Publié le 07 mars 2016 | Mis à jour le 8 mars 2016
Nous avons publié une mise à jour de sécurité pour les appareils Nexus via une mise à jour en direct (OTA) dans le cadre de notre processus de publication mensuelle du Bulletin de sécurité Android. Les images du micrologiciel Nexus ont également été publiées sur le site des développeurs Google . Les builds LMY49H ou version ultérieure et Android M avec le niveau de correctif de sécurité du 1er mars 2016 ou version ultérieure résolvent ces problèmes. Reportez-vous à la documentation Nexus pour savoir comment vérifier le niveau du correctif de sécurité.
Les partenaires ont été informés des problèmes décrits dans le bulletin le 1er février 2016 ou avant. Le cas échéant, les correctifs de code source pour ces problèmes ont été publiés dans le référentiel Android Open Source Project (AOSP).
Le plus grave de ces problèmes est une vulnérabilité de sécurité critique qui pourrait permettre l'exécution de code à distance sur un appareil concerné via plusieurs méthodes telles que le courrier électronique, la navigation Web et les MMS lors du traitement de fichiers multimédias. L' évaluation de la gravité est basée sur l'effet que l'exploitation de la vulnérabilité pourrait avoir sur un appareil affecté, en supposant que les atténuations de la plate-forme et du service soient désactivées à des fins de développement ou si elles sont contournées avec succès.
Nous n'avons reçu aucun rapport faisant état d'une exploitation active par nos clients de ces problèmes nouvellement signalés. Reportez-vous à la section Atténuations pour plus de détails sur les protections de la plateforme de sécurité Android et les protections de services telles que SafetyNet, qui améliorent la sécurité de la plateforme Android. Nous encourageons tous les clients à accepter ces mises à jour sur leurs appareils.
Atténuations
Ceci est un résumé des atténuations fournies par la plate-forme de sécurité Android et les protections de services telles que SafetyNet. Ces fonctionnalités réduisent la probabilité que les failles de sécurité soient exploitées avec succès sur Android.
- L'exploitation de nombreux problèmes sur Android est rendue plus difficile par les améliorations apportées aux versions les plus récentes de la plate-forme Android. Nous encourageons tous les utilisateurs à mettre à jour vers la dernière version d'Android lorsque cela est possible.
- L'équipe de sécurité Android surveille activement les abus avec Verify Apps et SafetyNet, qui avertiront des applications potentiellement dangereuses sur le point d'être installées. Les outils de rootage d'appareil sont interdits sur Google Play. Pour protéger les utilisateurs qui installent des applications en dehors de Google Play, Verify Apps est activé par défaut et avertira les utilisateurs des applications de root connues. Verify Apps tente d'identifier et de bloquer l'installation d'applications malveillantes connues qui exploitent une vulnérabilité d'élévation de privilèges. Si une telle application a déjà été installée, Verify Apps en informera l'utilisateur et tentera de supprimer ces applications.
- Le cas échéant, les applications Google Hangouts et Messenger ne transmettent pas automatiquement les médias aux processus tels que le serveur multimédia.
Remerciements
Nous tenons à remercier ces chercheurs pour leurs contributions :
- Abhishek Arya, Oliver Chang et Martin Barbella de l'équipe de sécurité de Google Chrome : CVE-2016-0815
- Anestis Bechtsoudis ( @anestisb ) de CENSUS SA : CVE-2016-0816, CVE-2016-0824
- Chad Brubaker de la sécurité Android : CVE-2016-0818
- Marquer la marque de Google Project Zero : CVE-2016-0820
- Mingjian Zhou ( @Mingjian_Zhou ), Chiachih Wu ( @chiachih_wu ) et Xuxian Jiang de l'équipe C0RE de Qihoo 360 : CVE-2016-0826
- Peter Pi ( @heisecode ) de Trend Micro : CVE-2016-0827, CVE-2016-0828, CVE-2016-0829
- Scott Bauer ( sbauer@eng.utah.edu , sbauer@plzdonthack.me ) : CVE-2016-0822
- Wish Wu ( @wish_wu ) de Trend Micro Inc. : CVE-2016-0819
- Yongzheng Wu et Tieyan Li de Huawei : CVE-2016-0831
- Su Mon Kywe et Yingjiu Li de l'Université de gestion de Singapour : CVE-2016-0831
- Zach Riggle ( @ebeip90 ) de l'équipe de sécurité Android : CVE-2016-0821
Détails de la vulnérabilité de sécurité
Dans les sections ci-dessous, nous fournissons des détails sur chacune des vulnérabilités de sécurité qui s'appliquent au niveau de correctif du 01/03/2016. Il existe une description du problème, une justification de la gravité et un tableau avec le CVE, le bogue associé, la gravité, les versions concernées et la date signalée. Lorsqu'elle sera disponible, nous lierons la modification AOSP qui a résolu le problème à l'ID de bogue. Lorsque plusieurs modifications concernent un seul bogue, des références AOSP supplémentaires sont liées aux numéros suivant l'ID du bogue.
Vulnérabilité d'exécution de code à distance dans Mediaserver
Lors du traitement d'un fichier multimédia et des données d'un fichier spécialement conçu, des vulnérabilités dans le serveur multimédia pourraient permettre à un attaquant de provoquer une corruption de la mémoire et l'exécution de code à distance pendant le processus du serveur multimédia.
La fonctionnalité concernée est fournie en tant qu'élément central du système d'exploitation, et il existe plusieurs applications qui permettent d'y accéder avec du contenu à distance, notamment la lecture de médias par MMS et par navigateur.
Ce problème est classé comme étant de gravité critique en raison de la possibilité d'exécution de code à distance dans le contexte du service mediaserver. Le service Mediaserver a accès aux flux audio et vidéo ainsi qu'à des privilèges auxquels les applications tierces ne pourraient normalement pas accéder.
| CVE | Bugs avec les liens AOSP | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0815 | ANDROID-26365349 | Critique | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | Google interne |
| CVE-2016-0816 | ANDROID-25928803 | Critique | 6.0, 6.0.1 | Google interne |
Vulnérabilités d'exécution de code à distance dans libvpx
Lors du traitement d'un fichier multimédia et des données d'un fichier spécialement conçu, des vulnérabilités dans le serveur multimédia pourraient permettre à un attaquant de provoquer une corruption de la mémoire et l'exécution de code à distance pendant le processus du serveur multimédia.
La fonctionnalité concernée est fournie en tant qu'élément central du système d'exploitation et il existe plusieurs applications qui permettent d'y accéder avec du contenu à distance, notamment la lecture de médias par MMS et par navigateur.
Les problèmes sont classés comme étant de gravité critique, car ils pourraient être utilisés pour l'exécution de code à distance dans le contexte du service Mediaserver. Le service Mediaserver a accès aux flux audio et vidéo ainsi qu'à des privilèges auxquels les applications tierces ne peuvent normalement pas accéder.
| CVE | Bug avec les liens AOSP | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-1621 | ANDROID-23452792 [2] [3] | Critique | 4.4.4, 5.0.2, 5.1.1, 6.0 | Google interne |
Élévation de privilège dans Conscrypt
Une vulnérabilité dans Conscrypt pourrait permettre à un type spécifique de certificat invalide, émis par une autorité de certification (CA) intermédiaire, d'être approuvé à tort. Cela peut permettre une attaque de l’homme du milieu. Ce problème est classé comme étant de gravité critique en raison de la possibilité d'une élévation de privilèges et de l'exécution de code arbitraire à distance.
| CVE | Bug avec les liens AOSP | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0818 | ANDROID-26232830 [2] | Critique | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | Google interne |
Vulnérabilité d’élévation de privilèges dans le composant de performance Qualcomm
Une vulnérabilité d'élévation de privilèges dans le composant de performances Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le noyau. Ce problème est classé comme étant de gravité critique en raison de la possibilité d'une compromission locale permanente du périphérique, et le périphérique ne peut être réparé qu'en flashant à nouveau le système d'exploitation.
| CVE | Bogue | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0819 | ANDROID-25364034* | Critique | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 29 octobre 2015 |
* Le correctif pour ce problème n'est pas dans AOSP. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .
Vulnérabilité d’élévation de privilèges dans le pilote du noyau Wi-Fi MediaTek
Il existe une vulnérabilité dans le pilote du noyau MediaTek Wi-Fi qui pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme étant de gravité critique en raison de la possibilité d'élévation de privilèges et d'exécution de code arbitraire dans le contexte du noyau.
| CVE | Bogue | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0820 | ANDROID-26267358* | Critique | 6.0.1 | 18 décembre 2015 |
* Le correctif pour ce problème n'est pas dans AOSP. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .
Vulnérabilité d'élévation de privilèges dans le composant de trousseau de clés du noyau
Une vulnérabilité d'élévation de privilèges dans le composant Kernel Keyring pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le noyau. Ce problème est classé comme étant de gravité critique en raison de la possibilité d'une compromission locale permanente du périphérique et le périphérique ne pourrait potentiellement être réparé qu'en flashant à nouveau le système d'exploitation. Cependant, dans les versions Android 5.0 et supérieures, les règles SELinux empêchent les applications tierces d'atteindre le code concerné.
Remarque : Pour référence, le correctif dans AOSP est disponible pour des versions spécifiques du noyau : 4.1 , 3.18 , 3.14 et 3.10 .
| CVE | Bogue | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0728 | ANDROID-26636379 | Critique | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 11 janvier 2016 |
Vulnérabilité de contournement d’atténuation dans le noyau
Une vulnérabilité de contournement d’atténuation dans le noyau pourrait permettre de contourner les mesures de sécurité en place afin d’augmenter la difficulté pour les attaquants d’exploiter la plateforme. Ce problème est classé comme étant de gravité élevée car il pourrait permettre de contourner les mesures de sécurité en place afin d'augmenter la difficulté pour les attaquants d'exploiter la plateforme.
Remarque : La mise à jour pour ce problème se trouve dans le fichier Linux en amont .
| CVE | Bogue | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0821 | ANDROID-26186802 | Haut | 6.0.1 | Google interne |
Élévation des privilèges dans le pilote du noyau de connectivité MediaTek
Il existe une vulnérabilité d'élévation de privilèges dans un pilote de noyau de connectivité MediaTek qui pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Normalement, un bug d'exécution de code noyau comme celui-ci serait jugé critique, mais comme il nécessite d'abord de compromettre le service conn_launcher, il justifie une rétrogradation vers un niveau de gravité élevé.
| CVE | Bogue | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0822 | ANDROID-25873324* | Haut | 6.0.1 | 24 novembre 2015 |
* Le correctif pour ce problème n'est pas dans AOSP. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .
Vulnérabilité de divulgation d’informations dans le noyau
Une vulnérabilité de divulgation d'informations dans le noyau pourrait permettre de contourner les mesures de sécurité en place pour augmenter la difficulté pour les attaquants d'exploiter la plateforme. Ces problèmes sont classés comme étant de gravité élevée car ils pourraient permettre un contournement local des technologies d'atténuation des exploits telles que ASLR dans un processus privilégié.
Remarque : le correctif de ce problème se trouve dans Linux en amont .
| CVE | Bogue | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0823 | ANDROID-25739721* | Haut | 6.0.1 | Google interne |
* Le correctif pour ce problème n'est pas dans AOSP. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .
Vulnérabilité de divulgation d’informations dans libstagefright
Une vulnérabilité de divulgation d'informations dans libstagefright pourrait permettre de contourner les mesures de sécurité en place pour augmenter la difficulté pour les attaquants d'exploiter la plateforme. Ces problèmes sont classés comme étant de gravité élevée, car ils pourraient également être utilisés pour obtenir des fonctionnalités élevées, telles que les privilèges d'autorisation Signature ou SignatureOrSystem , qui ne sont pas accessibles aux applications tierces.
| CVE | Bug avec le lien AOSP | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0824 | ANDROID-25765591 | Haut | 6.0, 6.0.1 | 18 novembre 2015 |
Vulnérabilité de divulgation d’informations dans Widevine
Une vulnérabilité de divulgation d'informations dans l'application de confiance Widevine pourrait permettre au code exécuté dans le contexte du noyau d'accéder aux informations dans le stockage sécurisé TrustZone. Ce problème est classé comme étant de gravité élevée, car il pourrait être utilisé pour obtenir des fonctionnalités élevées, telles que les privilèges d'autorisation Signature ou SignatureOrSystem .
| CVE | Insectes) | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0825 | ANDROID-20860039* | Haut | 6.0.1 | Google interne |
* Le correctif pour ce problème n'est pas dans AOSP. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .
Vulnérabilité d’élévation de privilèges dans Mediaserver
Une vulnérabilité d'élévation de privilèges dans Mediaserver pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'une application système élevée. Ce problème est classé comme étant de gravité élevée, car il pourrait être utilisé pour obtenir des fonctionnalités élevées, telles que les privilèges d'autorisation Signature ou SignatureOrSystem , qui ne sont pas accessibles à une application tierce.
| CVE | Bugs avec les liens AOSP | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0826 | ANDROID-26265403 [2] | Haut | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 17 décembre 2015 |
| CVE-2016-0827 | ANDROID-26347509 | Haut | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 28 décembre 2015 |
Vulnérabilité de divulgation d'informations dans Mediaserver
Une vulnérabilité de divulgation d'informations dans MediaServer pourrait permettre de contourner les mesures de sécurité en place afin d'augmenter la difficulté pour les attaquants d'exploiter la plateforme. Ces problèmes sont classés comme étant de gravité élevée, car ils pourraient également être utilisés pour obtenir des fonctionnalités élevées, telles que les privilèges d'autorisation Signature ou SignatureOrSystem , qui ne sont pas accessibles aux applications tierces.
| CVE | Bugs avec les liens AOSP | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0828 | ANDROID-26338113 | Haut | 5.0.2, 5.1.1, 6.0, 6.0.1 | 27 décembre 2015 |
| CVE-2016-0829 | ANDROID-26338109 | Haut | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 27 décembre 2015 |
Vulnérabilité de déni de service à distance dans Bluetooth
Une vulnérabilité de déni de service à distance dans le composant Bluetooth pourrait permettre à un attaquant proximal de bloquer l'accès à un appareil affecté. Un attaquant pourrait provoquer un débordement des appareils Bluetooth identifiés dans le composant Bluetooth, ce qui entraînerait une corruption de la mémoire et un arrêt du service. Ce problème est classé comme étant de gravité élevée car il entraîne un déni de service du service Bluetooth, qui ne pourrait potentiellement être corrigé qu'avec un flash de l'appareil.
| CVE | Bug avec le lien AOSP | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0830 | ANDROID-26071376 | Haut | 6.0, 6.0.1 | Google interne |
Vulnérabilité de divulgation d’informations dans la téléphonie
Une vulnérabilité de divulgation d'informations dans le composant Téléphonie pourrait permettre à une application d'accéder à des informations sensibles. Ce problème est classé comme étant de gravité modérée, car il pourrait être utilisé pour accéder de manière inappropriée aux données sans autorisation.
| CVE | Bug avec le lien AOSP | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0831 | ANDROID-25778215 | Modéré | 5.0.2, 5.1.1, 6.0, 6.0.1 | 16 novembre 2015 |
Vulnérabilité d'élévation de privilèges dans l'assistant d'installation
Une vulnérabilité dans l'assistant de configuration pourrait permettre à un attaquant disposant d'un accès physique à l'appareil d'accéder aux paramètres de l'appareil et d'effectuer une réinitialisation manuelle de l'appareil. Ce problème est classé comme étant de gravité modérée, car il pourrait être utilisé pour contourner de manière inappropriée la protection contre la réinitialisation d'usine.
| CVE | Insectes) | Gravité | Versions mises à jour | Date de rapport |
|---|---|---|---|---|
| CVE-2016-0832 | ANDROID-25955042* | Modéré | 5.1.1, 6.0, 6.0.1 | Google interne |
* Aucun correctif de code source n'est fourni pour cette mise à jour.
Questions et réponses courantes
Cette section passe en revue les réponses aux questions courantes qui peuvent survenir après la lecture de ce bulletin.
1. Comment puis-je déterminer si mon appareil est mis à jour pour résoudre ces problèmes ?
Les builds LMY49H ou version ultérieure et Android 6.0 avec le niveau de correctif de sécurité du 1er mars 2016 ou version ultérieure résolvent ces problèmes. Reportez-vous à la documentation Nexus pour savoir comment vérifier le niveau du correctif de sécurité. Les fabricants d'appareils qui incluent ces mises à jour doivent définir le niveau de chaîne de correctif sur : [ro.build.version.security_patch]:[2016-03-01]
Révisions
- 7 mars 2016 : Bulletin publié.
- 8 mars 2016 : Bulletin révisé pour inclure les liens AOSP.