תאריך פרסום: 1 בפברואר 2016 | תאריך עדכון: 7 במרץ 2016
השקנו עדכון אבטחה למכשירי Nexus באמצעות עדכון אוויר (OTA) כחלק מתהליך ההשקה החודשי של עדכוני האבטחה של Android. קובצי האימג' של קושחת Nexus פורסמו גם באתר Google Developers. הגרסאות LMY49G ואילך ו-Android M עם רמת תיקון האבטחה מ-1 בפברואר 2016 ואילך פותרות את הבעיות האלה. הוראות לבדיקה של רמת תיקון האבטחה מפורטות במסמכי העזרה של Nexus.
השותפים עודכנו לגבי הבעיות המתוארות בעדכון ב-4 בינואר 2016 או לפני כן. במקרים הרלוונטיים, תיקוני קוד המקור לבעיות האלה פורסמו במאגר של פרויקט קוד פתוח של Android (AOSP).
הבעיה החמורה ביותר היא נקודת חולשה קריטית באבטחה שעלולה לאפשר ביצוע קוד מרחוק במכשיר מושפע באמצעות כמה שיטות, כמו אימייל, גלישה באינטרנט והודעות MMS במהלך עיבוד קובצי מדיה. גם נקודת החולשה של ביצוע קוד מרחוק במנהל ה-Wi-Fi של Broadcom היא ברמת חומרה קריטית, כי היא עלולה לאפשר ביצוע קוד מרחוק במכשיר שנפגע בזמן שהוא מחובר לאותה רשת שבה נמצא התוקף. הערכת החומרה מבוססת על ההשפעה שעלולה להיות לניצול נקודת החולשה על מכשיר מושפע, בהנחה שהאמצעי למזעור הפגיעות בפלטפורמה ובשירות מושבתים למטרות פיתוח או אם הם עוקפים בהצלחה.
לא קיבלנו דיווחים על ניצול פעיל של הבעיות החדשות האלה על ידי לקוחות. בקטע הקלות מפורטים אמצעי ההגנה של פלטפורמת האבטחה של Android ואמצעי ההגנה של השירותים, כמו SafetyNet, שמשפרים את האבטחה של פלטפורמת Android. אנחנו ממליצים לכל הלקוחות לאשר את העדכונים האלה במכשירים שלהם.
פעולות מיטיגציה
זהו סיכום של אמצעי המיטיגציה שסופקו על ידי פלטפורמת האבטחה של Android והגנות על שירותים כמו SafetyNet. היכולות האלה מצמצמות את הסבירות לניצול נקודות חולשה באבטחה ב-Android.
- שיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של בעיות רבות ב-Android. אנחנו ממליצים לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
- צוות האבטחה של Android עוקב באופן פעיל אחר ניצול לרעה באמצעות Verify Apps ו-SafetyNet, שיזהירו מפני אפליקציות שעלולות להזיק ועומדות להתקנה. אסור לפרסם כלים להסרת האבטחה (rooting) של מכשירים ב-Google Play. כדי להגן על משתמשים שמתקינים אפליקציות ממקורות מחוץ ל-Google Play, התכונה 'אימות אפליקציות' מופעלת כברירת מחדל ומזהירה משתמשים מפני אפליקציות ידועות לצורך קבלת הרשאת root. Verify Apps מנסה לזהות ולחסום התקנה של אפליקציות זדוניות ידועות שמנצלות נקודת חולשה של הסלמת הרשאות. אם אפליקציה כזו כבר הותקנה, התכונה 'אימות אפליקציות' תודיע למשתמש ותנסה להסיר את האפליקציות האלה.
- בהתאם לצורך, אפליקציות Google Hangouts ו-Messenger לא מעבירות מדיה באופן אוטומטי לתהליכים כמו mediaserver.
תודות
אנחנו רוצים להודות לחוקרים הבאים על התרומות שלהם:
- צוות האבטחה של Android ו-Chrome: CVE-2016-0809, CVE-2016-0810
- צוות Broadgate: CVE-2016-0801, CVE-2015-0802
- Chiachih Wu (@chiachih_wu), Mingjian Zhou (@Mingjian_Zhou) ו-Xuxian Jiang מצוות C0RE ב-Qihoo 360: CVE-2016-0804
- David Riley מצוות Google Pixel C: CVE-2016-0812
- Gengjia Chen (@chengjia4574) מ-Lab IceSword, Qihoo 360: CVE-2016-0805
- Qidan He (@Flanker_hqd) מ-KeenLab (@keen_lab), Tencent: CVE-2016-0811
- Seven Shen (@lingtongshen) מ-Trend Micro (www.trendmicro.com): CVE-2016-0803
- Weichao Sun (@sunblate) מ-Alibaba Inc: CVE-2016-0808
- Zach Riggle (@ebeip90) מצוות האבטחה של Android: CVE-2016-0807
פרטי נקודת החולשה באבטחה
בקטעים הבאים מפורטים פרטים על כל נקודת החולשה באבטחה שחלה על רמת התיקון 2016-02-01. הדיווח כולל תיאור של הבעיה, הסבר על מידת החומרה וטבלה עם מספר ה-CVE, הבאג המשויך, מידת החומרה, הגרסאות המושפעות והתאריך שבו הבעיה דווחה. כשהיא תהיה זמינה, נקשר את ההודעה ב-AOSP שדרכה טופלה הבעיה למזהה הבאג. כשיש כמה שינויים שקשורים לבאג אחד, הפניות נוספות ל-AOSP מקושרות למספרים שמופיעים אחרי מזהה הבאג.
נקודת חולשה לביצוע קוד מרחוק ב-Broadcom Wi-Fi Driver
מספר נקודות חולשה של ביצוע קוד מרחוק במנהל ה-Wi-Fi של Broadcom עלולות לאפשר לתוקף מרחוק להשתמש בחבילות של הודעות בקרה אלחוטיות שנוצרו במיוחד כדי לפגוע בזיכרון הליבה, וכך לגרום לביצוע קוד מרחוק בהקשר של הליבה. נקודות החולשה האלה יכולות להיות מופעלות כשהתוקף והקורבן משויכים לאותה רשת. הדירוג של הבעיה הזו הוא קריטי בגלל האפשרות להריץ קוד מרחוק בהקשר של הליבה בלי צורך באינטראקציה של משתמש.
| CVE | באגים | מידת החומרה | גרסאות מעודכנות | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-0801 | ANDROID-25662029 ANDROID-25662233 |
קריטי | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 25 באוקטובר 2015 |
| CVE-2016-0802 | ANDROID-25306181 | קריטי | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 26 באוקטובר 2015 |
נקודת חולשה לביצוע קוד מרחוק ב-Mediaserver
במהלך עיבוד נתונים וקובצי מדיה של קובץ שנוצר במיוחד, נקודות חולשה ב-MediaServer עלולות לאפשר לתוקף לגרום לנזק בזיכרון ולהריץ קוד מרחוק בתהליך של MediaServer.
הפונקציונליות המושפעת היא חלק מרכזי במערכת ההפעלה, ויש כמה אפליקציות שמאפשרות לגשת אליה באמצעות תוכן מרחוק, בעיקר MMS והפעלת מדיה בדפדפן.
רמת החומרה של הבעיה הזו היא קריטית בגלל האפשרות להריץ קוד מרחוק בהקשר של שירות mediaserver. לשירות mediaserver יש גישה להזרמות אודיו ווידאו, וגם גישה להרשאות שאפליקציות צד שלישי לא יכולות לגשת אליהן בדרך כלל.
| CVE | באגים עם קישורים ל-AOSP | מידת החומרה | גרסאות מעודכנות | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-0803 | ANDROID-25812794 | קריטי | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 19 בנובמבר 2015 |
| CVE-2016-0804 | ANDROID-25070434 | קריטי | 5.0, 5.1.1, 6.0, 6.0.1 | 12 באוקטובר 2015 |
נקודת חולשה של הסלמת הרשאות (privilege escalation) במודול הביצועים של Qualcomm
נקודת חולשה של העלאת הרשאות ברכיב של מנהל אירועי הביצועים למעבדי ARM של Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בתוך הליבה. הדירוג של הבעיה הזו הוא קריטי בגלל האפשרות של פגיעה קבועה במכשיר המקומי, ויכול להיות שיהיה צורך לתקן את המכשיר על ידי מחיקת הקושחה והפעלה מחדש של מערכת ההפעלה.
| CVE | חרק | מידת החומרה | גרסאות מעודכנות | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-0805 | ANDROID-25773204* | קריטי | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 15 בנובמבר 2015 |
* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ה-binary העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.
נקודת חולשה של הסלמת הרשאות (privilege escalation) ב-Qualcomm Wi-Fi Driver
נקודת חולשה נמצאת במנהל ה-Wi-Fi של Qualcomm, ועלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. רמת החומרה של הבעיה הזו היא קריטית, כי קיימת אפשרות של פגיעה קבועה במכשיר ברמה המקומית, וייתכן שיהיה צורך לתקן את המכשיר על ידי מחיקת הקושחה והפעלה מחדש של מערכת ההפעלה.
| CVE | חרק | מידת החומרה | גרסאות מעודכנות | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-0806 | ANDROID-25344453* | קריטי | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 15 בנובמבר 2015 |
* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ה-binary העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.
נקודת חולשה מסוג הסלמת הרשאות (privilege escalation) ב-Debuggerd
נקודת חולשה של העלאת הרשאות ברכיב Debuggerd עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של שורש המכשיר. רמת החומרה של הבעיה הזו היא קריטית, כי קיימת אפשרות של פגיעה קבועה במכשיר ברמה המקומית, וייתכן שיהיה צורך לתקן את המכשיר על ידי מחיקת הקושחה והפעלה מחדש של מערכת ההפעלה.
| CVE | באג בקישור ל-AOSP | מידת החומרה | גרסאות מעודכנות | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-0807 | ANDROID-25187394 | קריטי | 6.0 ו-6.0.1 | Google פנימי |
נקודת חולשה של התקפת מניעת שירות (DoS) ב-Minikin
נקודת חולשה של התקפת מניעת שירות בספריית Minikin עלולה לאפשר לתוקף מקומי לחסום באופן זמני את הגישה למכשיר המושפע. תוקף יכול לגרום לטעינה של גופן לא מהימן ולגרום לחריגה ממלאי הזיכרון ברכיב Minikin, מה שמוביל לקריסה. רמת החומרה של הבעיה היא גבוהה כי התקפת מניעת שירות מובילה ללו"ז הפעלה מחדש רציף.
| CVE | באג בקישור ל-AOSP | מידת החומרה | גרסאות מעודכנות | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-0808 | ANDROID-25645298 | רחב | 5.0, 5.1.1, 6.0, 6.0.1 | 3 בנובמבר 2015 |
נקודת חולשה מסוג הסלמת הרשאות (privilege escalation) ב-Wi-Fi
נקודת חולשה של הסלמת הרשאות ברכיב ה-Wi-Fi עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר המערכת. המכשיר חשוף לבעיה הזו רק כשהוא נמצא בקרבת מקום. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות 'רגילות' מרחוק. בדרך כלל, רק לאפליקציות צד שלישי שמותקנות באופן מקומי יש גישה להרשאות האלה.
| CVE | באג בקישור ל-AOSP | מידת החומרה | גרסאות מעודכנות | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-0809 | ANDROID-25753768 | רחב | 6.0, 6.0.1 | Google פנימי |
פרצת אבטחה מסוג הסלמת הרשאות ב-Mediaserver
נקודת חולשה של הסלמת הרשאות ב-mediaserver עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של אפליקציית מערכת ברמה גבוהה יותר. רמת החומרה של הבעיה הזו היא גבוהה, כי אפשר להשתמש בה כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציה של צד שלישי לא יכולה לגשת אליהן.
| CVE | באג בקישור ל-AOSP | מידת החומרה | גרסאות מעודכנות | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-0810 | ANDROID-25781119 | רחב | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | Google פנימי |
נקודת חולשה של חשיפת מידע ב-libmediaplayerservice
נקודת חולשה של חשיפת מידע ב-libmediaplayerservice עלולה לאפשר עקיפה של אמצעי האבטחה הקיימים, כדי להקשות על תוקפים לנצל את הפלטפורמה. הבעיות האלה מדורגות ברמת סיכון גבוהה כי אפשר להשתמש בהן גם כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות צד שלישי לא יכולות לגשת אליהן.
| CVE | באג בקישור ל-AOSP | מידת החומרה | גרסאות מעודכנות | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-0811 | ANDROID-25800375 | רחב | 6.0, 6.0.1 | 16 בנובמבר 2015 |
נקודת חולשה מסוג הרשאות מורחבות באשף ההגדרה
נקודת חולשה באשף ההגדרה עלולה לאפשר לתוקף זדוני לעקוף את ההגנה במקרה של איפוס להגדרות המקוריות ולקבל גישה למכשיר. רמת החומרה של הבעיה היא בינונית כי היא עלולה לאפשר למישהו עם גישה פיזית למכשיר לעקוף את ההגנה מפני איפוס להגדרות המקוריות, וכך לאפשר לתוקף לאפס את המכשיר ולמחוק את כל הנתונים.
| CVE | באגים עם קישורים ל-AOSP | מידת החומרה | גרסאות מעודכנות | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-0812 | ANDROID-25229538 | בינונית | 5.1.1, 6.0 | Google פנימי |
| CVE-2016-0813 | ANDROID-25476219 | בינונית | 5.1.1, 6.0, 6.0.1 | Google פנימי |
שאלות נפוצות ותשובות
בקטע הזה מפורטות תשובות לשאלות נפוצות שעשויות להתעורר אחרי קריאת העדכון.
1. איך אפשר לדעת אם המכשיר מעודכן כדי לטפל בבעיות האלה?
הגרסאות LMY49G ואילך ו-Android 6.0 עם רמת תיקון האבטחה מ-1 בפברואר 2016 ואילך פותרות את הבעיות האלה. הוראות לבדיקה של רמת תיקון האבטחה מפורטות במסמכי העזרה של Nexus. יצרני המכשירים שכוללים את העדכונים האלה צריכים להגדיר את רמת מחרוזת התיקון ל-:[ro.build.version.security_patch]:[2016-02-01]
גרסאות קודמות
- 1 בפברואר 2016: פורסם עדכון בנושא.
- 2 בפברואר 2016: העדכון עודכן ונוספו אליו קישורים ל-AOSP.
- 7 במרץ 2016: העדכון עודכן ונוספו קישורים נוספים ל-AOSP.