانه، به عنوان یک شدت بحرانی رتبه بندی می شود. سرویس مدیا سرور به جریان های صوتی و تصویری و همچنین به امتیازاتی دسترسی دارد که برنامه های شخص ثالث معمولاً نمی توانند به آنها دسترسی داشته باشند.

CVE	اشکال (ها) با پیوندهای AOSP	شدت	نسخه های به روز شده	تاریخ گزارش شده
CVE-2015-6636	ANDROID-25070493	بحرانی	5.0، 5.1.1، 6.0، 6.0.1	گوگل داخلی
	ANDROID-24686670	بحرانی	5.0، 5.1.1، 6.0، 6.0.1	گوگل داخلی

افزایش آسیب پذیری Privilege در درایور misc-sd

افزایش آسیب پذیری امتیاز در درایور misc-sd از MediaTek می تواند یک برنامه مخرب محلی را قادر سازد تا کد دلخواه را در هسته اجرا کند. این مشکل به دلیل احتمال به خطر افتادن دستگاه دائمی محلی، به عنوان یک شدت بحرانی رتبه‌بندی می‌شود، در این صورت احتمالاً دستگاه باید با فلش کردن مجدد سیستم عامل تعمیر شود.

CVE	اشکال(ها)	شدت	نسخه های به روز شده	تاریخ گزارش شده
CVE-2015-6637	ANDROID-25307013*	بحرانی	4.4.4، 5.0، 5.1.1، 6.0، 6.0.1	26 اکتبر 2015

* پچ این مشکل در AOSP نیست. این به‌روزرسانی در جدیدترین درایورهای باینری دستگاه‌های Nexus موجود در سایت Google Developer موجود است.

افزایش آسیب پذیری امتیاز در محرک فن آوری های تخیل

افزایش آسیب پذیری امتیاز در درایور هسته از Imagination Technologies می تواند یک برنامه مخرب محلی را قادر سازد تا کد دلخواه را در هسته اجرا کند. این مشکل به دلیل احتمال به خطر افتادن دستگاه دائمی محلی، به عنوان یک شدت بحرانی رتبه بندی می شود، در این صورت احتمالاً دستگاه باید با فلش مجدد سیستم عامل تعمیر شود.

CVE	اشکال(ها)	شدت	نسخه های به روز شده	تاریخ گزارش شده
CVE-2015-6638	ANDROID-24673908*	بحرانی	5.0، 5.1.1، 6.0، 6.0.1	گوگل داخلی

* پچ این مشکل در AOSP نیست. این به‌روزرسانی در جدیدترین درایورهای باینری دستگاه‌های Nexus موجود در سایت Google Developer موجود است.

افزایش آسیب پذیری های امتیاز در Trustzone

افزایش آسیب‌پذیری‌های امتیازی در برنامه Widevine QSEE TrustZone می‌تواند یک برنامه مزاحم و دارای امتیاز با دسترسی به QSEECOM را برای اجرای کد دلخواه در زمینه Trustzone فعال کند. این مشکل به دلیل احتمال به خطر افتادن دستگاه دائمی محلی، به عنوان یک شدت بحرانی رتبه‌بندی می‌شود، در این صورت احتمالاً دستگاه باید با فلش کردن مجدد سیستم عامل تعمیر شود.

CVE	اشکال(ها)	شدت	نسخه های به روز شده	تاریخ گزارش شده
CVE-2015-6639	ANDROID-24446875*	بحرانی	5.0، 5.1.1، 6.0، 6.0.1	23 سپتامبر 2015
CVE-2015-6647	ANDROID-24441554*	بحرانی	5.0، 5.1.1، 6.0، 6.0.1	27 سپتامبر 2015

* پچ این مشکل در AOSP نیست. این به‌روزرسانی در جدیدترین درایورهای باینری دستگاه‌های Nexus موجود در سایت Google Developer موجود است.

افزایش آسیب پذیری امتیاز در کرنل

افزایش آسیب پذیری امتیاز در هسته می تواند یک برنامه مخرب محلی را قادر به اجرای کد دلخواه در هسته کند. این مشکل به دلیل احتمال به خطر افتادن دستگاه دائمی محلی، به عنوان یک شدت بحرانی رتبه‌بندی می‌شود، در این صورت احتمالاً دستگاه باید با فلش کردن مجدد سیستم عامل تعمیر شود.

CVE	اشکال(های) با پیوند AOSP	شدت	نسخه های به روز شده	تاریخ گزارش شده
CVE-2015-6640	ANDROID-20017123	بحرانی	4.4.4، 5.0، 5.1.1، 6.0	گوگل داخلی

افزایش آسیب پذیری امتیاز در بلوتوث

افزایش آسیب پذیری امتیاز در مؤلفه بلوتوث می تواند یک دستگاه راه دور جفت شده از طریق بلوتوث را قادر سازد تا به اطلاعات خصوصی کاربر (مخاطبین) دسترسی پیدا کند. این مشکل به عنوان شدت بالا رتبه بندی می شود زیرا می توان از آن برای به دست آوردن قابلیت های " خطرناک " از راه دور استفاده کرد، این مجوزها فقط برای برنامه های شخص ثالث نصب شده به صورت محلی قابل دسترسی هستند.

CVE	اشکال (ها) با پیوندهای AOSP	شدت	نسخه های به روز شده	تاریخ گزارش شده
CVE-2015-6641	ANDROID-23607427 [ 2 ]	بالا	6.0، 6.0.1	گوگل داخلی

آسیب پذیری افشای اطلاعات در کرنل

یک آسیب‌پذیری افشای اطلاعات در هسته می‌تواند امکان دور زدن اقدامات امنیتی را برای افزایش دشواری مهاجمان در بهره‌برداری از پلتفرم فراهم کند. این مسائل به‌عنوان شدت بالا رتبه‌بندی می‌شوند، زیرا می‌توانند برای به دست آوردن قابلیت‌های بالا، مانند امتیازات مجوز Signature یا SignatureOrSystem ، که برای برنامه‌های شخص ثالث قابل دسترسی نیستند، استفاده شوند.

CVE	اشکال(ها)	شدت	نسخه های به روز شده	تاریخ گزارش شده
CVE-2015-6642	ANDROID-24157888*	بالا	4.4.4، 5.0، 5.1.1، 6.0	12 سپتامبر 2015

* پچ این مشکل در AOSP نیست. این به‌روزرسانی در جدیدترین درایورهای باینری دستگاه‌های Nexus موجود در سایت Google Developer موجود است.

افزایش آسیب پذیری Privilege در Setup Wizard

افزایش آسیب‌پذیری امتیاز در Setup Wizard می‌تواند مهاجمی را با دسترسی فیزیکی به دستگاه قادر سازد تا به تنظیمات دستگاه دسترسی پیدا کند و بازنشانی دستی دستگاه را انجام دهد. این مشکل به‌عنوان شدت متوسط ​​رتبه‌بندی می‌شود، زیرا می‌توان از آن برای کار نادرست در مورد حفاظت بازنشانی کارخانه استفاده کرد.

CVE	اشکال (ها) با پیوندهای AOSP	شدت	نسخه های به روز شده	تاریخ گزارش شده
CVE-2015-6643	ANDROID-25290269 [ 2 ]	در حد متوسط	5.1.1، 6.0، 6.0.1	گوگل داخلی

افزایش آسیب پذیری امتیاز در وای فای

افزایش آسیب‌پذیری امتیاز در مؤلفه Wi-Fi می‌تواند مهاجم محلی نزدیک را قادر به دسترسی به اطلاعات مربوط به سرویس Wi-Fi کند. یک دستگاه فقط در مجاورت محلی نسبت به این مشکل آسیب پذیر است. این مشکل به عنوان شدت متوسط ​​رتبه بندی می شود زیرا می توان از آن برای به دست آوردن قابلیت های " عادی " از راه دور استفاده کرد، این مجوزها فقط برای برنامه های شخص ثالث نصب شده به صورت محلی قابل دسترسی هستند.

CVE	اشکال (ها) با پیوندهای AOSP	شدت	نسخه های به روز شده	تاریخ گزارش شده
CVE-2015-5310	ANDROID-25266660	در حد متوسط	4.4.4، 5.0، 5.1.1، 6.0، 6.0.1	25 اکتبر 2015

آسیب پذیری افشای اطلاعات در قلعه Bouncy

یک آسیب‌پذیری افشای اطلاعات در Bouncy Castle می‌تواند یک برنامه مخرب محلی را قادر سازد تا به اطلاعات خصوصی کاربر دسترسی پیدا کند. این مشکل به‌عنوان شدت متوسط ​​رتبه‌بندی می‌شود، زیرا می‌توان از آن برای به دست آوردن نامناسب مجوزهای « خطرناک » استفاده کرد.

CVE	اشکال (ها) با پیوندهای AOSP	شدت	نسخه های به روز شده	تاریخ گزارش شده
CVE-2015-6644	ANDROID-24106146	در حد متوسط	4.4.4، 5.0، 5.1.1، 6.0، 6.0.1	گوگل داخلی

آسیب پذیری انکار سرویس در SyncManager

آسیب پذیری انکار سرویس در SyncManager می تواند یک برنامه مخرب محلی را قادر به ایجاد حلقه راه اندازی مجدد کند. این مشکل به‌عنوان شدت متوسط ​​رتبه‌بندی می‌شود، زیرا می‌توان از آن برای ایجاد انکار موقت سرویس محلی استفاده کرد که احتمالاً باید با بازنشانی کارخانه‌ای برطرف شود.

CVE	اشکال (ها) با پیوندهای AOSP	شدت	نسخه های به روز شده	تاریخ گزارش شده
CVE-2015-6645	ANDROID-23591205	در حد متوسط	4.4.4، 5.0، 5.1.1، 6.0	گوگل داخلی

کاهش سطح حمله برای هسته های Nexus

SysV IPC در هیچ هسته اندرویدی پشتیبانی نمی شود. ما این را از سیستم عامل حذف کرده ایم زیرا سطح حمله اضافی را نشان می دهد که عملکردی را به سیستم اضافه نمی کند که می تواند توسط برنامه های مخرب مورد سوء استفاده قرار گیرد. همچنین، IPCهای System V با چرخه عمر برنامه اندروید سازگار نیستند، زیرا منابع تخصیص یافته توسط مدیر حافظه آزاد نمی شوند که منجر به نشت منابع هسته جهانی می شود. این تغییر به مشکلاتی مانند CVE-2015-7613 می پردازد.

CVE	اشکال(ها)	شدت	نسخه های به روز شده	تاریخ گزارش شده
CVE-2015-6646	ANDROID-22300191*	در حد متوسط	6.0	گوگل داخلی

* پچ این مشکل در AOSP نیست. این به‌روزرسانی در جدیدترین درایورهای باینری دستگاه‌های Nexus موجود در سایت Google Developer موجود است.

پرسش ها و پاسخ های متداول

این بخش پاسخ به سوالات رایجی که ممکن است پس از خواندن این بولتن رخ دهد را مرور می کند.

1. چگونه تشخیص دهم که آیا دستگاه من برای رفع این مشکلات به روز شده است؟

بیلدهای LMY49F یا جدیدتر و Android 6.0 با سطح وصله امنیتی 1 ژانویه 2016 یا جدیدتر این مشکلات را برطرف می‌کنند. برای دستورالعمل‌های نحوه بررسی سطح وصله امنیتی، به مستندات Nexus مراجعه کنید. سازندگان دستگاه‌هایی که شامل این به‌روزرسانی‌ها هستند، باید سطح رشته وصله را روی: [ro.build.version.security_patch]:[01-01-2016] تنظیم کنند.

تجدید نظرها

• 04 ژانویه 2016: بولتن منتشر شد.
• 6 ژانویه 2016: بولتن برای شامل پیوندهای AOSP اصلاح شد.
• 28 آوریل 2016: CVE-2015-6617 از Acknowledgments حذف شد و CVE-2015-6647 به جدول خلاصه اضافه شد