Publicado em 7 de março de 2016 | Atualizado em 8 de março de 2016
Lançamos uma atualização de segurança para dispositivos Nexus por uma atualização OTA como parte do nosso processo de lançamento mensal do Boletim de segurança do Android. As imagens de firmware do Nexus também foram lançadas no site para desenvolvedores do Google. As versões LMY49H ou mais recentes e o Android M com o nível de patch de segurança de 1º de março de 2016 ou mais recente resolvem esses problemas. Consulte a documentação do Nexus para instruções sobre como verificar o nível do patch de segurança.
Os parceiros foram notificados sobre os problemas descritos no boletim em 1º de fevereiro de 2016 ou antes. Quando aplicável, os patches de código-fonte para esses problemas foram lançados no repositório do Android Open Source Project (AOSP).
O problema mais grave é uma vulnerabilidade de segurança crítica que pode permitir a execução remota de código em um dispositivo afetado por vários métodos, como e-mail, navegação na Web e MMS ao processar arquivos de mídia. A avaliação de gravidade é baseada no efeito que a exploração da vulnerabilidade teria em um dispositivo afetado, supondo que as mitigações de plataforma e serviço estejam desativadas para fins de desenvolvimento ou se forem contornadas.
Não recebemos relatos de clientes que estão usando ativamente esses problemas recém relatados. Consulte a seção Mitigações para saber mais sobre as proteções da plataforma de segurança do Android e as proteções de serviço, como a SafetyNet, que melhoram a segurança da plataforma Android. Recomendamos que todos os clientes aceitem essas atualizações nos dispositivos.
Mitigações
Este é um resumo das mitigações fornecidas pela plataforma de segurança do Android e proteções de serviço, como a SafetyNet. Esses recursos reduzem a probabilidade de que vulnerabilidades de segurança sejam exploradas no Android.
- A exploração de muitos problemas no Android fica mais difícil devido a melhorias nas versões mais recentes da plataforma Android. Recomendamos que todos os usuários atualizem para a versão mais recente do Android, sempre que possível.
- A equipe de segurança do Android monitora ativamente o abuso com o Verify Apps e a SafetyNet, que alertam sobre aplicativos potencialmente nocivos que estão prestes a ser instalados. Ferramentas de acesso root a dispositivos são proibidas no Google Play. Para proteger os usuários que instalam apps de fora do Google Play, a verificação de apps está ativada por padrão e alerta os usuários sobre apps de acesso root conhecidos. O Verify Apps tenta identificar e bloquear a instalação de aplicativos maliciosos conhecidos que exploram uma vulnerabilidade de elevação de privilégios. Se esse app já tiver sido instalado, o recurso "Verificar apps" vai notificar o usuário e tentar remover esses apps.
- Conforme apropriado, os aplicativos do Google Hangouts e do Messenger não transmitem mídia automaticamente para processos, como o mediaserver.
Agradecimentos
Agradecemos as contribuições dos seguintes pesquisadores:
- Abhishek Arya, Oliver Chang e Martin Barbella, da equipe de segurança do Google Chrome: CVE-2016-0815
- Anestis Bechtsoudis (@anestisb) da CENSUS S.A.: CVE-2016-0816, CVE-2016-0824
- Chad Brubaker, da equipe de segurança do Android: CVE-2016-0818
- Marca Mark do Google Project Zero: CVE-2016-0820
- Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) e Xuxian Jiang da Equipe C0RE do Qihoo 360: CVE-2016-0826
- Peter Pi (@heisecode) da Trend Micro: CVE-2016-0827, CVE-2016-0828, CVE-2016-0829
- Scott Bauer (sbauer@eng.utah.edu, sbauer@plzdonthack.me): CVE-2016-0822
- Wish Wu (@wish_wu) da Trend Micro Inc.: CVE-2016-0819
- Yongzheng Wu e Tieyan Li da Huawei: CVE-2016-0831
- Su Mon Kywe e Yingjiu Li, da Singapore Management University: CVE-2016-0831
- Zach Riggle (@ebeip90) da equipe de segurança do Android: CVE-2016-0821
Detalhes da vulnerabilidade de segurança
Nas seções abaixo, fornecemos detalhes sobre cada uma das vulnerabilidades de segurança que se aplicam ao nível do patch 2016-03-01. Há uma descrição do problema, um raciocínio sobre a gravidade e uma tabela com a CVE, o bug associado, a gravidade, as versões afetadas e a data de notificação. Quando disponível, vamos vincular a mudança do AOSP que resolveu o problema ao ID do bug. Quando várias mudanças se relacionam a um único bug, outras referências do AOSP são vinculadas a números após o ID do bug.
Vulnerabilidade de execução remota de código no Mediaserver
Durante o processamento de arquivos de mídia e dados de um arquivo criado especialmente, as vulnerabilidades no mediaserver podem permitir que um invasor cause corrupção de memória e execução remota de código como o processo do mediaserver.
A funcionalidade afetada é fornecida como parte principal do sistema operacional, e há vários aplicativos que permitem o acesso a ela com conteúdo remoto, principalmente MMS e reprodução de mídia no navegador.
Esse problema tem gravidade crítica devido à possibilidade de execução remota de código no contexto do serviço do mediaserver. O serviço de mediaserver tem acesso a streams de áudio e vídeo, além de privilégios que apps de terceiros normalmente não podem acessar.
| CVE | Bugs com links do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0815 | ANDROID-26365349 | Crítico | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | Interno do Google |
| CVE-2016-0816 | ANDROID-25928803 | Crítico | 6.0, 6.0.1 | Interno do Google |
Vulnerabilidades de execução remota de código no libvpx
Durante o processamento de arquivos de mídia e dados de um arquivo criado especialmente, as vulnerabilidades no mediaserver podem permitir que um invasor cause corrupção de memória e execução remota de código como o processo do mediaserver.
A funcionalidade afetada é fornecida como parte principal do sistema operacional e há vários aplicativos que permitem o acesso a ela com conteúdo remoto, principalmente MMS e reprodução de mídia no navegador.
Os problemas são classificados como de gravidade crítica porque podem ser usados para execução remota de código no contexto do serviço do mediaserver. O serviço de mediaserver tem acesso a streams de áudio e vídeo, além de privilégios que apps de terceiros normalmente não podem acessar.
| CVE | Bug com links do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-1621 | ANDROID-23452792 [2] [3] | Crítico | 4.4.4, 5.0.2, 5.1.1, 6.0 | Interno do Google |
Elevação de privilégio no Conscrypt
Uma vulnerabilidade no Conscrypt pode permitir que um tipo específico de certificado inválido, emitido por uma autoridade de certificação (AC) intermediária, seja confiável de forma incorreta. Isso pode permitir um ataque "man-in-the-middle". Esse problema tem gravidade crítica devido à possibilidade de elevação de privilégio e execução remota de código arbitrário.
| CVE | Bug com links do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0818 | ANDROID-26232830 [2] | Crítico | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | Interno do Google |
Vulnerabilidade de elevação de privilégio no componente de desempenho da Qualcomm
Uma elevação de vulnerabilidade de privilégio no componente de desempenho da Qualcomm poderia permitir que um aplicativo malicioso local executasse um código arbitrário no kernel. Esse problema tem uma gravidade crítica devido à possibilidade de comprometimento permanente do dispositivo local, e o dispositivo só pode ser reparado com uma nova instalação do sistema operacional.
| CVE | Bug | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0819 | ANDROID-25364034* | Crítico | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 29 de outubro de 2015 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no driver do kernel do MediaTek Wi-Fi
Há uma vulnerabilidade no driver do kernel do Wi-Fi da MediaTek que pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como de gravidade crítica devido à possibilidade de elevação de privilégio e execução arbitrária de código no contexto do kernel.
| CVE | Bug | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0820 | ANDROID-26267358* | Crítico | 6.0.1 | 18 de dezembro de 2015 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Elevação de privilégio no componente de chaveiro do kernel
Uma elevação de vulnerabilidade de privilégio no componente de chaveiro do kernel pode permitir que um aplicativo malicioso local execute códigos arbitrários no kernel. Esse problema tem uma gravidade crítica devido à possibilidade de comprometimento permanente local do dispositivo, e o dispositivo só pode ser reparado com uma nova instalação do sistema operacional. No entanto, nas versões 5.0 e mais recentes do Android, as regras do SELinux impedem que aplicativos de terceiros acessem o código afetado.
Observação:para referência, o patch no AOSP está disponível para versões específicas do kernel: 4.1, 3.18, 3.14 e 3.10.
| CVE | Bug | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0728 | ANDROID-26636379 | Crítico | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 11 de janeiro de 2016 |
Mitigação de vulnerabilidade de bypass no kernel
Uma vulnerabilidade de mitigação de bypass no kernel pode permitir a ignorância das medidas de segurança em vigor para aumentar a dificuldade dos invasores que exploram a plataforma. Esse problema tem uma gravidade alta porque pode permitir a ignorância das medidas de segurança em vigor para aumentar a dificuldade dos invasores de explorar a plataforma.
Observação:a atualização para esse problema está localizada no upstream do Linux.
| CVE | Bug | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0821 | ANDROID-26186802 | Alta | 6.0.1 | Interno do Google |
Elevação de privilégio no driver do kernel de conectividade da MediaTek
Há uma elevação de vulnerabilidade de privilégio em um driver do kernel de conectividade da MediaTek que pode permitir que um aplicativo malicioso local execute código arbitrário no contexto do kernel. Normalmente, um bug de execução de código do kernel como esse seria classificado como crítico, mas, como ele exige a primeira comprometimento do serviço conn_launcher, justifica um downgrade para a classificação de alta gravidade.
| CVE | Bug | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0822 | ANDROID-25873324* | Alta | 6.0.1 | 24 de novembro de 2015 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de divulgação de informações no kernel
Uma vulnerabilidade de divulgação de informações no kernel pode permitir a ignorância das medidas de segurança em vigor para aumentar a dificuldade dos invasores de explorar a plataforma. Esses problemas são classificados como de alta gravidade porque podem permitir um bypass local de tecnologias de mitigação de exploits, como ASLR, em um processo privilegiado.
Observação:a correção para esse problema está localizada no Linux upstream.
| CVE | Bug | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0823 | ANDROID-25739721* | Alta | 6.0.1 | Interno do Google |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de divulgação de informações no libstagefright
Uma vulnerabilidade de divulgação de informações no libstagefright poderia permitir a ignorância das medidas de segurança em vigor para aumentar a dificuldade de ataques à plataforma. Esses problemas são classificados como de alta gravidade porque também podem ser usados para acessar recursos elevados, como os privilégios de permissões Signature ou SignatureOrSystem, que não são acessíveis para aplicativos de terceiros.
| CVE | Bug com link do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0824 | ANDROID-25765591 | Alta | 6.0, 6.0.1 | 18 de novembro de 2015 |
Vulnerabilidade de divulgação de informações no Widevine
Uma vulnerabilidade de divulgação de informações no aplicativo confiável Widevine pode permitir que o código em execução no contexto do kernel acesse informações no armazenamento seguro da TrustZone. Esse problema tem uma gravidade alta porque pode ser usado para acessar recursos elevados, como permissões Signature ou SignatureOrSystem.
| CVE | Bugs | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0825 | ANDROID-20860039* | Alta | 6.0.1 | Interno do Google |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no Mediaserver
Uma vulnerabilidade de elevação de privilégio no mediaserver pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto de um aplicativo de sistema elevado. Esse problema tem uma gravidade alta porque pode ser usado para acessar recursos elevados, como os privilégios de permissões Signature ou SignatureOrSystem, que não são acessíveis para um aplicativo de terceiros.
| CVE | Bugs com links do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0826 | ANDROID-26265403 [2] | Alta | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 17 de dezembro de 2015 |
| CVE-2016-0827 | ANDROID-26347509 | Alta | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 28 de dezembro de 2015 |
Vulnerabilidade de divulgação de informações no Mediaserver
Uma vulnerabilidade de divulgação de informações no mediaserver pode permitir a ignorância das medidas de segurança em vigor para aumentar a dificuldade de exploração da plataforma por invasores. Esses problemas são classificados como de alta gravidade porque também podem ser usados para acessar recursos elevados, como os privilégios de permissões Signature ou SignatureOrSystem, que não são acessíveis para aplicativos de terceiros.
| CVE | Bugs com links do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0828 | ANDROID-26338113 | Alta | 5.0.2, 5.1.1, 6.0, 6.0.1 | 27 de dezembro de 2015 |
| CVE-2016-0829 | ANDROID-26338109 | Alta | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 27 de dezembro de 2015 |
Vulnerabilidade de negação de serviço remota no Bluetooth
Uma vulnerabilidade de negação de serviço remota no componente Bluetooth pode permitir que um invasor próximo bloqueie o acesso a um dispositivo afetado. Um invasor pode causar um overflow de dispositivos Bluetooth identificados no componente Bluetooth, o que leva à corrupção da memória e à interrupção do serviço. Isso é classificado como de alta gravidade porque leva a uma negação de serviço do serviço Bluetooth, que pode ser corrigida apenas com uma atualização do dispositivo.
| CVE | Bug com link do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0830 | ANDROID-26071376 | Alta | 6.0, 6.0.1 | Interno do Google |
Vulnerabilidade de divulgação de informações em telefonia
Uma vulnerabilidade de divulgação de informações no componente de telefonia pode permitir que um aplicativo acesse informações sensíveis. Esse problema tem uma gravidade moderada porque pode ser usado para acessar dados indevidamente sem permissão.
| CVE | Bug com link do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0831 | ANDROID-25778215 | Moderada | 5.0.2, 5.1.1, 6.0, 6.0.1 | 16 de novembro de 2015 |
Vulnerabilidade de elevação de privilégio no assistente de configuração
Uma vulnerabilidade no assistente de configuração poderia permitir que um invasor com acesso físico ao dispositivo tivesse acesso às configurações do dispositivo e realizasse uma redefinição manual. Esse problema tem gravidade moderada porque pode ser usado para contornar incorretamente a proteção contra redefinição de fábrica.
| CVE | Bugs | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0832 | ANDROID-25955042* | Moderada | 5.1.1, 6.0, 6.0.1 | Interno do Google |
* Não há patch de código-fonte fornecido para esta atualização.
Perguntas e respostas comuns
Esta seção responde a perguntas comuns que podem surgir após a leitura deste boletim.
1. Como determino se meu dispositivo está atualizado para resolver esses problemas?
As versões LMY49H ou mais recentes e o Android 6.0 com o nível de patch de segurança de 1º de março de 2016 ou mais recente resolvem esses problemas. Consulte a documentação do Nexus para instruções sobre como verificar o nível do patch de segurança. Os fabricantes de dispositivos que incluem essas atualizações precisam definir o nível da string de patch como: [ro.build.version.security_patch]:[2016-03-01]
Revisões
- 7 de março de 2016: publicação do boletim.
- 8 de março de 2016: o boletim foi revisado para incluir links do AOSP.