نشرة Nexus الأمنية - فبراير 2016

تم النشر في 01 فبراير 2016 | تم التحديث في 7 مارس 2016

لقد أصدرنا تحديثًا أمنيًا لأجهزة Nexus من خلال التحديث عبر الأثير (OTA) كجزء من عملية الإصدار الشهري لنشرة أمان Android. تم أيضًا إصدار صور البرامج الثابتة لـ Nexus على موقع Google Developer . يعمل إصدار LMY49G أو إصدار أحدث ونظام Android M بمستوى تصحيح الأمان بتاريخ 1 فبراير 2016 أو إصدار أحدث على معالجة هذه المشكلات. راجع وثائق Nexus للحصول على إرشادات حول كيفية التحقق من مستوى تصحيح الأمان.

تم إخطار الشركاء بالمشكلات الموضحة في النشرة بتاريخ 4 يناير 2016 أو قبل ذلك. حيثما أمكن، تم إصدار تصحيحات التعليمات البرمجية المصدر لهذه المشكلات إلى مستودع Android Open Source Project (AOSP).

أخطر هذه المشكلات هو وجود ثغرة أمنية خطيرة يمكنها تمكين تنفيذ التعليمات البرمجية عن بعد على جهاز متأثر من خلال طرق متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط. تعد الثغرة الأمنية لتنفيذ التعليمات البرمجية عن بعد في برنامج تشغيل Wi-Fi الخاص بـ Broadcom خطيرة أيضًا لأنها قد تسمح بتنفيذ التعليمات البرمجية عن بعد على جهاز متأثر أثناء الاتصال بنفس الشبكة التي يتصل بها المهاجم. يعتمد تقييم الخطورة على التأثير الذي قد يحدثه استغلال الثغرة الأمنية على الجهاز المتأثر، بافتراض أن عمليات تخفيف النظام الأساسي والخدمة معطلة لأغراض التطوير أو إذا تم تجاوزها بنجاح.

لم تصلنا أي تقارير عن استغلال العملاء النشط لهذه المشكلات التي تم الإبلاغ عنها حديثًا. راجع قسم عمليات التخفيف للحصول على تفاصيل حول عمليات حماية النظام الأساسي لأمان Android وعمليات حماية الخدمة مثل SafetyNet، والتي تعمل على تحسين أمان نظام Android الأساسي. نحن نشجع جميع العملاء على قبول هذه التحديثات على أجهزتهم.

التخفيف

هذا ملخص لعمليات التخفيف التي يوفرها النظام الأساسي لأمان Android وعمليات حماية الخدمة مثل SafetyNet. تعمل هذه الإمكانات على تقليل احتمالية استغلال الثغرات الأمنية بنجاح على نظام Android.

• أصبح استغلال العديد من المشكلات على Android أكثر صعوبة بسبب التحسينات في الإصدارات الأحدث من نظام Android الأساسي. نحن نشجع جميع المستخدمين على التحديث إلى أحدث إصدار من Android حيثما أمكن ذلك.
• يقوم فريق Android Security بمراقبة إساءة الاستخدام بشكل نشط من خلال Verify Apps وSafetyNet الذي سيحذر من التطبيقات الضارة المحتملة التي سيتم تثبيتها. أدوات تأصيل الجهاز محظورة داخل Google Play. لحماية المستخدمين الذين يقومون بتثبيت التطبيقات من خارج Google Play، يتم تمكين التحقق من التطبيقات افتراضيًا وسيحذر المستخدمين بشأن تطبيقات التجذير المعروفة. تحاول ميزة التحقق من التطبيقات تحديد وحظر تثبيت التطبيقات الضارة المعروفة التي تستغل ثغرة أمنية في تصعيد الامتيازات. إذا تم تثبيت مثل هذا التطبيق بالفعل، فسوف يقوم Verify Apps بإعلام المستخدم ومحاولة إزالة أي من هذه التطبيقات.
• حسب الاقتضاء، لا تقوم تطبيقات Google Hangouts وMessenger بتمرير الوسائط تلقائيًا إلى عمليات مثل خادم الوسائط.

شكر وتقدير

ونود أن نشكر هؤلاء الباحثين على مساهماتهم:

• فريق أمان Android وChrome: CVE-2016-0809، CVE-2016-0810
• فريق برودجيت: CVE-2016-0801، CVE-2015-0802
• Chiachih Wu ( @chiachih_wu )، وMingjian Zhou ( @Mingjian_Zhou )، وXuxian Jiang من فريق C0RE ، Qihoo 360 : CVE-2016-0804
• ديفيد رايلي من فريق Google Pixel C: CVE-2016-0812
• Gengjia Chen ( @chengjia4574 ) من Lab IceSword، Qihoo 360: CVE-2016-0805
• قيدان هو ( @Flanker_hqd ) من KeenLab ( @keen_lab )، Tencent: CVE-2016-0811
• Seven Shen ( @lingtongshen ) من Trend Micro ( www.trendmicro.com ): CVE-2016-0803
• Weichao Sun ( @sunblate ) من شركة Alibaba Inc: CVE-2016-0808
• زاك ريجل ( @ebeip90 ) من فريق أمان Android: CVE-2016-0807

تفاصيل الثغرة الأمنية

في الأقسام أدناه، نقدم تفاصيل لكل من الثغرات الأمنية التي تنطبق على مستوى التصحيح 2016-02-01. يوجد وصف للمشكلة، وأساس خطورتها، وجدول يتضمن الأخطاء الشائعة، والأخطاء المرتبطة، وخطورة المشكلة، والإصدارات المتأثرة، وتاريخ الإبلاغ عنها. عندما يكون ذلك متاحًا، سنقوم بربط التزام AOSP الذي عالج المشكلة بمعرف الخطأ. عندما تتعلق تغييرات متعددة بخطأ واحد، يتم ربط مراجع AOSP الإضافية بالأرقام التي تتبع معرف الخطأ.

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بعد في برنامج تشغيل Broadcom Wi-Fi

يمكن أن تسمح الثغرات الأمنية المتعددة للتنفيذ عن بعد في برنامج تشغيل Broadcom Wi-Fi للمهاجم عن بعد باستخدام حزم رسائل التحكم اللاسلكية المصممة خصيصًا لإتلاف ذاكرة kernel بطريقة تؤدي إلى تنفيذ التعليمات البرمجية عن بعد في سياق kernel. يمكن أن تنشأ هذه الثغرات الأمنية عندما يكون المهاجم والضحية مرتبطين بنفس الشبكة. تم تصنيف هذه المشكلة على أنها خطيرة نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بعد في سياق kernel دون الحاجة إلى تدخل المستخدم.

مكافحة التطرف العنيف	البق	خطورة	الإصدارات المحدثة	تاريخ الإبلاغ
CVE-2016-0801	الروبوت-25662029 أندرويد-25662233	شديد الأهمية	4.4.4، 5.0، 5.1.1، 6.0، 6.0.1	25 أكتوبر 2015
CVE-2016-0802	أندرويد-25306181	شديد الأهمية	4.4.4، 5.0، 5.1.1، 6.0، 6.0.1	26 أكتوبر 2015

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بعد في Mediaserver

أثناء معالجة ملفات الوسائط والبيانات لملف تم إعداده خصيصًا، قد تسمح الثغرات الأمنية في خادم الوسائط للمهاجم بالتسبب في تلف الذاكرة وتنفيذ التعليمات البرمجية عن بُعد أثناء عملية خادم الوسائط.

يتم توفير الوظيفة المتأثرة كجزء أساسي من نظام التشغيل، وهناك العديد من التطبيقات التي تسمح بالوصول إليها من خلال المحتوى البعيد، وأبرزها رسائل الوسائط المتعددة (MMS) وتشغيل الوسائط عبر المتصفح.

تم تصنيف هذه المشكلة على أنها خطيرة نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في سياق خدمة خادم الوسائط. تتمتع خدمة خادم الوسائط بإمكانية الوصول إلى تدفقات الصوت والفيديو بالإضافة إلى الوصول إلى الامتيازات التي لا يمكن لتطبيقات الطرف الثالث الوصول إليها عادةً.

مكافحة التطرف العنيف	الأخطاء مع روابط AOSP	خطورة	الإصدارات المحدثة	تاريخ الإبلاغ
CVE-2016-0803	الروبوت-25812794	شديد الأهمية	4.4.4، 5.0، 5.1.1، 6.0، 6.0.1	19 نوفمبر 2015
CVE-2016-0804	الروبوت-25070434	شديد الأهمية	5.0، 5.1.1، 6.0، 6.0.1	12 أكتوبر 2015

رفع ثغرة الامتياز في وحدة أداء Qualcomm

قد تؤدي زيادة ثغرة الامتياز في مكون إدارة أحداث الأداء لمعالجات ARM من Qualcomm إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية داخل kernel. تم تصنيف هذه المشكلة على أنها خطيرة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز وقد يحتاج الجهاز إلى الإصلاح عن طريق إعادة تحديث نظام التشغيل.

مكافحة التطرف العنيف	حشرة	خطورة	الإصدارات المحدثة	تاريخ الإبلاغ
CVE-2016-0805	أندرويد-25773204*	شديد الأهمية	4.4.4، 5.0، 5.1.1، 6.0، 6.0.1	15 نوفمبر 2015

* التصحيح الخاص بهذه المشكلة غير موجود في AOSP. التحديث موجود في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة على موقع Google Developer .

رفع ثغرة الامتياز في برنامج تشغيل Qualcomm Wi-Fi

توجد ثغرة أمنية في برنامج تشغيل Qualcomm Wi-Fi قد تمكن تطبيقًا ضارًا محليًا من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها خطيرة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز وقد يحتاج الجهاز إلى الإصلاح عن طريق إعادة تحديث نظام التشغيل.

مكافحة التطرف العنيف	حشرة	خطورة	الإصدارات المحدثة	تاريخ الإبلاغ
CVE-2016-0806	أندرويد-25344453*	شديد الأهمية	4.4.4، 5.0، 5.1.1، 6.0، 6.0.1	15 نوفمبر 2015

* التصحيح الخاص بهذه المشكلة غير موجود في AOSP. التحديث موجود في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة على موقع Google Developer .

رفع ثغرة الامتياز في Debuggerd

قد تؤدي زيادة ثغرة الامتياز في مكون Debuggerd إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية داخل سياق جذر الجهاز. تم تصنيف هذه المشكلة على أنها خطيرة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز وقد يحتاج الجهاز إلى الإصلاح عن طريق إعادة تحديث نظام التشغيل.

مكافحة التطرف العنيف	خطأ في رابط AOSP	خطورة	الإصدارات المحدثة	تاريخ الإبلاغ
CVE-2016-0807	الروبوت-25187394	شديد الأهمية	6.0 و 6.0.1	جوجل الداخلية

ثغرة أمنية في رفض الخدمة في Minikin

قد تسمح ثغرة رفض الخدمة في مكتبة Minikin للمهاجم المحلي بحظر الوصول مؤقتًا إلى الجهاز المتأثر. قد يتسبب أحد المهاجمين في تحميل خط غير موثوق به ويتسبب في تجاوز سعة مكون Minikin مما يؤدي إلى حدوث عطل. تم تصنيف هذا على أنه شديد الخطورة لأن رفض الخدمة يؤدي إلى حلقة إعادة تشغيل مستمرة.

مكافحة التطرف العنيف	خطأ في رابط AOSP	خطورة	الإصدارات المحدثة	تاريخ الإبلاغ
CVE-2016-0808	الروبوت-25645298	عالي	5.0، 5.1.1، 6.0، 6.0.1	3 نوفمبر 2015

ارتفاع ثغرة الامتياز في شبكة Wi-Fi

قد تؤدي زيادة ثغرة الامتياز في مكون Wi-Fi إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية داخل سياق النظام. يكون الجهاز عرضة لهذه المشكلة فقط عندما يكون على مقربة محلية. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها للحصول على إمكانات " عادية " عن بُعد. بشكل عام، لا يمكن الوصول إلى هذه الأذونات إلا لتطبيقات الطرف الثالث المثبتة محليًا.

مكافحة التطرف العنيف	خطأ في رابط AOSP	خطورة	الإصدارات المحدثة	تاريخ الإبلاغ
CVE-2016-0809	الروبوت-25753768	عالي	6.0، 6.0.1	جوجل الداخلية

رفع ثغرة الامتياز في Mediaserver

قد تؤدي زيادة ثغرة الامتياز في خادم الوسائط إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق تطبيق نظام مرتفع. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها للحصول على إمكانات عالية، مثل امتيازات أذونات التوقيع أو SignatureOrSystem ، والتي لا يمكن لتطبيق جهة خارجية الوصول إليها.

مكافحة التطرف العنيف	خطأ في رابط AOSP	خطورة	الإصدارات المحدثة	تاريخ الإبلاغ
CVE-2016-0810	الروبوت-25781119	عالي	4.4.4، 5.0، 5.1.1، 6.0، 6.0.1	جوجل الداخلية

ثغرة أمنية في الكشف عن المعلومات في خدمة libmediaplayerservice

يمكن أن تسمح ثغرة الكشف عن المعلومات في libmediaplayerservice بتجاوز الإجراءات الأمنية المعمول بها لزيادة صعوبة استغلال المهاجمين للمنصة. تم تصنيف هذه المشكلات على أنها عالية الخطورة لأنه يمكن استخدامها أيضًا للحصول على إمكانات عالية، مثل امتيازات أذونات التوقيع أو SignatureOrSystem ، والتي لا يمكن لتطبيقات الجهات الخارجية الوصول إليها.

مكافحة التطرف العنيف	خطأ في رابط AOSP	خطورة	الإصدارات المحدثة	تاريخ الإبلاغ
CVE-2016-0811	الروبوت-25800375	عالي	6.0، 6.0.1	16 نوفمبر 2015

رفع ثغرة الامتياز في معالج الإعداد

قد تسمح ثغرة أمنية في معالج الإعداد للمهاجم الخبيث بتجاوز حماية إعادة ضبط المصنع والوصول إلى الجهاز. تم تصنيف هذا على أنه متوسط ​​الخطورة لأنه من المحتمل أن يسمح لشخص لديه وصول فعلي إلى الجهاز بتجاوز حماية إعادة ضبط المصنع، والتي تمكن المهاجم من إعادة ضبط الجهاز بنجاح، ومسح جميع البيانات.

مكافحة التطرف العنيف	الأخطاء مع روابط AOSP	خطورة	الإصدارات المحدثة	تاريخ الإبلاغ
CVE-2016-0812	الروبوت-25229538	معتدل	5.1.1، 6.0	جوجل الداخلية
CVE-2016-0813	الروبوت-25476219	معتدل	5.1.1، 6.0، 6.0.1	جوجل الداخلية

الأسئلة والأجوبة الشائعة

يستعرض هذا القسم إجابات الأسئلة الشائعة التي قد تطرأ بعد قراءة هذه النشرة.

1. كيف يمكنني تحديد ما إذا كان جهازي قد تم تحديثه لمعالجة هذه المشكلات؟

يعمل إصدار LMY49G أو إصدار أحدث ونظام Android 6.0 بمستوى تصحيح الأمان بتاريخ 1 فبراير 2016 أو إصدار أحدث على معالجة هذه المشكلات. راجع وثائق Nexus للحصول على إرشادات حول كيفية التحقق من مستوى تصحيح الأمان. يجب على الشركات المصنعة للأجهزة التي تتضمن هذه التحديثات تعيين مستوى سلسلة التصحيح على: [ro.build.version.security_patch]:[2016-02-01]

التنقيحات

• 01 فبراير 2016: نشر النشرة.
• 02 فبراير 2016: تمت مراجعة النشرة لتشمل روابط AOSP.
• 07 مارس 2016: تمت مراجعة النشرة لتشمل روابط AOSP إضافية.