עדכון אבטחה דחוף ל-Nexus – מרץ 2016

תאריך פרסום: 7 במרץ 2016 | תאריך עדכון: 8 במרץ 2016

השקנו עדכון אבטחה למכשירי Nexus באמצעות עדכון אוויר (OTA) כחלק מתהליך ההשקה החודשי של עדכוני האבטחה של Android. קובצי האימג' של קושחת Nexus פורסמו גם באתר Google Developers. הגרסאות LMY49H ואילך ו-Android M עם רמת תיקון האבטחה מ-1 במרץ 2016 ואילך מתקנות את הבעיות האלה. הוראות לבדיקה של רמת תיקון האבטחה מפורטות במסמכי העזרה של Nexus.

השותפים עודכנו לגבי הבעיות המתוארות בעדכון ב-1 בפברואר 2016 או לפני כן. במקרים הרלוונטיים, תיקוני קוד המקור לבעיות האלה פורסמו במאגר של פרויקט קוד פתוח של Android‏ (AOSP).

הבעיה החמורה ביותר היא נקודת חולשה קריטית באבטחה שעלולה לאפשר ביצוע קוד מרחוק במכשיר מושפע באמצעות כמה שיטות, כמו אימייל, גלישה באינטרנט והודעות MMS במהלך עיבוד קובצי מדיה. הערכת החומרה מבוססת על ההשפעה שעלולה להיות לניצול נקודת החולשה על מכשיר מושפע, בהנחה שהאמצעי למזעור הפגיעות בפלטפורמה ובשירות מושבתים למטרות פיתוח או אם הם עוקפים בהצלחה.

לא קיבלנו דיווחים על ניצול פעיל של הבעיות החדשות האלה על ידי לקוחות. בקטע הקלות מפורטים אמצעי ההגנה של פלטפורמת האבטחה של Android ואמצעי ההגנה של השירותים, כמו SafetyNet, שמשפרים את האבטחה של פלטפורמת Android. אנחנו ממליצים לכל הלקוחות לאשר את העדכונים האלה במכשירים שלהם.

פעולות מיטיגציה

זהו סיכום של אמצעי המיטיגציה שסופקו על ידי פלטפורמת האבטחה של Android והגנות על שירותים כמו SafetyNet. היכולות האלה מצמצמות את הסבירות לניצול נקודות חולשה באבטחה ב-Android.

  • שיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של בעיות רבות ב-Android. אנחנו ממליצים לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
  • צוות האבטחה של Android עוקב באופן פעיל אחר ניצול לרעה באמצעות Verify Apps ו-SafetyNet, שיזהירו מפני אפליקציות שעלולות להזיק ועומדות להתקנה. אסור לפרסם כלים להסרת האבטחה (rooting) של מכשירים ב-Google Play. כדי להגן על משתמשים שמתקינים אפליקציות ממקורות מחוץ ל-Google Play, התכונה 'אימות אפליקציות' מופעלת כברירת מחדל ומזהירה משתמשים מפני אפליקציות ידועות לצורך קבלת הרשאת root. Verify Apps מנסה לזהות ולחסום התקנה של אפליקציות זדוניות ידועות שמנצלות נקודת חולשה של הסלמת הרשאות. אם אפליקציה כזו כבר הותקנה, התכונה 'אימות אפליקציות' תודיע למשתמש ותנסה להסיר את האפליקציות האלה.
  • בהתאם לצורך, אפליקציות Google Hangouts ו-Messenger לא מעבירות מדיה באופן אוטומטי לתהליכים כמו mediaserver.

תודות

אנחנו רוצים להודות לחוקרים הבאים על התרומות שלהם:

  • Abhishek Arya,‏ Oliver Chang ו-Martin Barbella מצוות האבטחה של Google Chrome: ‏ CVE-2016-0815
  • Anestis Bechtsoudis‏ (@anestisb) מ-CENSUS S.A.: CVE-2016-0816, ‏ CVE-2016-0824
  • Chad Brubaker מצוות האבטחה של Android: ‏ CVE-2016-0818
  • Mark Brand של Google Project Zero: ‏ CVE-2016-0820
  • Mingjian Zhou‏ (‎@Mingjian_Zhou),‏ Chiachih Wu‏ (‎@chiachih_wu) ו-Xuxian Jiang מ-C0RE Team ב-Qihoo 360: ‏ CVE-2016-0826
  • Peter Pi‏ (‎@heisecode) מ-Trend Micro: ‏ CVE-2016-0827, ‏ CVE-2016-0828, ‏ CVE-2016-0829
  • Scott Bauer‏ (sbauer@eng.utah.edu, ‏ sbauer@plzdonthack.me): ‏ CVE-2016-0822
  • Wish Wu‏ (@wish_wu) מ-Trend Micro Inc.‎: CVE-2016-0819
  • Yongzheng Wu ו-Tieyan Li מ-Huawei: ‏ CVE-2016-0831
  • Su Mon Kywe ו-Yingjiu Li מאוניברסיטת סינגפור ללימודי ניהול: CVE-2016-0831
  • Zach Riggle‏ (@ebeip90) מצוות האבטחה של Android: CVE-2016-0821

פרטי נקודת החולשה באבטחה

בקטעים הבאים מפורטים פרטים על כל נקודת החולשה באבטחה שחלה על רמת התיקון 2016-03-01. הדיווח כולל תיאור של הבעיה, הסבר על מידת החומרה וטבלה עם מספר ה-CVE, הבאג המשויך, מידת החומרה, הגרסאות המושפעות והתאריך שבו הבעיה דווחה. כשהשינוי ב-AOSP יטפל בבעיה, נקשר אותו למזהה הבאג. כשיש כמה שינויים שקשורים לבאג אחד, הפניות נוספות ל-AOSP מקושרות למספרים שמופיעים אחרי מזהה הבאג.

נקודת חולשה לביצוע קוד מרחוק ב-Mediaserver

במהלך עיבוד נתונים וקובצי מדיה של קובץ שנוצר במיוחד, נקודות חולשה ב-MediaServer עלולות לאפשר לתוקף לגרום לנזק בזיכרון ולהריץ קוד מרחוק בתהליך של MediaServer.

הפונקציונליות המושפעת היא חלק מרכזי במערכת ההפעלה, ויש כמה אפליקציות שמאפשרות לגשת אליה באמצעות תוכן מרחוק, בעיקר MMS והפעלת מדיה בדפדפן.

רמת החומרה של הבעיה הזו היא קריטית בגלל האפשרות להריץ קוד מרחוק בהקשר של שירות mediaserver. לשירות mediaserver יש גישה להזרמות אודיו ווידאו, וגם גישה להרשאות שאפליקציות צד שלישי לא יכולות לגשת אליהן בדרך כלל.

CVE באגים עם קישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0815 ANDROID-26365349 קריטי 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 Google פנימי
CVE-2016-0816 ANDROID-25928803 קריטי 6.0, ‏ 6.0.1 Google פנימי

נקודות חולשה של ביצוע קוד מרחוק ב-libvpx

במהלך עיבוד נתונים וקובצי מדיה של קובץ שנוצר במיוחד, נקודות חולשה ב-MediaServer עלולות לאפשר לתוקף לגרום לנזק בזיכרון ולהריץ קוד מרחוק בתהליך של MediaServer.

הפונקציונליות המושפעת היא חלק מרכזי במערכת ההפעלה, ויש כמה אפליקציות שמאפשרות לגשת אליה באמצעות תוכן מרחוק, בעיקר MMS והפעלת מדיה בדפדפן.

רמת החומרה של הבעיות היא קריטית כי אפשר להשתמש בהן להרצת קוד מרחוק בהקשר של שירות mediaserver. לשירות mediaserver יש גישה להזרמות אודיו ווידאו, וגם גישה להרשאות שאפליקציות צד שלישי לא יכולות לגשת אליהן בדרך כלל.

CVE באג בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-1621 ANDROID-23452792 [2] [3] קריטי 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0 Google פנימי

הסלמת הרשאות ב-Conscrypt

נקודת חולשה ב-Conscrypt עלולה לאפשר אמון שגוי בסוג ספציפי של אישור לא תקין, שהונפק על ידי רשות אישורים (CA) ביניים. הפעולה הזו עלולה לאפשר התקפת אדם בתווך. רמת החומרה של הבעיה הזו היא קריטית בגלל האפשרות להסלמת הרשאות (privilege escalation) ולהרצה מרחוק של קוד שרירותי.

CVE באג בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0818 ANDROID-26232830 [2] קריטי 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 Google פנימי

נקודת חולשה של הסלמת הרשאות (privilege escalation) ברכיב הביצועים של Qualcomm

נקודת חולשה של העלאת הרשאות ברכיב הביצועים של Qualcomm עשויה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בליבה. הדירוג של הבעיה הזו הוא קריטי בגלל האפשרות של פגיעה קבועה במכשיר ברמה המקומית, והמכשיר ניתן לתיקון רק על ידי מחיקת נתוני הקושחה והפעלה מחדש של מערכת ההפעלה.

CVE חרק מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0819 ANDROID-25364034* קריטי 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 29 באוקטובר 2015

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ה-binary העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה מסוג הסלמת הרשאות (privilege escalation) בנהג הליבה של MediaTek Wi-Fi

נקודת חולשה במנהל הליבה של MediaTek Wi-Fi עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. רמת הסיכון של הבעיה הזו היא קריטית בגלל האפשרות להסלמת הרשאות ולהרצת קוד שרירותי בהקשר הליבה.

CVE חרק מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0820 ANDROID-26267358* קריטי 6.0.1 18 בדצמבר 2015

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה של הסלמת הרשאות (privilege escalation) ברכיב של מפתחות הליבה

נקודת חולשה של הסלמת הרשאות (privilege escalation) ברכיב של מפתחות הליבה עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בליבה. הבעיה הזו מסווגת ברמת סיכון קריטית בגלל האפשרות של פגיעה קבועה במכשיר ברמה המקומית, ויכול להיות שהמכשיר ניתן לתיקון רק על ידי מחיקת נתוני הקושחה והפעלה מחדש של מערכת ההפעלה. עם זאת, בגרסאות Android 5.0 ואילך, כללי SELinux מונעים מאפליקציות צד שלישי להגיע לקוד המושפע.

הערה: לידיעתכם, התיקון ב-AOSP זמין לגרסאות ליבה ספציפיות: 4.1,‏ 3.18,‏ 3.14 ו-3.10.

CVE חרק מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0728 ANDROID-26636379 קריטי 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 11 בינואר 2016

נקודת חולשה של עקיפה למיטיגציה בליבה

נקודת חולשה לעקיפת ההפחתה בליבה עשויה לאפשר עקיפה של אמצעי האבטחה שנועדו להקשות על תוקפים לנצל את הפלטפורמה. הבעיה הזו סווגה ברמת סיכון גבוהה כי היא עלולה לאפשר עקיפה של אמצעי האבטחה שנועדו להקשות על תוקפים לנצל לרעה את הפלטפורמה.

הערה: העדכון לבעיה הזו נמצא ב-Linux upstream.

CVE חרק מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0821 ANDROID-26186802 רחב 6.0.1 Google פנימי

העלאת הרשאות במנהל ההתקן של ליבה של MediaTek Connectivity

יש נקודת חולשה של הסלמת הרשאות במנהל הליבה של קישוריות של MediaTek, שעלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. בדרך כלל, באג בקוד הליבה להרצה כזה יסווג כקריטי, אבל מכיוון שהוא מחייב קודם לפגוע בשירות conn_launcher, הוא מצדיק שדרוג לאחור לרמת חומרה גבוהה.

CVE חרק מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0822 ANDROID-25873324* רחב 6.0.1 24 בנובמבר 2015

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה של חשיפת מידע בליבה

נקודת חולשה של חשיפת מידע בליבה עשויה לאפשר עקיפה של אמצעי האבטחה שנועדו להקשות על תוקפים לנצל לרעה את הפלטפורמה. הבעיות האלה מדורגות ברמת סיכון גבוהה כי הן עלולות לאפשר עקיפה מקומית של טכנולוגיות לצמצום נקודות חולשה, כמו ASLR, בתהליך בעל הרשאות.

הערה: התיקון לבעיה הזו נמצא ב-Linux upstream.

CVE חרק מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0823 ANDROID-25739721* רחב 6.0.1 Google פנימי

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה של חשיפת מידע ב-libstagefright

פגיעה בחשיפת מידע ב-libstagefright עלולה לאפשר עקיפה של אמצעי האבטחה שנועדו להקשות על תוקפים לנצל את הפלטפורמה. הבעיות האלה מדורגות ברמת סיכון גבוהה כי אפשר להשתמש בהן גם כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות צד שלישי לא יכולות לגשת אליהן.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0824 ANDROID-25765591 רחב 6.0, ‏ 6.0.1 18 בנובמבר 2015

נקודת חולשה של חשיפת מידע ב-Widevine

נקודת חולשה של חשיפת מידע באפליקציה המהימנה של Widevine עלולה לאפשר לקוד שפועל בהקשר הליבה לגשת למידע באחסון המאובטח של TrustZone. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem.

CVE באגים מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0825 ANDROID-20860039* רחב 6.0.1 Google פנימי

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

פרצת אבטחה מסוג הסלמת הרשאות ב-Mediaserver

נקודת חולשה של הסלמת הרשאות ב-mediaserver עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של אפליקציית מערכת ברמה גבוהה יותר. רמת החומרה של הבעיה הזו היא גבוהה, כי אפשר להשתמש בה כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציה של צד שלישי לא יכולה לגשת אליהן.

CVE באגים עם קישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0826 ANDROID-26265403 [2] רחב 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 17 בדצמבר 2015
CVE-2016-0827 ANDROID-26347509 רחב 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 28 בדצמבר 2015

נקודת חולשה של חשיפת מידע ב-Mediaserver

נקודת חולשה של חשיפת מידע ב-mediaserver עלולה לאפשר עקיפה של אמצעי האבטחה שנועדו להקשות על תוקפים לנצל לרעה את הפלטפורמה. הבעיות האלה סווגו ברמת חומרה גבוהה כי אפשר להשתמש בהן גם כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות צד שלישי לא יכולות לגשת אליהן.

CVE באגים עם קישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0828 ANDROID-26338113 רחב 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 27 בדצמבר 2015
CVE-2016-0829 ANDROID-26338109 רחב 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 27 בדצמבר 2015

נקודת חולשה של התקפת מניעת שירות מרחוק ב-Bluetooth

נקודת חולשה של התקפת מניעת שירות מרחוק ברכיב ה-Bluetooth עלולה לאפשר לתוקף בקרבת מקום לחסום את הגישה למכשיר המושפע. תוקף יכול לגרום לחריגה ממכסה של מכשירי Bluetooth מזוהים ברכיב ה-Bluetooth, וכתוצאה מכך לזיהום זיכרון ולעצירת השירות. רמת החומרה של הבעיה היא גבוהה כי היא מובילה להתקפת מניעת שירות (DoS) בשירות Bluetooth, שאפשר לתקן רק באמצעות איפוס המכשיר.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0830 ANDROID-26071376 רחב 6.0, ‏ 6.0.1 Google פנימי

נקודת חולשה של חשיפת מידע בטלפוניה

נקודת חולשה בחשיפת מידע ברכיב הטלפון עלולה לאפשר לאפליקציה לגשת למידע רגיש. רמת החומרה של הבעיה הזו היא בינונית, כי אפשר להשתמש בה כדי לגשת לנתונים בצורה לא מורשית בלי הרשאה.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0831 ANDROID-25778215 בינונית 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 16 בנובמבר 2015

נקודת חולשה מסוג הרשאות מורחבות באשף ההגדרה

נקודת חולשה באשף ההגדרה עלולה לאפשר לתוקף עם גישה פיזית למכשיר לקבל גישה להגדרות המכשיר ולבצע איפוס ידני של המכשיר. הדירוג של הבעיה הזו הוא 'חומרה בינונית' כי אפשר להשתמש בה כדי לעקוף באופן לא תקין את ההגנה מפני איפוס להגדרות המקוריות.

CVE באגים מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0832 ANDROID-25955042* בינונית 5.1.1, ‏ 6.0, ‏ 6.0.1 Google פנימי

* לא ניתן לקבל תיקון של קוד המקור לעדכון הזה.

שאלות נפוצות ותשובות

בקטע הזה מפורטות תשובות לשאלות נפוצות שעשויות להתעורר אחרי קריאת העדכון.

1. איך אפשר לדעת אם המכשיר מעודכן כדי לטפל בבעיות האלה?

הגרסאות LMY49H ואילך ו-Android 6.0 עם רמת תיקון האבטחה מ-1 במרץ 2016 ואילך פותרות את הבעיות האלה. הוראות לבדיקה של רמת תיקון האבטחה מפורטות במסמכי העזרה של Nexus. יצרני המכשירים שכוללים את העדכונים האלה צריכים להגדיר את רמת מחרוזת התיקון ל-:‏[ro.build.version.security_patch]:‏[2016-03-01]

גרסאות קודמות

  • 7 במרץ 2016: פורסם עדכון בנושא.
  • 8 במרץ 2016: העדכון עודכן ונוספו אליו קישורים ל-AOSP.