Bollettino sulla sicurezza Nexus - Febbraio 2016

Pubblicato il 1° febbraio 2016 | Aggiornato il 7 marzo 2016

Abbiamo rilasciato un aggiornamento della sicurezza per i dispositivi Nexus tramite un aggiornamento over-the-air (OTA) nell'ambito della nostra procedura di rilascio mensile del Bollettino sulla sicurezza di Android. Le immagini del firmware di Nexus sono state rilasciate anche sul sito per sviluppatori Google. Le build LMY49G o successive e Android M con livello patch di sicurezza dal 1° febbraio 2016 o successivo risolvono questi problemi. Consulta la documentazione di Nexus per istruzioni su come controllare il livello della patch di sicurezza.

I partner sono stati informati dei problemi descritti nel bollettino il 4 gennaio 2016 o prima. Ove applicabile, le patch del codice sorgente per questi problemi sono state rilasciate nel repository Android Open Source Project (AOSP).

Il più grave di questi problemi è una vulnerabilità di sicurezza critica che potrebbe consentire l'esecuzione di codice remoto su un dispositivo interessato tramite diversi metodi, come email, navigazione web e MMS durante l'elaborazione di file multimediali. La vulnerabilità di esecuzione di codice da remoto nel driver Wi-Fi di Broadcom è anche di gravità critica, in quanto potrebbe consentire l'esecuzione di codice remoto su un dispositivo interessato mentre è connesso alla stessa rete dell'aggressore. La valutazione della gravità si basa sull'effetto che lo sfruttamento della vulnerabilità potrebbe avere su un dispositivo interessato, supponendo che le mitigazioni della piattaforma e del servizio siano disattivate a scopo di sviluppo o se sono state aggirate.

Non abbiamo ricevuto segnalazioni di sfruttamento attivo da parte dei clienti di questi problemi appena segnalati. Consulta la sezione Mitigazioni per informazioni dettagliate sulle protezioni della piattaforma di sicurezza Android e sulle protezioni dei servizi come SafetyNet, che migliorano la sicurezza della piattaforma Android. Invitiamo tutti i clienti ad accettare questi aggiornamenti sui propri dispositivi.

Mitigazioni

Questo è un riepilogo delle mitigazioni fornite dalla piattaforma di sicurezza Android e dalle protezioni dei servizi come SafetyNet. Queste funzionalità riducono la probabilità che le vulnerabilità di sicurezza possano essere sfruttate con successo su Android.

  • Lo sfruttamento di molti problemi su Android è reso più difficile dai miglioramenti nelle versioni più recenti della piattaforma Android. Invitiamo tutti gli utenti a eseguire l'aggiornamento all'ultima versione di Android, se possibile.
  • Il team di Android Security monitora attivamente gli abusi con Verifica app e SafetyNet, che avvisano dell'imminente installazione di applicazioni potenzialmente dannose. Gli strumenti per il rooting dei dispositivi sono vietati su Google Play. Per proteggere gli utenti che installano applicazioni da origini diverse da Google Play, Verifica app è attivata per impostazione predefinita e avvisa gli utenti delle applicazioni di rooting note. Verifica App tenta di identificare e bloccare l'installazione di applicazioni dannose note che sfruttano una vulnerabilità di elevazione dei privilegi. Se un'app di questo tipo è già stata installata, Verifica app invierà una notifica all'utente e tenterà di rimuoverla.
  • A seconda dei casi, le applicazioni Google Hangouts e Messenger non trasmettono automaticamente i contenuti multimediali a processi come mediaserver.

Ringraziamenti

Vogliamo ringraziare per il loro contributo i seguenti ricercatori:

  • Team di sicurezza di Android e Chrome: CVE-2016-0809, CVE-2016-0810
  • Team Broadgate: CVE-2016-0801, CVE-2015-0802
  • Chiachih Wu (@chiachih_wu), Mingjian Zhou (@Mingjian_Zhou) e Xuxian Jiang del team C0RE di Qihoo 360: CVE-2016-0804
  • David Riley del team di Google Pixel C: CVE-2016-0812
  • Gengjia Chen (@chengjia4574) del Lab IceSword, Qihoo 360: CVE-2016-0805
  • Qidan He (@Flanker_hqd) di KeenLab (@keen_lab), Tencent: CVE-2016-0811
  • Seven Shen (@lingtongshen) di Trend Micro (www.trendmicro.com): CVE-2016-0803
  • Weichao Sun (@sunblate) di Alibaba Inc.: CVE-2016-0808
  • Zach Riggle (@ebeip90) del team di sicurezza di Android: CVE-2016-0807

Dettagli sulla vulnerabilità di sicurezza

Nelle sezioni seguenti sono riportati i dettagli di ciascuna delle vulnerabilità di sicurezza che si applicano al livello del patch del 1° febbraio 2016. Sono presenti una descrizione del problema, una motivazione della gravità e una tabella con il CVE, il bug associato, la gravità, le versioni interessate e la data di segnalazione. Se disponibile, collegheremo il commit AOSP che ha risolto il problema all'ID bug. Quando più modifiche si riferiscono a un singolo bug, i riferimenti AOSP aggiuntivi sono collegati ai numeri che seguono l'ID bug.

Vulnerabilità di esecuzione di codice remoto nel driver Wi-Fi Broadcom

Più vulnerabilità di esecuzione remota nel driver Wi-Fi Broadcom potrebbero consentire a un malintenzionato remoto di utilizzare pacchetti di messaggi di controllo wireless appositamente progettati per danneggiare la memoria del kernel in modo da eseguire codice da remoto nel contesto del kernel. Queste vulnerabilità possono essere attivate quando l'aggressore e la vittima sono associati alla stessa rete. Questo problema è stato classificato come di gravità critica a causa della possibilità di esecuzione di codice remoto nel contesto del kernel senza richiedere l'interazione dell'utente.

CVE Bug Gravità Versioni aggiornate Data segnalazione
CVE-2016-0801 ANDROID-25662029
ANDROID-25662233		 Critico 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 25 ott 2015
CVE-2016-0802 ANDROID-25306181 Critico 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 26 ottobre 2015

Vulnerabilità di esecuzione di codice remoto in Mediaserver

Durante l'elaborazione di file multimediali e dati di un file appositamente creato, le vulnerabilità in mediaserver potrebbero consentire a un utente malintenzionato di causare la corruzione della memoria e l'esecuzione di codice da remoto come processo mediaserver.

La funzionalità interessata è fornita come parte integrante del sistema operativo e sono disponibili più applicazioni che consentono di accedervi con contenuti remote, tra cui MMS e riproduzione di contenuti multimediali nel browser.

Questo problema è classificato come di gravità Critica a causa della possibilità di eseguire codice remoto nel contesto del servizio mediaserver. Il servizio MediaServer ha accesso agli stream audio e video, nonché ai privilegi a cui le app di terze parti non possono accedere normalmente.

CVE Bug relativi ai link AOSP Gravità Versioni aggiornate Data segnalazione
CVE-2016-0803 ANDROID-25812794 Critico 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 19 novembre 2015
CVE-2016-0804 ANDROID-25070434 Critico 5.0, 5.1.1, 6.0, 6.0.1 12 ottobre 2015

Vulnerabilità di elevazione dei privilegi nel modulo di prestazioni Qualcomm

Una vulnerabilità di elevazione dei privilegi nel componente Performance Event Manager per i processori ARM di Qualcomm potrebbe consentire a un'applicazione locale malintenzionata di eseguire codice arbitrario all'interno del kernel. Questo problema è classificato come di gravità critica a causa della possibilità di un compromesso permanente locale del dispositivo e potrebbe essere necessario ripararlo riflashando il sistema operativo.

CVE Bug Gravità Versioni aggiornate Data segnalazione
CVE-2016-0805 ANDROID-25773204* Critico 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 15 novembre 2015

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito per sviluppatori Google.

Vulnerabilità di elevazione dei privilegi nel driver Wi-Fi Qualcomm

Esiste una vulnerabilità nel driver Wi-Fi Qualcomm che potrebbe consentire a un'applicazione locale malintenzionata di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come di gravità Critica a causa della possibilità di un compromesso permanente locale del dispositivo e potrebbe essere necessario ripararlo eseguendo il reflash del sistema operativo.

CVE Bug Gravità Versioni aggiornate Data segnalazione
CVE-2016-0806 ANDROID-25344453* Critico 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 15 novembre 2015

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito per sviluppatori Google.

Vulnerabilità di elevazione dei privilegi nel debugger

Una vulnerabilità di elevazione dei privilegi nel componente Debuggerd potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto di root del dispositivo. Questo problema è classificato come di gravità Critica a causa della possibilità di un compromesso permanente locale del dispositivo e potrebbe essere necessario ripararlo riflashando il sistema operativo.

CVE Bug con il link AOSP Gravità Versioni aggiornate Data segnalazione
CVE-2016-0807 ANDROID-25187394 Critico 6.0 e 6.0.1 Interno Google

Vulnerabilità Denial of Service in Minikin

Una vulnerabilità di denial of service nella libreria Minikin potrebbe consentire a un malintenzionato locale di bloccare temporaneamente l'accesso a un dispositivo interessato. Un malintenzionato potrebbe provocare il caricamento di un carattere non attendibile e causare un overflow nel componente Minikin, che porta a un arresto anomalo. Questa è classificata come di gravità elevata perché il denial of service porta a un ciclo di riavvio continuo.

CVE Bug con il link AOSP Gravità Versioni aggiornate Data segnalazione
CVE-2016-0808 ANDROID-25645298 Alto 5.0, 5.1.1, 6.0, 6.0.1 3 novembre 2015

Vulnerabilità di elevazione dei privilegi nel Wi-Fi

Una vulnerabilità di elevazione dei privilegi nel componente Wi-Fi potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del sistema. Un dispositivo è vulnerabile a questo problema solo quando si trova nelle vicinanze. Questo problema è classificato come di gravità elevata perché potrebbe essere utilizzato per ottenere da remoto funzionalità "normali". In genere, queste autorizzazioni sono accessibili solo alle applicazioni di terze parti installate localmente.

CVE Bug con il link AOSP Gravità Versioni aggiornate Data segnalazione
CVE-2016-0809 ANDROID-25753768 Alto 6.0, 6.0.1 Interno Google

Vulnerabilità di elevazione dei privilegi in Mediaserver

Una vulnerabilità di elevazione dei privilegi in mediaserver potrebbe consentire a un'applicazione local maligna di eseguire codice arbitrario nel contesto di un' applicazione di sistema con privilegi elevati. Questo problema è classificato come di gravità Alta perché potrebbe essere utilizzato per ottenere funzionalità elevate, ad esempio i privilegi delle autorizzazioni Signature o SignatureOrSystem, che non sono accessibili a un'applicazione di terze parti.

CVE Bug con il link AOSP Gravità Versioni aggiornate Data segnalazione
CVE-2016-0810 ANDROID-25781119 Alto 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 Interno Google

Vulnerabilità di divulgazione di informazioni in libmediaplayerservice

Una vulnerabilità di divulgazione di informazioni in libmediaplayerservice potrebbe consentire di aggirare le misure di sicurezza in atto per aumentare la difficoltà degli attaccanti nell'exploitare la piattaforma. Questi problemi sono classificati come di gravità elevata perché potrebbero essere utilizzati anche per ottenere funzionalità elevate, come i privilegi delle autorizzazioni Signature o SignatureOrSystem, che non sono accessibili alle applicazioni di terze parti.

CVE Bug con il link AOSP Gravità Versioni aggiornate Data segnalazione
CVE-2016-0811 ANDROID-25800375 Alto 6.0, 6.0.1 16 novembre 2015

Vulnerabilità di elevazione dei privilegi nella configurazione guidata

Una vulnerabilità nella configurazione guidata potrebbe consentire a un malintenzionato di aggirare la protezione del ripristino dei dati di fabbrica e ottenere l'accesso al dispositivo. Questa vulnerabilità è classificata come di gravità moderata perché potenzialmente consente a un utente con accesso fisico a un dispositivo di aggirare la Protezione ripristino dati di fabbrica, consentendo a un malintenzionato di reimpostare un dispositivo e cancellare tutti i dati.

CVE Bug relativi ai link AOSP Gravità Versioni aggiornate Data segnalazione
CVE-2016-0812 ANDROID-25229538 Moderata 5.1.1, 6.0 Interno Google
CVE-2016-0813 ANDROID-25476219 Moderata 5.1.1, 6.0, 6.0.1 Interno Google

Domande frequenti e risposte

Questa sezione esamina le risposte alle domande frequenti che potrebbero sorgere dopo aver letto questo bollettino.

1. Come faccio a stabilire se il mio dispositivo è aggiornato per risolvere questi problemi?

Le build LMY49G o successive e Android 6.0 con il livello della patch di sicurezza del 1° febbraio 2016 o successivo risolvono questi problemi. Per istruzioni su come controllare il livello della patch di sicurezza, consulta la documentazione di Nexus. I produttori di dispositivi che includono questi aggiornamenti devono impostare il livello della stringa della patch su: [ro.build.version.security_patch]:[2016-02-01]

Revisioni

  • 1° febbraio 2016: pubblicazione del bollettino.
  • 2 febbraio 2016: il bollettino è stato rivisto per includere i link ad AOSP.
  • 7 marzo 2016: bollettino rivisto per includere link AOSP aggiuntivi.