פורסם ב-01 בפברואר 2016 | עודכן ב-7 במרץ 2016
פרסמנו עדכון אבטחה למכשירי Nexus באמצעות עדכון אויר (OTA) כחלק מתהליך השחרור החודשי של עלון האבטחה של Android. תמונות הקושחה של Nexus שוחררו גם לאתר Google Developer . בונה LMY49G ואילך ו-Android M עם רמת תיקון אבטחה של 1 בפברואר 2016 ואילך מטפלים בבעיות אלה. עיין בתיעוד של Nexus לקבלת הוראות כיצד לבדוק את רמת תיקון האבטחה.
שותפים קיבלו הודעה על הבעיות המתוארות בעלון ב-4 בינואר 2016 או קודם לכן. במידת האפשר, תיקוני קוד מקור עבור בעיות אלה שוחררו למאגר Android Open Source Project (AOSP).
החמורה ביותר מבין הבעיות הללו היא פגיעות אבטחה קריטית שעלולה לאפשר ביצוע קוד מרחוק במכשיר מושפע באמצעות מספר שיטות כגון דואר אלקטרוני, גלישה באינטרנט ו-MMS בעת עיבוד קובצי מדיה. הפגיעות של ביצוע קוד מרחוק במנהל התקן ה-Wi-Fi של Broadcom היא גם חומרה קריטית מכיוון שהיא עלולה לאפשר ביצוע קוד מרחוק במכשיר מושפע בזמן שהוא מחובר לאותה רשת כמו התוקף. הערכת החומרה מבוססת על ההשפעה שאולי תהיה לניצול הפגיעות על מכשיר מושפע, בהנחה שהפלטפורמה וההפחתות השירות מושבתות למטרות פיתוח או אם יעקפו בהצלחה.
לא קיבלנו דיווחים על ניצול פעיל של לקוחות של בעיות אלה שדווחו לאחרונה. עיין בסעיף ההקלות לפרטים על הגנות פלטפורמת האבטחה של אנדרואיד והגנות שירות כגון SafetyNet, המשפרות את האבטחה של פלטפורמת אנדרואיד. אנו מעודדים את כל הלקוחות לקבל עדכונים אלה למכשירים שלהם.
הקלות
זהו סיכום של ההקלות שמספקות פלטפורמת האבטחה אנדרואיד והגנות שירות כגון SafetyNet. יכולות אלו מפחיתות את הסבירות שניתן יהיה לנצל בהצלחה פרצות אבטחה באנדרואיד.
- ניצול בעיות רבות באנדרואיד מקשה על ידי שיפורים בגרסאות חדשות יותר של פלטפורמת אנדרואיד. אנו ממליצים לכל המשתמשים לעדכן לגרסה העדכנית ביותר של אנדרואיד במידת האפשר.
- צוות אבטחת אנדרואיד עוקב באופן פעיל אחר שימוש לרעה עם Verify Apps ו- SafetyNet אשר יזהירו מפני אפליקציות שעלולות להיות מזיקים שעומדים להתקין. כלי השתרשות מכשירים אסורים ב-Google Play. כדי להגן על משתמשים שמתקינים יישומים מחוץ ל-Google Play, Verify Apps מופעל כברירת מחדל והוא יזהיר משתמשים לגבי יישומי השתרשות ידועים. אימות אפליקציות מנסה לזהות ולחסום התקנה של יישומים זדוניים ידועים המנצלים פגיעות של הסלמה של הרשאות. אם יישום כזה כבר הותקן, Verify Apps יודיע למשתמש וינסה להסיר אפליקציות כאלה.
- בהתאם, יישומי Google Hangouts ו-Messenger אינם מעבירים מדיה אוטומטית לתהליכים כגון שרת מדיה.
תודות
ברצוננו להודות לחוקרים אלו על תרומתם:
- צוות האבטחה של Android ו-Chrome: CVE-2016-0809, CVE-2016-0810
- צוות Broadgate: CVE-2016-0801, CVE-2015-0802
- Chiachih Wu ( @chiachih_wu ), Mingjian Zhou ( @Mingjian_Zhou ), ו-Xuxian Jiang מ- C0RE Team , Qihoo 360 : CVE-2016-0804
- דיוויד ריילי מצוות Google Pixel C: CVE-2016-0812
- Gengjia Chen ( @chengjia4574 ) מ- Lab IceSword, Qihoo 360: CVE-2016-0805
- Qidan He ( @Flanker_hqd ) מ- KeenLab ( @keen_lab ), Tencent: CVE-2016-0811
- Seven Shen ( @lingtongshen ) של Trend Micro ( www.trendmicro.com ): CVE-2016-0803
- Weichao Sun ( @sunblate ) מ-Alibaba Inc: CVE-2016-0808
- זאק ריגל ( @ebeip90 ) מצוות האבטחה של אנדרואיד: CVE-2016-0807
פרטי פגיעות אבטחה
בסעיפים שלהלן, אנו מספקים פרטים עבור כל אחת מפגיעות האבטחה החלות על רמת התיקון של 2016-02-01. יש תיאור של הבעיה, רציונל חומרה וטבלה עם ה-CVE, הבאג המשויך, החומרה, הגרסאות המושפעות ותאריך הדיווח. כאשר זמין, נקשר את ה-AOSP commit שטיפל בבעיה למזהה הבאג. כאשר שינויים מרובים מתייחסים לבאג בודד, הפניות נוספות של AOSP מקושרות למספרים בעקבות מזהה הבאג.
פגיעות של ביצוע קוד מרחוק במנהל התקן Wi-Fi של Broadcom
פגיעויות מרובות של ביצוע מרחוק במנהל ההתקן של Broadcom Wi-Fi עלולות לאפשר לתוקף מרוחק להשתמש במנות הודעות בקרה אלחוטיות בעלות מבנה מיוחד כדי להרוס את זיכרון הליבה באופן שמוביל לביצוע קוד מרחוק בהקשר של הליבה. פגיעויות אלו יכולות להיות מופעלות כאשר התוקף והקורבן משויכים לאותה רשת. בעיה זו מדורגת כחומרה קריטית בשל האפשרות של ביצוע קוד מרחוק בהקשר של הליבה ללא צורך באינטראקציה של המשתמש.
CVE | באגים | חוּמרָה | גרסאות מעודכנות | תאריך דיווח |
---|---|---|---|---|
CVE-2016-0801 | ANDROID-25662029 ANDROID-25662233 | קריטי | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 25 באוקטובר 2015 |
CVE-2016-0802 | ANDROID-25306181 | קריטי | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 26 באוקטובר 2015 |
פגיעות של ביצוע קוד מרחוק ב-Mediaserver
במהלך קבצי מדיה ועיבוד נתונים של קובץ בעל מבנה מיוחד, פגיעויות בשרת המדיה עלולות לאפשר לתוקף לגרום לפגיעה בזיכרון ולביצוע קוד מרחוק כתהליך שרת המדיה.
הפונקציונליות המושפעת מסופקת כחלק מרכזי ממערכת ההפעלה וישנן מספר יישומים המאפשרים להגיע אליה עם תוכן מרוחק, בעיקר MMS והשמעת מדיה בדפדפן.
בעיה זו מדורגת כחומרה קריטית בשל האפשרות של ביצוע קוד מרחוק בהקשר של שירות שרת המדיה. לשירות שרת המדיה יש גישה לזרמי אודיו ווידאו וכן גישה להרשאות שאפליקציות צד שלישי אינן יכולות לגשת אליהן בדרך כלל.
CVE | באגים עם קישורי AOSP | חוּמרָה | גרסאות מעודכנות | תאריך דיווח |
---|---|---|---|---|
CVE-2016-0803 | ANDROID-25812794 | קריטי | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 19 בנובמבר 2015 |
CVE-2016-0804 | ANDROID-25070434 | קריטי | 5.0, 5.1.1, 6.0, 6.0.1 | 12 באוקטובר 2015 |
פגיעות העלאת הרשאות במודול הביצועים של קוואלקום
העלאת פגיעות הרשאות ברכיב מנהל אירועי ביצועים עבור מעבדי ARM מ-Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בתוך הליבה. בעיה זו מדורגת כחומרה קריטית בשל האפשרות של פגיעה מקומית קבועה במכשיר וייתכן שיהיה צורך לתקן את המכשיר על ידי הבזק מחדש של מערכת ההפעלה.
CVE | חרק | חוּמרָה | גרסאות מעודכנות | תאריך דיווח |
---|---|---|---|---|
CVE-2016-0805 | ANDROID-25773204* | קריטי | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 15 בנובמבר 2015 |
* התיקון לבעיה זו אינו ב-AOSP. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .
פגיעות העלאת הרשאות במנהל התקן Wi-Fi של Qualcomm
ישנה פגיעות במנהל ההתקן של Qualcomm Wi-Fi שעלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כחומרה קריטית בשל האפשרות של פגיעה מקומית קבועה במכשיר וייתכן שיהיה צורך לתקן את המכשיר על ידי הבזק מחדש של מערכת ההפעלה.
CVE | חרק | חוּמרָה | גרסאות מעודכנות | תאריך דיווח |
---|---|---|---|---|
CVE-2016-0806 | ANDROID-25344453* | קריטי | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 15 בנובמבר 2015 |
* התיקון לבעיה זו אינו ב-AOSP. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .
הפגיעות של העלאת הרשאות ב-Debuggerd
הפגיעות של העלאת הרשאות ברכיב Debuggerd עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בתוך הקשר שורש המכשיר. בעיה זו מדורגת כחומרה קריטית בשל האפשרות של פגיעה מקומית קבועה במכשיר וייתכן שיהיה צורך לתקן את המכשיר על ידי הבזק מחדש של מערכת ההפעלה.
CVE | באג עם קישור AOSP | חוּמרָה | גרסאות מעודכנות | תאריך דיווח |
---|---|---|---|---|
CVE-2016-0807 | ANDROID-25187394 | קריטי | 6.0 ו-6.0.1 | Google פנימי |
פגיעות מניעת שירות במיניקין
פגיעות של מניעת שירות בספריית Minikin עלולה לאפשר לתוקף מקומי לחסום זמנית גישה למכשיר מושפע. תוקף עלול לגרום לטעינת גופן לא מהימן ולגרום לגלישה ברכיב Minikin מה שמוביל להתרסקות. זה מדורג כחומרה גבוהה מכיוון שמניעת שירות מובילה ללולאת אתחול מחדש מתמשכת.
CVE | באג עם קישור AOSP | חוּמרָה | גרסאות מעודכנות | תאריך דיווח |
---|---|---|---|---|
CVE-2016-0808 | ANDROID-25645298 | גָבוֹהַ | 5.0, 5.1.1, 6.0, 6.0.1 | 3 בנובמבר 2015 |
פגיעות העלאת הרשאות ב-Wi-Fi
הפגיעות של העלאת הרשאות ברכיב ה-Wi-Fi עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של המערכת. מכשיר חשוף לבעיה זו רק כאשר הוא נמצא בקרבה מקומית. בעיה זו מדורגת כחומרה גבוהה מכיוון שניתן להשתמש בה כדי להשיג יכולות " רגילות " מרחוק. בדרך כלל, הרשאות אלו נגישות רק ליישומי צד שלישי המותקנים באופן מקומי.
CVE | באג עם קישור AOSP | חוּמרָה | גרסאות מעודכנות | תאריך דיווח |
---|---|---|---|---|
CVE-2016-0809 | ANDROID-25753768 | גָבוֹהַ | 6.0, 6.0.1 | Google פנימי |
פגיעות העלאת הרשאות ב-Mediaserver
פגיעות העלאת הרשאות בשרת מדיה עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של יישום מערכת מוגבה. בעיה זו מדורגת כחומרה גבוהה מכיוון שניתן להשתמש בה כדי להשיג יכולות מוגברות, כגון הרשאות הרשאות Signature או SignatureOrSystem , שאינן נגישות ליישום של צד שלישי.
CVE | באג עם קישור AOSP | חוּמרָה | גרסאות מעודכנות | תאריך דיווח |
---|---|---|---|---|
CVE-2016-0810 | ANDROID-25781119 | גָבוֹהַ | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | Google פנימי |
פגיעות גילוי מידע ב-libmediaplayerservice
פגיעות של חשיפת מידע ב-libmediaplayerservice עלולה לאפשר עקיפת אמצעי אבטחה כדי להגביר את הקושי של תוקפים לנצל את הפלטפורמה. בעיות אלו מדורגות כחומרה גבוהה מכיוון שניתן להשתמש בהן גם כדי להשיג יכולות מוגברות, כגון הרשאות הרשאות Signature או SignatureOrSystem , שאינן נגישות ליישומי צד שלישי.
CVE | באג עם קישור AOSP | חוּמרָה | גרסאות מעודכנות | תאריך דיווח |
---|---|---|---|---|
CVE-2016-0811 | ANDROID-25800375 | גָבוֹהַ | 6.0, 6.0.1 | 16 בנובמבר 2015 |
פגיעות העלאת הרשאות באשף ההתקנה
פגיעות באשף ההתקנה עלולה לאפשר לתוקף זדוני לעקוף את הגנת איפוס היצרן ולקבל גישה למכשיר. זה מדורג כחומרה בינונית מכיוון שהוא עשוי לאפשר למישהו עם גישה פיזית למכשיר לעקוף את הגנת איפוס היצרן, המאפשרת לתוקף לאפס בהצלחה מכשיר, ולמחוק את כל הנתונים.
CVE | באגים עם קישורי AOSP | חוּמרָה | גרסאות מעודכנות | תאריך דיווח |
---|---|---|---|---|
CVE-2016-0812 | ANDROID-25229538 | לְמַתֵן | 5.1.1, 6.0 | Google פנימי |
CVE-2016-0813 | ANDROID-25476219 | לְמַתֵן | 5.1.1, 6.0, 6.0.1 | Google פנימי |
שאלות ותשובות נפוצות
חלק זה סוקר תשובות לשאלות נפוצות שעלולות להתרחש לאחר קריאת עלון זה.
1. כיצד אוכל לקבוע אם המכשיר שלי מעודכן כדי לטפל בבעיות אלו?
בונה LMY49G ואילך ו-Android 6.0 עם רמת תיקון אבטחה של 1 בפברואר 2016 ואילך מטפלים בבעיות אלה. עיין בתיעוד של Nexus לקבלת הוראות כיצד לבדוק את רמת תיקון האבטחה. יצרני מכשירים הכוללים עדכונים אלה צריכים להגדיר את רמת מחרוזת התיקון ל: [ro.build.version.security_patch]:[2016-02-01]
תיקונים
- 01 בפברואר, 2016: העלון פורסם.
- 2 בפברואר 2016: העלון תוקן כך שיכלול קישורי AOSP.
- 7 במרץ 2016: העלון תוקן כך שיכלול קישורי AOSP נוספים.