עלון אבטחה של Android—מאי 2016

פורסם ב-02 במאי 2016 | עודכן ב-4 במאי 2016

עלון האבטחה של אנדרואיד מכיל פרטים על פרצות אבטחה המשפיעות על מכשירי אנדרואיד. לצד העלון, פרסמנו עדכון אבטחה למכשירי Nexus באמצעות עדכון אוויר (OTA). תמונות הקושחה של Nexus שוחררו גם לאתר Google Developer . רמות תיקון האבטחה מ-01 במאי 2016 ואילך מטפלות בבעיות אלו (עיין בתיעוד של Nexus לקבלת הוראות כיצד לבדוק את רמת תיקון האבטחה).

שותפים קיבלו הודעה על הבעיות המתוארות בעלון ב-4 באפריל 2016 או קודם לכן. במידת האפשר, תיקוני קוד מקור עבור בעיות אלה שוחררו למאגר Android Open Source Project (AOSP).

החמורה ביותר מבין הבעיות הללו היא פגיעות אבטחה קריטית שעלולה לאפשר ביצוע קוד מרחוק במכשיר מושפע באמצעות מספר שיטות כגון דואר אלקטרוני, גלישה באינטרנט ו-MMS בעת עיבוד קובצי מדיה. הערכת החומרה מבוססת על ההשפעה שאולי תהיה לניצול הפגיעות על מכשיר מושפע, בהנחה שהפלטפורמה וההפחתות השירות מושבתות למטרות פיתוח או אם יעקפו בהצלחה.

לא קיבלנו דיווחים על ניצול פעיל של לקוחות או שימוש לרעה בבעיות אלה שדווחו לאחרונה. עיין בסעיף הפחתת השירותים של אנדרואיד וגוגל לפרטים על הגנות פלטפורמת האבטחה של אנדרואיד והגנות שירות כגון SafetyNet, המשפרות את האבטחה של פלטפורמת אנדרואיד.

אנו מעודדים את כל הלקוחות לקבל עדכונים אלה למכשירים שלהם.

הכרזות

  • כדי לשקף מיקוד רחב יותר, שינינו את שם העלון הזה (וכל הבא בסדרה) לעלון האבטחה של אנדרואיד. עלונים אלה מקיפים מגוון רחב יותר של פגיעויות שעשויות להשפיע על מכשירי אנדרואיד, גם אם הם לא משפיעים על מכשירי Nexus.
  • עדכנו את דירוגי החומרה של אבטחת Android. השינויים הללו היו תוצאה של נתונים שנאספו במהלך ששת החודשים האחרונים על פרצות אבטחה שדווחו, ומטרתם להתאים את חומרת החומרים באופן הדוק יותר להשפעה של העולם האמיתי על המשתמשים.

מצמצמות שירותי אנדרואיד וגוגל

זהו סיכום של ההקלות שמספקות פלטפורמת האבטחה אנדרואיד והגנות שירות כגון SafetyNet. יכולות אלו מפחיתות את הסבירות שניתן יהיה לנצל בהצלחה פרצות אבטחה באנדרואיד.

  • ניצול בעיות רבות באנדרואיד מקשה על ידי שיפורים בגרסאות חדשות יותר של פלטפורמת אנדרואיד. אנו ממליצים לכל המשתמשים לעדכן לגרסה העדכנית ביותר של אנדרואיד במידת האפשר.
  • צוות אבטחת אנדרואיד עוקב באופן פעיל אחר שימוש לרעה באמצעות Verify Apps ו- SafetyNet , שנועדו להזהיר משתמשים מפני יישומים שעלולים להזיק . אימות אפליקציות מופעל כברירת מחדל במכשירים עם שירותי Google Mobile , והוא חשוב במיוחד למשתמשים המתקינים אפליקציות מחוץ ל-Google Play. כלי השתרשות מכשירים אסורים ב-Google Play, אך Verify Apps מזהיר משתמשים כאשר הם מנסים להתקין אפליקציית השתרשות שזוהתה - לא משנה מאיפה היא מגיעה. בנוסף, Verify Apps מנסה לזהות ולחסום התקנה של יישומים זדוניים ידועים המנצלים פגיעות של הסלמה של הרשאות. אם יישום כזה כבר הותקן, Verify Apps יודיע למשתמש וינסה להסיר את היישום שזוהה.
  • בהתאם, יישומי Google Hangouts ו-Messenger אינם מעבירים מדיה אוטומטית לתהליכים כגון שרת מדיה.

תודות

ברצוננו להודות לחוקרים אלו על תרומתם:

  • אבישק אריה, אוליבר צ'אנג ומרטין ברבלה מצוות האבטחה של Google Chrome: CVE-2016-2454
  • אנדי טיילר ( @ticarpi ) מ- e2e-assure : CVE-2016-2457
  • Chiachih Wu ( @chiachih_wu ) ו-Xuxian Jiang מצוות C0RE : CVE-2016-2441, CVE-2016-2442
  • Dzmitry Lukyanenka ( www.linkedin.com/in/dzima ): CVE-2016-2458
  • גל בנימיני: CVE-2016-2431
  • Hao Chen מ-Vulpecker Team, Qihoo 360 Technology Co. Ltd: CVE-2016-2456
  • ג'ייק ולטה מחברת Mandiant, חברת FireEye: CVE-2016-2060
  • Jianqiang Zhao ( @jianqiangzhao ) ו-pjf ( weibo.com/jfpan ) ממעבדת IceSword, Qihoo 360 Technology Co. Ltd: CVE-2016-2434, CVE-2016-2435, CVE-2016-2436, CVE-24016, CVE-2016-2442, CVE-2016-2444, CVE-2016-2445, CVE-2016-2446
  • Imre Rad מ- Search-Lab Ltd. : CVE-2016-4477
  • ג'רמי סי ג'וסלין מגוגל: CVE-2016-2461
  • קני שורש של גוגל: CVE-2016-2462
  • מרקו גרסי ( @marcograss ) מ- KeenLab ( @keen_lab ), Tencent: CVE-2016-2443
  • מיכאל בדנרסקי ( https://github.com/michalbednarski ): CVE-2016-2440
  • Mingjian Zhou ( @Mingjian_Zhou ), Chiachih Wu ( @chiachih_wu ), ו-Xuxian Jiang מצוות C0RE : CVE-2016-2450, CVE-2016-2448, CVE-2016-2449, CVE-2016-2452, CVE-2452, CVE-2451
  • Peter Pi ( @heisecode ) מ-Trend Micro: CVE-2016-2459, CVE-2016-2460
  • Weichao Sun ( @sunblate ) מ-Alibaba Inc.: CVE-2016-2428, CVE-2016-2429
  • Yuan-Tsung Lo , Lubo Zhang , Chiachih Wu ( @chiachih_wu ), ו-Xuxian Jiang מצוות C0RE : CVE-2016-2437
  • יולונג ג'אנג וטאו (לנקס) ווי מ-Baidu X-Lab: CVE-2016-2439
  • זאק ריגל ( @ebeip90 ) מצוות האבטחה של אנדרואיד: CVE-2016-2430

פרטי פגיעות אבטחה

בסעיפים שלהלן, אנו מספקים פרטים עבור כל אחת מפגיעות האבטחה החלות על רמת התיקון של 2016-05-01. יש תיאור של הבעיה, רציונל חומרה וטבלה עם ה-CVE, הבאג המשויך, החומרה, מכשירי Nexus מעודכנים, גרסאות AOSP מעודכנות (כאשר רלוונטי) ותאריך הדיווח. כאשר יהיה זמין, נקשר את השינוי ב-AOSP שטיפל בבעיה למזהה הבאג. כאשר שינויים מרובים מתייחסים לבאג בודד, הפניות נוספות של AOSP מקושרות למספרים בעקבות מזהה הבאג.

פגיעות של ביצוע קוד מרחוק ב-Mediaserver

במהלך קובץ מדיה ועיבוד נתונים של קובץ בעל מבנה מיוחד, פגיעות בשרת המדיה עלולה לאפשר לתוקף לגרום לפגיעה בזיכרון ולביצוע קוד מרחוק כתהליך שרת המדיה.

הפונקציונליות המושפעת מסופקת כחלק מרכזי ממערכת ההפעלה וישנן מספר יישומים המאפשרים להגיע אליה עם תוכן מרוחק, בעיקר MMS והשמעת מדיה בדפדפן.

בעיה זו מדורגת כחומרה קריטית בשל האפשרות של ביצוע קוד מרחוק בהקשר של שירות שרת המדיה. לשירות שרת המדיה יש גישה לזרמי אודיו ווידאו, כמו גם גישה להרשאות שאפליקציות צד שלישי לא יכלו לגשת אליהן בדרך כלל.

CVE באגים באנדרואיד חוּמרָה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2428 26751339 קריטי הכל Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 22 בינואר 2016
CVE-2016-2429 27211885 קריטי הכל Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 16 בפברואר 2016

הפגיעות של העלאת הרשאות ב-Debuggerd

הפגיעות של העלאת הרשאות במפרק הבאגים המשולב של אנדרואיד עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של מאתר הבאגים של אנדרואיד. בעיה זו מדורגת כחומרה קריטית בשל האפשרות של פגיעה מקומית קבועה במכשיר, אשר עשויה לדרוש חידוש מערכת ההפעלה כדי לתקן את המכשיר.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2430 27299236 קריטי הכל Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 22 בפברואר 2016

פגיעות העלאת הרשאות ב-Qualcomm TrustZone

הפגיעות של העלאת הרשאות ברכיב Qualcomm TrustZone עלולה לאפשר לאפליקציה זדונית מקומית מאובטחת להפעיל קוד שרירותי בהקשר של ליבת TrustZone. בעיה זו מדורגת כחומרה קריטית בשל האפשרות של פגיעה מקומית קבועה במכשיר, אשר עשויה לדרוש חידוש מערכת ההפעלה כדי לתקן את המכשיר.

CVE באגים באנדרואיד חוּמרָה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2431 24968809* קריטי Nexus 5, Nexus 6, Nexus 7 (2013), Android One 15 באוקטובר 2015
CVE-2016-2432 25913059* קריטי Nexus 6, Android One 28 בנובמבר 2015

* התיקון לבעיה זו אינו ב-AOSP. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .

פגיעות העלאת הרשאות במנהל התקן Wi-Fi של Qualcomm

הפגיעות של העלאת הרשאות במנהל ההתקן של Qualcomm Wi-Fi עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כחומרה קריטית עקב אפשרות של הסלמה מקומית של הרשאות וביצוע קוד שרירותי המובילים לאפשרות של התפשרות מקומית קבועה של מכשיר, מה שעלול לדרוש הפעלה מחדש של מערכת ההפעלה כדי לתקן את המכשיר.

CVE באגים באנדרואיד חוּמרָה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2015-0569 26754117* קריטי Nexus 5X, Nexus 7 (2013) 23 בינואר 2016
CVE-2015-0570 26764809* קריטי Nexus 5X, Nexus 7 (2013) 25 בינואר 2016

* התיקון לבעיה זו אינו ב-AOSP. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .

פגיעות העלאת הרשאות במנהל התקן וידאו של NVIDIA

הפגיעות של העלאת הרשאות במנהל התקן הווידאו של NVIDIA עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כחומרה קריטית בשל האפשרות של פגיעה מקומית קבועה במכשיר, אשר עשויה לדרוש חידוש מערכת ההפעלה כדי לתקן את המכשיר.

CVE באגים באנדרואיד חוּמרָה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2434 27251090* קריטי Nexus 9 17 בפברואר 2016
CVE-2016-2435 27297988* קריטי Nexus 9 20 בפברואר 2016
CVE-2016-2436 27299111* קריטי Nexus 9 22 בפברואר 2016
CVE-2016-2437 27436822* קריטי Nexus 9 1 במרץ 2016

* התיקון לבעיה זו אינו ב-AOSP. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .

פגיעות העלאת הרשאות בליבה

הפגיעות של העלאת הרשאות בקרנל עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כחומרה קריטית עקב האפשרות של הסלמה מקומית של הרשאות וביצוע קוד שרירותי המובילים לאפשרות של התפשרות מקומית קבועה של מכשיר, מה שעלול לדרוש הפעלה מחדש של מערכת ההפעלה כדי לתקן את המכשיר. בעיה זו תוארה ב- Android Security Advisory 2016-03-18 .

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2015-1805 27275324* קריטי Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9 19 בפברואר 2016

* התיקון ב-AOSP זמין עבור גרסאות ליבה ספציפיות: 3.14 , 3.10 ו -3.4 .

פגיעות של ביצוע קוד מרחוק בליבה

פגיעות של ביצוע קוד מרחוק בתת-מערכת האודיו עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של הליבה. בדרך כלל באג של ביצוע קוד ליבה כמו זה יקבל דירוג קריטי, אך מכיוון שהוא מצריך תחילה פגיעה בשירות מיוחס כדי להתקשר לתת-מערכת האודיו, הוא מדורג בדרגת חומרה גבוהה.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2438 26636060* גָבוֹהַ Nexus 9 Google פנימי

* התיקון לבעיה זו זמין ב- Linux במעלה הזרם .

פגיעות של חשיפת מידע בבקר השיתוף של קוואלקום

פגיעות של חשיפת מידע בבקר Qualcomm Tethering עלולה לאפשר לאפליקציה זדונית מקומית לגשת למידע אישי מזהה ללא ההרשאות לעשות זאת. בעיה זו מדורגת כחומרה גבוהה מכיוון שניתן להשתמש בה כדי להשיג יכולות מוגברות, כגון הרשאות הרשאות Signature או SignatureOrSystem , שאינן נגישות ליישום של צד שלישי.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2060 27942588* גָבוֹהַ אף אחד 23 במרץ 2016

* התיקון לבעיה זו אינו ב-AOSP. העדכון צריך להיות כלול במנהלי ההתקן העדכניים ביותר של המכשירים המושפעים.

פגיעות של ביצוע קוד מרחוק ב-Bluetooth

במהלך התאמה של מכשיר Bluetooth, פגיעות ב-Bluetooth עלולה לאפשר לתוקף פרוקסימלי לבצע קוד שרירותי במהלך תהליך ההתאמה. בעיה זו מדורגת כחומרה גבוהה עקב האפשרות של ביצוע קוד מרחוק במהלך האתחול של מכשיר Bluetooth.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2439 27411268 גָבוֹהַ הכל Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 28 בפברואר 2016

פגיעות העלאת הרשאות ב-Binder

הפגיעות של העלאת הרשאות ב-Binder עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של תהליך של אפליקציה אחרת. בזמן שחרור זיכרון, פגיעות ב-Binder עלולה לאפשר לתוקף לגרום לביצוע קוד מקומי. בעיה זו מדורגת כחומרה גבוהה בשל האפשרות של ביצוע קוד מקומי במהלך תהליך זיכרון פנוי ב-Binder.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2440 27252896 גָבוֹהַ הכל Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 18 בפברואר 2016

פגיעות העלאת הרשאות במנהל ההתקן של Qualcomm Buspm

הפגיעות של העלאת הרשאות במנהל ההתקן של Qualcomm buspm עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בדרך כלל באג ביצוע קוד ליבה כמו זה ידורג כקריטי, אך מכיוון שהוא מצריך תחילה פגיעה בשירות שיכול לקרוא למנהל ההתקן, הוא מדורג כחומרה גבוהה.

CVE באגים באנדרואיד חוּמרָה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2441 26354602* גָבוֹהַ Nexus 5X, Nexus 6, Nexus 6P 30 בדצמבר 2015
CVE-2016-2442 26494907* גָבוֹהַ Nexus 5X, Nexus 6, Nexus 6P 30 בדצמבר 2015

* התיקון לבעיה זו אינו ב-AOSP. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .

פגיעות העלאת הרשאות במנהל ההתקן של Qualcomm MDP

הפגיעות של העלאת הרשאות במנהל ההתקן של Qualcomm MDP עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בדרך כלל באג ביצוע קוד ליבה כמו זה ידורג כקריטי, אך מכיוון שהוא מצריך תחילה פגיעה בשירות שיכול לקרוא למנהל ההתקן, הוא מדורג כחומרה גבוהה.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2443 26404525* גָבוֹהַ Nexus 5, Nexus 7 (2013) 5 בינואר 2016

* התיקון לבעיה זו אינו ב-AOSP. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .

פגיעות העלאת הרשאות במנהל התקן Wi-Fi של Qualcomm

העלאת פגיעות הרשאות ברכיב ה-Wi-Fi של Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית להפעיל שיחות מערכת ולשנות את הגדרות והתנהגות המכשיר ללא ההרשאות לעשות זאת. בעיה זו מדורגת כחומרה גבוהה מכיוון שניתן להשתמש בה כדי לקבל גישה מקומית ליכולות מוגברות, כגון הרשאות הרשאות Signature או SignatureOrSystem , שאינן נגישות ליישום של צד שלישי.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2015-0571 26763920* גָבוֹהַ Nexus 5X, Nexus 7 (2013) 25 בינואר 2016

* התיקון לבעיה זו אינו ב-AOSP. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .

פגיעות העלאת הרשאות במנהל התקן וידאו של NVIDIA

הפגיעות של העלאת הרשאות במנהל התקן המדיה של NVIDIA עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בדרך כלל באג ביצוע קוד ליבה כמו זה יקבל דירוג קריטי, אך מכיוון שהוא דורש תחילה פגיעה בשירות הרשאות גבוה כדי להתקשר למנהל ההתקן, הוא מדורג בדרגת חומרה גבוהה.

CVE באגים באנדרואיד חוּמרָה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2444 27208332* גָבוֹהַ Nexus 9 16 בפברואר 2016
CVE-2016-2445 27253079* גָבוֹהַ Nexus 9 17 בפברואר 2016
CVE-2016-2446 27441354* גָבוֹהַ Nexus 9 1 במרץ 2016

* התיקון לבעיה זו אינו ב-AOSP. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .

פגיעות העלאת הרשאות ב-Wi-Fi

פגיעות העלאת הרשאות ב-Wi-Fi עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של יישום מערכת מוגברת. בעיה זו מדורגת כחומרה גבוהה מכיוון שהיא יכולה לשמש גם כדי להשיג יכולות מוגברות, כגון הרשאות הרשאות Signature או SignatureOrSystem , שאינן נגישות ליישומי צד שלישי.

הערה : מספר ה-CVE עודכן, לפי בקשת MITER, מ-CVE-2016-2447 ל-CVE-2016-4477.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-4477 27371366 [ 2 ] גָבוֹהַ הכל Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 24 בפברואר 2016

פגיעות העלאת הרשאות ב-Mediaserver

פגיעות העלאת הרשאות בשרת מדיה עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של יישום מערכת מוגבה. בעיה זו מדורגת כחומרה גבוהה מכיוון שניתן להשתמש בה כדי להשיג יכולות מוגברות, כגון הרשאות הרשאות Signature או SignatureOrSystem , שאינן נגישות ליישום של צד שלישי.

CVE באגים באנדרואיד חוּמרָה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2448 27533704 גָבוֹהַ הכל Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 7 במרץ 2016
CVE-2016-2449 27568958 גָבוֹהַ הכל Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 9 במרץ 2016
CVE-2016-2450 27569635 גָבוֹהַ הכל Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 9 במרץ 2016
CVE-2016-2451 27597103 גָבוֹהַ הכל Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 10 במרץ 2016
CVE-2016-2452 27662364 [ 2 ] [ 3 ] גָבוֹהַ הכל Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 14 במרץ 2016

הפגיעות של העלאת הרשאות במנהל התקן Wi-Fi של MediaTek

הפגיעות של העלאת הרשאות במנהל ההתקן של MediaTek Wi-Fi עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בדרך כלל באג ביצוע קוד ליבה כמו זה ידורג כקריטי, אך מכיוון שהוא מצריך תחילה פגיעה בשירות שיכול לקרוא למנהל ההתקן, הוא מדורג כחומרה גבוהה.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2453 27549705* גָבוֹהַ Android One 8 במרץ 2016

* התיקון לבעיה זו אינו ב-AOSP. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .

פגיעות מניעת שירות מרחוק ב-Codec Hardware של קוואלקום

במהלך קובץ מדיה ועיבוד נתונים של קובץ בעל מבנה מיוחד, פגיעות מניעת שירות מרחוק ב-Codec הווידאו החומרה של Qualcomm עלולה לאפשר לתוקף מרוחק לחסום גישה למכשיר מושפע על ידי גרימת אתחול מחדש של המכשיר. זה מדורג כחומרה גבוהה בשל האפשרות של מניעת שירות מרחוק.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2454 26221024* גָבוֹהַ נקסוס 5 16 בדצמבר 2015

* התיקון לבעיה זו אינו ב-AOSP. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .

פגיעות העלאת הרשאות ב-Conscrypt

הפגיעות של העלאת הרשאות ב-Conscrypt עלולה לאפשר לאפליקציה מקומית להאמין שהודעה אומתה כשהיא לא. בעיה זו מדורגת כחומרה בינונית מכיוון שהיא דורשת שלבים מתואמים על פני מספר מכשירים.

CVE באגים באנדרואיד חוּמרָה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2461 27324690 [ 2 ] לְמַתֵן הכל Nexus 6.0, 6.0.1 Google פנימי
CVE-2016-2462 27371173 לְמַתֵן הכל Nexus 6.0, 6.0.1 Google פנימי

הפגיעות של העלאת הרשאות ב-OpenSSL ו-BoringSSL

הפגיעות של העלאת הרשאות ב-OpenSSL ו-BoringSSL עלולה לאפשר ליישום זדוני מקומי לגשת לנתונים מחוץ לרמות ההרשאה שלו. בדרך כלל זה יהיה מדורג גבוה, אבל בגלל שזה דורש תצורה ידנית לא שכיחה, זה מדורג כחומרה בינונית.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-0705 27449871 לְמַתֵן הכל Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 7 בפברואר 2016

הפגיעות של העלאת הרשאות במנהל התקן Wi-Fi של MediaTek

הפגיעות של העלאת הרשאות במנהל ההתקן של MediaTek Wi-Fi עלולה לאפשר לאפליקציה זדונית מקומית לגרום למניעת שירות. בדרך כלל באג של העלאת הרשאות כמו זה יהיה מדורג גבוה, אך מכיוון שהוא מצריך פגיעה תחילה בשירות מערכת, הוא מדורג כחומרה בינונית.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2456 27275187* לְמַתֵן Android One 19 בפברואר 2016

* התיקון לבעיה זו אינו ב-AOSP. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .

פגיעות העלאת הרשאות ב-Wi-Fi

הפגיעות של העלאת הרשאות ב-Wi-Fi עלולה לאפשר לחשבון אורח לשנות את הגדרות ה-Wi-Fi שנמשכות עבור המשתמש הראשי. בעיה זו מדורגת כחומרה בינונית מכיוון שהיא מאפשרת גישה מקומית ליכולות " מסוכנות " ללא רשות.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2457 27411179 לְמַתֵן הכל Nexus 5.0.2, 5.1.1, 6.0, 6.0.1 29 בפברואר 2016

פגיעות של חשיפת מידע בדואר AOSP

פגיעות של חשיפת מידע ב-AOSP Mail עלולה לאפשר לאפליקציה זדונית מקומית לקבל גישה למידע הפרטי של המשתמש. בעיה זו מדורגת בדרגת חומרה בינונית מכיוון שהיא עשויה לשמש לגישה לא נכונה לנתונים ללא רשות.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2458 27335139 [ 2 ] לְמַתֵן הכל Nexus 5.0.2, 5.1.1, 6.0, 6.0.1 23 בפברואר 2016

פגיעות של גילוי מידע ב-Mediaserver

פגיעות של חשיפת מידע ב-Mediaserver עלולה לאפשר לאפליקציה לגשת למידע רגיש. בעיה זו מדורגת כחומרה בינונית מכיוון שהיא עלולה לשמש לגישה לא נכונה לנתונים ללא רשות.

CVE באגים באנדרואיד חוּמרָה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2459 27556038 לְמַתֵן הכל Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 7 במרץ 2016
CVE-2016-2460 27555981 לְמַתֵן הכל Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 7 במרץ 2016

פגיעות מניעת שירות בליבה

פגיעות של מניעת שירות בליבה עלולה לאפשר לאפליקציה זדונית מקומית לגרום לאתחול מחדש של המכשיר. בעיה זו מדורגת בדרגת חומרה נמוכה מכיוון שההשפעה היא מניעת שירות זמנית.

CVE באג אנדרואיד חוּמרָה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-0774 27721803* נָמוּך הכל Nexus 17 במרץ 2016

* התיקון לבעיה זו זמין ב- Linux במעלה הזרם .

שאלות ותשובות נפוצות

חלק זה סוקר תשובות לשאלות נפוצות שעלולות להתרחש לאחר קריאת עלון זה.

1. כיצד אוכל לקבוע אם המכשיר שלי מעודכן כדי לטפל בבעיות אלו?

רמות תיקון האבטחה מ-01 במאי 2016 ואילך מטפלות בבעיות אלו (עיין בתיעוד של Nexus לקבלת הוראות כיצד לבדוק את רמת תיקון האבטחה). יצרני מכשירים הכוללים עדכונים אלה צריכים להגדיר את רמת מחרוזת התיקון ל: [ro.build.version.security_patch]:[2016-05-01]

2. כיצד אוכל לקבוע אילו מכשירי Nexus מושפעים מכל בעיה?

בקטע 'פרטי פגיעות אבטחה' , לכל טבלה יש עמודה מכשירי Nexus מעודכנים המכסה את מגוון מכשירי ה-Nexus המושפעים המעודכנים עבור כל בעיה. בעמודה זו יש כמה אפשרויות:

  • כל מכשירי ה-Nexus : אם בעיה משפיעה על כל מכשירי ה-Nexus, הטבלה תכלול את כל מכשירי ה-Nexus בעמודה מכשירי ה-Nexus המעודכנים . כל ה-Nexus מכילים את המכשירים הנתמכים הבאים: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player ו-Pixel C.
  • מכשירי Nexus מסוימים : אם בעיה לא משפיעה על כל מכשירי ה-Nexus, מכשירי ה-Nexus המושפעים רשומים בעמודה מכשירי Nexus מעודכנים .
  • אין מכשירי Nexus : אם אף מכשירי Nexus לא מושפעים מהבעיה, הטבלה תכלול "ללא" בעמודה מכשירי Nexus מעודכנים .

3. מדוע CVE-2015-1805 נכלל בעלון זה?

CVE-2015-1805 כלול בעלון זה מכיוון ש- Android Security Advisory—2016-03-18 פורסם סמוך מאוד לפרסום עלון אפריל. בשל ציר הזמן הצפוף, ליצרני המכשירים ניתנה האפשרות לשלוח תיקונים מתוך עלון האבטחה של Nexus - אפריל 2016 , ללא התיקון עבור CVE-2015-1805, אם הם השתמשו ברמת תיקון האבטחה של 1 באפריל 2016. זה נכלל שוב בעלון זה מכיוון שיש לתקן אותו כדי להשתמש ברמת תיקון האבטחה של 01 במאי 2016.

תיקונים

  • 2 במאי 2016: פרסום העלון.
  • 4 במאי 2016:
    • העלון תוקן כך שיכלול קישורי AOSP.
    • רשימת כל מכשירי ה-Nexus עודכנה כך שתכלול את Nexus Player ו-Pixel C.
    • CVE-2016-2447 עודכן ל-CVE-2016-4477, לפי בקשת MITER.