Biuletyn dotyczący bezpieczeństwa Nexusa — kwiecień 2016 r

Opublikowano 04 kwietnia 2016 | Zaktualizowano 19 grudnia 2016 r

Wydaliśmy aktualizację zabezpieczeń dla urządzeń Nexus za pośrednictwem aktualizacji bezprzewodowej (OTA) w ramach naszego comiesięcznego procesu wydawania biuletynu zabezpieczeń Androida. Obrazy oprogramowania sprzętowego Nexusa zostały także udostępnione w witrynie Google Developer . Poziomy poprawek zabezpieczeń z 2 kwietnia 2016 r. lub nowsze rozwiązują te problemy (instrukcje dotyczące sprawdzania poziomu poprawek zabezpieczeń można znaleźć w dokumentacji Nexusa ).

Partnerzy zostali powiadomieni o problemach opisanych w biuletynie w dniu 16 marca 2016 roku lub wcześniej. W stosownych przypadkach w repozytorium Android Open Source Project (AOSP) udostępniono poprawki kodu źródłowego rozwiązujące te problemy.

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach, która może umożliwić zdalne wykonanie kodu na zagrożonym urządzeniu przy użyciu wielu metod, takich jak poczta e-mail, przeglądanie stron internetowych i MMS podczas przetwarzania plików multimedialnych. Ocena ważności opiera się na możliwym wpływie wykorzystania luki na urządzenie, którego dotyczy luka, przy założeniu, że zabezpieczenia platformy i usług zostały wyłączone na potrzeby programowania lub jeśli pomyślnie je obejdzie.

W poradniku dotyczącym bezpieczeństwa systemu Android z 18.03.2016 omówiono wcześniej użycie CVE-2015-1805 przez aplikację rootującą. W tej aktualizacji rozwiązano problem CVE-2015-1805 . Nie zgłoszono żadnych raportów o aktywnym wykorzystywaniu klientów lub nadużywaniu innych nowo zgłoszonych problemów. Więcej informacji na temat zabezpieczeń platformy zabezpieczeń Androida i zabezpieczeń usług, takich jak SafetyNet, które poprawiają bezpieczeństwo platformy Android, można znaleźć w sekcji Środki zaradcze .

Łagodzenia

To jest podsumowanie środków zaradczych zapewnianych przez platformę zabezpieczeń Androida i zabezpieczenia usług, takie jak SafetyNet. Funkcje te zmniejszają prawdopodobieństwo skutecznego wykorzystania luk w zabezpieczeniach systemu Android.

  • Eksploatację wielu problemów na Androidzie utrudniają ulepszenia w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników, jeśli to możliwe, do aktualizacji do najnowszej wersji Androida.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje nadużycia za pomocą funkcji Verify Apps i SafetyNet, które ostrzegają użytkownika o wykrytych potencjalnie szkodliwych aplikacjach, które mają zostać zainstalowane. Narzędzia do rootowania urządzeń są zabronione w Google Play. Aby chronić użytkowników instalujących aplikacje spoza Google Play, opcja Weryfikuj aplikacje jest domyślnie włączona i ostrzega użytkowników o znanych aplikacjach powodujących rootowanie. Funkcja Verify Apps próbuje zidentyfikować i zablokować instalację znanych złośliwych aplikacji wykorzystujących lukę umożliwiającą eskalację uprawnień. Jeśli taka aplikacja została już zainstalowana, funkcja Verify Apps powiadomi użytkownika i podejmie próbę usunięcia wszelkich takich aplikacji.
  • W stosownych przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak serwer multimediów.

Podziękowanie

Zespół ds. bezpieczeństwa Androida pragnie podziękować następującym badaczom za ich wkład:

Zespół ds. bezpieczeństwa Androida dziękuje także Yuan-Tsung Lo , Wenke Dou , Chiachih Wu ( @chiachih_wu ) i Xuxian Jiang z C0RE Team i Zimperium za ich wkład w CVE-2015-1805.

Szczegóły luki w zabezpieczeniach

Poniższe sekcje zawierają szczegółowe informacje na temat każdej luki w zabezpieczeniach, która ma zastosowanie w wersji poprawki 2016-04-02. Znajduje się tam opis problemu, uzasadnienie wagi oraz tabela zawierająca CVE, powiązany błąd, wagę, wersje, których dotyczy problem, oraz datę zgłoszenia. Jeśli będzie to możliwe, połączymy zatwierdzenie AOSP, które rozwiązało problem, z identyfikatorem błędu. Gdy wiele zmian dotyczy jednego błędu, dodatkowe odniesienia AOSP są powiązane z liczbami następującymi po identyfikatorze błędu.

Luka w zabezpieczeniach DHCPCD umożliwiająca zdalne wykonanie kodu

Luka w usłudze protokołu dynamicznej konfiguracji hosta może umożliwić osobie atakującej spowodowanie uszkodzenia pamięci, co może prowadzić do zdalnego wykonania kodu. Ten problem ma wagę krytyczną ze względu na możliwość zdalnego wykonania kodu w kontekście klienta DHCP. Usługa DHCP ma dostęp do uprawnień, do których aplikacje innych firm normalnie nie miałyby dostępu.

CVE Błędy z linkami AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2014-6060 ANDROID-15268738 Krytyczny 4.4.4 30 lipca 2014 r
CVE-2014-6060 ANDROID-16677003 Krytyczny 4.4.4 30 lipca 2014 r
CVE-2016-1503 ANDROID-26461634 Krytyczny 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 4 stycznia 2016 r

Luka w zabezpieczeniach kodeka multimedialnego umożliwiająca zdalne wykonanie kodu

Podczas przetwarzania pliku multimedialnego i danych specjalnie spreparowanego pliku luki w kodeku multimedialnym używanym przez serwer multimediów mogą pozwolić osobie atakującej na spowodowanie uszkodzenia pamięci i zdalnego wykonania kodu w procesie serwera multimediów.

Funkcja, której to dotyczy, jest dostarczana jako podstawowa część systemu operacyjnego i istnieje wiele aplikacji, które umożliwiają dostęp do niej za pomocą zdalnej zawartości, w szczególności wiadomości MMS i odtwarzania multimediów w przeglądarce.

Ten problem ma wagę krytyczną ze względu na możliwość zdalnego wykonania kodu w kontekście usługi serwera multimediów. Usługa serwera multimediów ma dostęp do strumieni audio i wideo, a także dostęp do uprawnień, do których normalnie nie mają dostępu aplikacje innych firm.

CVE Błąd Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-0834 ANDROID-26220548* Krytyczny 6.0, 6.0.1 16 grudnia 2015 r

* Łatka rozwiązująca ten problem nie jest dostępna w AOSP. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Luka w zabezpieczeniach serwera multimediów umożliwiająca zdalne wykonanie kodu

Podczas przetwarzania pliku multimedialnego i danych specjalnie spreparowanego pliku luki w zabezpieczeniach serwera multimediów mogą pozwolić osobie atakującej na spowodowanie uszkodzenia pamięci i zdalnego wykonania kodu w procesie serwera multimediów.

Funkcja, której to dotyczy, jest dostarczana jako podstawowa część systemu operacyjnego i istnieje wiele aplikacji, które umożliwiają dostęp do niej za pomocą zdalnej zawartości, w szczególności wiadomości MMS i odtwarzania multimediów w przeglądarce.

Ten problem ma wagę krytyczną ze względu na możliwość zdalnego wykonania kodu w kontekście usługi serwera multimediów. Usługa serwera multimediów ma dostęp do strumieni audio i wideo, a także dostęp do uprawnień, do których normalnie nie mają dostępu aplikacje innych firm.

CVE Błędy z linkami AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-0835 ANDROID-26070014 [ 2 ] Krytyczny 6.0, 6.0.1 6 grudnia 2015 r
CVE-2016-0836 ANDROID-25812590 Krytyczny 6.0, 6.0.1 19 listopada 2015 r
CVE-2016-0837 ANDROID-27208621 Krytyczny 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11 lutego 2016 r
CVE-2016-0838 ANDROID-26366256 [ 2 ] Krytyczny 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Wewnętrzne Google
CVE-2016-0839 ANDROID-25753245 Krytyczny 6.0, 6.0.1 Wewnętrzne Google
CVE-2016-0840 ANDROID-26399350 Krytyczny 6.0, 6.0.1 Wewnętrzne Google
CVE-2016-0841 ANDROID-26040840 Krytyczny 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Wewnętrzne Google

Luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu w libstagefright

Podczas przetwarzania pliku multimedialnego i danych specjalnie spreparowanego pliku luki w zabezpieczeniach libstagefright mogą pozwolić osobie atakującej na spowodowanie uszkodzenia pamięci i zdalne wykonanie kodu w procesie serwera multimediów.

Funkcja, której to dotyczy, jest dostarczana jako podstawowa część systemu operacyjnego i istnieje wiele aplikacji, które umożliwiają dostęp do niej za pomocą zdalnej zawartości, w szczególności wiadomości MMS i odtwarzania multimediów w przeglądarce.

Ten problem ma wagę krytyczną ze względu na możliwość zdalnego wykonania kodu w kontekście usługi serwera multimediów. Usługa serwera multimediów ma dostęp do strumieni audio i wideo, a także dostęp do uprawnień, do których normalnie nie mają dostępu aplikacje innych firm.

CVE Błąd z łączem AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-0842 ANDROID-25818142 Krytyczny 6.0, 6.0.1 23 listopada 2015 r

Luka w zabezpieczeniach jądra umożliwiająca podniesienie uprawnień

Luka w jądrze umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w jądrze. Ten problem ma wagę krytyczną ze względu na możliwość trwałego lokalnego naruszenia bezpieczeństwa urządzenia i prawdopodobnie będzie konieczne naprawienie urządzenia poprzez ponowne flashowanie systemu operacyjnego. Ten problem został opisany w Poradniku dotyczącym bezpieczeństwa systemu Android 2016-03-18 .

CVE Błąd Powaga Zaktualizowane wersje Data zgłoszona
CVE-2015-1805 ANDROID-27275324* Krytyczny 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 19 lutego 2016 r

* Łatka w AOSP jest dostępna dla określonych wersji jądra: 3.14 , 3.10 i 3.4 .

Podniesienie poziomu uprawnień w module wydajności Qualcomm

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w komponencie menedżera zdarzeń wydajnościowych dla procesorów ARM firmy Qualcomm może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w jądrze. Ten problem ma wagę krytyczną ze względu na możliwość trwałego lokalnego naruszenia bezpieczeństwa urządzenia i prawdopodobnie będzie konieczne naprawienie urządzenia poprzez ponowne flashowanie systemu operacyjnego.

CVE Błąd Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-0843 ANDROID-25801197* Krytyczny 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 19 listopada 2015 r

* Łatka rozwiązująca ten problem nie jest dostępna w AOSP. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w komponencie Qualcomm RF

W sterowniku Qualcomm RF występuje luka, która może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wagę krytyczną ze względu na możliwość trwałego lokalnego naruszenia bezpieczeństwa urządzenia i prawdopodobnie będzie konieczne naprawienie urządzenia poprzez ponowne flashowanie systemu operacyjnego.

CVE Błąd z łączem AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-0844 ANDROID-26324307 * Krytyczny 6.0, 6.0.1 25 grudnia 2015 r

* Dodatkowa łatka usuwająca ten problem znajduje się w wersji źródłowej systemu Linux .

Luka w zabezpieczeniach jądra umożliwiająca podniesienie uprawnień

Luka w zabezpieczeniach wspólnego jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w jądrze. Ten problem ma wagę krytyczną ze względu na możliwość trwałego lokalnego naruszenia bezpieczeństwa urządzenia i prawdopodobnie będzie konieczne naprawienie urządzenia poprzez ponowne flashowanie systemu operacyjnego.

CVE Błąd z linkami AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2014-9322 ANDROID-26927260 [ 2 ] [ 3 ]
[ 4 ] [ 5 ] [ 6 ] [ 7 ] [ 8 ] [ 9 ] [ 10 ] [ 11 ]
Krytyczny 6.0, 6.0.1 25 grudnia 2015 r

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w natywnym interfejsie IMemory

Luka umożliwiająca podniesienie uprawnień w natywnym interfejsie IMemory może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście aplikacji systemowej z podwyższonym poziomem uprawnień. Ten problem został sklasyfikowany jako wysoki, ponieważ można go wykorzystać do uzyskania zwiększonych możliwości, takich jak uprawnienia do podpisu lub podpisu lub systemu , które nie są dostępne dla aplikacji innych firm.

CVE Błąd z łączem AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-0846 ANDROID-26877992 Wysoki 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 29 stycznia 2016 r

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w komponencie telekomunikacyjnym

Luka w zabezpieczeniach komponentu telekomunikacyjnego umożliwiająca podniesienie uprawnień może umożliwić osobie atakującej sprawianie wrażenia, że ​​połączenia pochodzą z dowolnego numeru. Ten problem został sklasyfikowany jako wysoki, ponieważ można go wykorzystać do uzyskania lokalnego dostępu do zwiększonych możliwości, takich jak uprawnienia do podpisu lub podpisu lub systemu , które nie są dostępne dla aplikacji innych firm.

CVE Błąd z linkami AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-0847 ANDROID-26864502 [ 2 ] Wysoki 5.0.2, 5.1.1, 6.0, 6.0.1 Wewnętrzne Google

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Menedżerze pobierania

Luka w Menedżerze pobierania umożliwiająca podniesienie uprawnień może umożliwić osobie atakującej uzyskanie dostępu do nieautoryzowanych plików w prywatnej pamięci. Ten problem został sklasyfikowany jako wysoki, ponieważ można go wykorzystać do uzyskania lokalnego dostępu do zwiększonych możliwości, takich jak uprawnienia do podpisu lub podpisu lub systemu , które nie są dostępne dla aplikacji innych firm.

CVE Błąd z łączem AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-0848 ANDROID-26211054 Wysoki 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 14 grudnia 2015 r

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w procedurze odzyskiwania

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w procedurze odzyskiwania może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście aplikacji systemowej z podwyższonym poziomem uprawnień. Ten problem został sklasyfikowany jako wysoki, ponieważ można go wykorzystać do uzyskania zwiększonych możliwości, takich jak uprawnienia do podpisu lub podpisu lub systemu , które nie są dostępne dla aplikacji innych firm.

CVE Błąd z łączem AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-0849 ANDROID-26960931 Wysoki 5.0.2, 5.1.1, 6.0, 6.0.1 3 lutego 2016 r

Luka w zabezpieczeniach Bluetooth umożliwiająca podniesienie uprawnień

Luka w zabezpieczeniach Bluetooth umożliwiająca podniesienie uprawnień może umożliwić niezaufanemu urządzeniu sparowanie z telefonem podczas początkowego procesu parowania. Może to prowadzić do nieautoryzowanego dostępu do zasobów urządzenia, takich jak połączenie internetowe. Ten problem został sklasyfikowany jako wysoki, ponieważ można go wykorzystać do uzyskania zwiększonych możliwości, które nie są dostępne dla niezaufanych urządzeń.

CVE Błąd z łączem AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-0850 ANDROID-26551752 Wysoki 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 13 stycznia 2016 r

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w sterowniku dotykowym Texas Instruments

W dotykowym sterowniku jądra firmy Texas Instruments występuje luka w zabezpieczeniach umożliwiająca podniesienie uprawnień, która może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Zwykle taki błąd wykonania kodu jądra zostałby oceniony jako krytyczny, ale ponieważ najpierw wymaga naruszenia usługi, która może wywołać sterownik, jest oceniany jako wysoki.

CVE Błąd Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2409 ANDROID-25981545* Wysoki 6.0, 6.0.1 25 grudnia 2015 r

* Łatka rozwiązująca ten problem nie jest dostępna w AOSP. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w sterowniku jądra wideo Qualcomm

W sterowniku jądra wideo Qualcomm występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Zwykle luka w zabezpieczeniach umożliwiająca wykonanie kodu jądra jest oceniana jako krytyczna, ale ponieważ wymaga najpierw naruszenia bezpieczeństwa usługi, która może wywołać sterownik, jest oceniana jako wysoka.

CVE Błąd Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2410 ANDROID-26291677* Wysoki 6.0, 6.0.1 21 grudnia 2015 r

* Łatka rozwiązująca ten problem nie jest dostępna w AOSP. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w komponencie Qualcomm Power Management

W sterowniku jądra Qualcomm Power Management występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Zwykle taki błąd wykonania kodu jądra zostałby oceniony jako krytyczny, ale ponieważ wymaga najpierw naruszenia bezpieczeństwa urządzenia i podniesienia poziomu do roota, jest oceniany jako wysoki.

CVE Błąd Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2411 ANDROID-26866053* Wysoki 6.0, 6.0.1 28 stycznia 2016 r

* Łatka rozwiązująca ten problem nie jest dostępna w AOSP. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w serwerze System_server

Luka umożliwiająca podniesienie uprawnień w serwerze_systemowym może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście aplikacji systemowej z podwyższonym poziomem uprawnień. Ten problem został sklasyfikowany jako wysoki, ponieważ można go wykorzystać do uzyskania zwiększonych możliwości, takich jak uprawnienia do podpisu lub podpisu lub systemu , które nie są dostępne dla aplikacji innych firm.

CVE Błąd z łączem AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2412 ANDROID-26593930 Wysoki 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 15 stycznia 2016 r

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w serwerze multimediów

Luka w zabezpieczeniach serwera multimediów umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście aplikacji systemowej z podwyższonym poziomem uprawnień. Ten problem został sklasyfikowany jako wysoki, ponieważ można go wykorzystać do uzyskania zwiększonych możliwości, takich jak uprawnienia do podpisu lub podpisu lub systemu , które nie są dostępne dla aplikacji innych firm.

CVE Błąd z łączem AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2413 ANDROID-26403627 Wysoki 5.0.2, 5.1.1, 6.0, 6.0.1 5 stycznia 2016 r

Luka w zabezpieczeniach powodująca odmowę usługi w Minikin

Luka w zabezpieczeniach biblioteki Minikin umożliwiająca odmowę usługi może pozwolić lokalnemu atakującemu na tymczasowe zablokowanie dostępu do urządzenia, którego dotyczy luka. Osoba atakująca może spowodować załadowanie niezaufanej czcionki i spowodować przepełnienie komponentu Minikin, co prowadzi do awarii. Jest to oceniane jako Wysoka istotność, ponieważ odmowa usługi doprowadziłaby do ciągłej pętli ponownego uruchamiania.

CVE Błąd z linkami AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2414 ANDROID-26413177 [ 2 ] Wysoki 5.0.2, 5.1.1, 6.0, 6.0.1 3 listopada 2015 r

Luka w zabezpieczeniach programu Exchange ActiveSync umożliwiająca ujawnienie informacji

Luka w programie Exchange ActiveSync umożliwiająca ujawnienie informacji może umożliwić lokalnej złośliwej aplikacji uzyskanie dostępu do prywatnych informacji użytkownika. Ten problem ma stopień ważności wysoki, ponieważ umożliwia zdalny dostęp do chronionych danych.

CVE Błąd z łączem AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2415 ANDROID-26488455 Wysoki 5.0.2, 5.1.1, 6.0, 6.0.1 11 stycznia 2016 r

Luka w zabezpieczeniach serwera multimediów umożliwiająca ujawnienie informacji

Luka w zabezpieczeniach Mediaservera umożliwiająca ujawnienie informacji może pozwolić na ominięcie istniejących środków bezpieczeństwa i zwiększyć trudność wykorzystania platformy przez osoby atakujące. Problemy te są klasyfikowane jako Wysokie, ponieważ można je również wykorzystać do uzyskania zwiększonych możliwości, takich jak uprawnienia do podpisu lub podpisu lub systemu , które nie są dostępne dla aplikacji innych firm.

CVE Błędy z linkami AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2416 ANDROID-27046057 [ 2 ] Wysoki 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 5 lutego 2016 r
CVE-2016-2417 ANDROID-26914474 Wysoki 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 1 lutego 2016 r
CVE-2016-2418 ANDROID-26324358 Wysoki 6.0, 6.0.1 24 grudnia 2015 r
CVE-2016-2419 ANDROID-26323455 Wysoki 6.0, 6.0.1 24 grudnia 2015 r

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w komponencie Debuggerd

Luka umożliwiająca podniesienie uprawnień w komponencie Debuggerd może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu, który może doprowadzić do trwałego naruszenia bezpieczeństwa urządzenia. W rezultacie prawdopodobnie konieczne będzie naprawienie urządzenia poprzez ponowne flashowanie systemu operacyjnego. Zwykle taki błąd wykonania kodu zostałby oceniony jako krytyczny, ale ponieważ umożliwia podniesienie uprawnień z systemu do roota tylko w systemie Android w wersji 4.4.4, jest on oceniany jako umiarkowany. W systemie Android w wersji 5.0 i nowszych reguły SELinux uniemożliwiają aplikacjom innych firm dotarcie do kodu, którego dotyczy problem.

CVE Błąd z linkami AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2420 ANDROID-26403620 [ 2 ] Umiarkowany 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 5 stycznia 2016 r

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w kreatorze instalacji

Luka w kreatorze konfiguracji może umożliwić osobie atakującej ominięcie zabezpieczenia przywracania ustawień fabrycznych i uzyskanie dostępu do urządzenia. Jest to sklasyfikowane jako umiarkowane, ponieważ potencjalnie umożliwia osobie mającej fizyczny dostęp do urządzenia ominięcie zabezpieczenia przywracania ustawień fabrycznych, co umożliwiłoby osobie atakującej pomyślne zresetowanie urządzenia i usunięcie wszystkich danych.

CVE Błąd Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2421 ANDROID-26154410* Umiarkowany 5.1.1, 6.0, 6.0.1 Wewnętrzne Google

* Łatka rozwiązująca ten problem nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszej wersji binarnej dla urządzeń Nexus dostępnej w witrynie Google Developer .

Zwiększenie luki w zabezpieczeniach sieci Wi-Fi związanej z podniesieniem uprawnień

Luka w zabezpieczeniach sieci Wi-Fi umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście aplikacji systemowej z podwyższonym poziomem uprawnień. Ten problem ma wagę umiarkowaną, ponieważ może zostać wykorzystany do uzyskania zwiększonych możliwości, takich jak uprawnienia do podpisu lub podpisu lub systemu , które nie są dostępne dla aplikacji innych firm.

CVE Błąd z łączem AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2422 ANDROID-26324357 Umiarkowany 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 23 grudnia 2015 r

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w telefonii

Luka w zabezpieczeniach Telefonii może umożliwić osobie atakującej ominięcie zabezpieczenia przywracania ustawień fabrycznych i uzyskanie dostępu do urządzenia. Jest to sklasyfikowane jako umiarkowane, ponieważ potencjalnie umożliwia osobie mającej fizyczny dostęp do urządzenia ominięcie zabezpieczenia przywracania ustawień fabrycznych, co umożliwiłoby osobie atakującej pomyślne zresetowanie urządzenia i usunięcie wszystkich danych.

CVE Błąd z łączem AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2423 ANDROID-26303187 Umiarkowany 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Wewnętrzne Google

Luka w zabezpieczeniach umożliwiająca odmowę usługi w SyncStorageEngine

Luka w zabezpieczeniach programu SyncStorageEngine umożliwiająca odmowę usługi może spowodować, że lokalna złośliwa aplikacja spowoduje pętlę ponownego uruchamiania. Ten problem ma wagę umiarkowaną, ponieważ może spowodować lokalną tymczasową odmowę usługi, którą prawdopodobnie należy naprawić poprzez przywrócenie ustawień fabrycznych.

CVE Błąd z łączem AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2424 ANDROID-26513719 Umiarkowany 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Wewnętrzne Google

Luka w zabezpieczeniach poczty AOSP umożliwiająca ujawnienie informacji

Luka w zabezpieczeniach AOSP Mail umożliwiająca ujawnienie informacji może umożliwić lokalnej złośliwej aplikacji uzyskanie dostępu do prywatnych informacji użytkownika. Ten problem ma wagę umiarkowaną, ponieważ może zostać wykorzystany do niewłaściwego uzyskania „niebezpiecznych” uprawnień.

CVE Błędy z łączem AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2425 ANDROID-26989185 Umiarkowany 4.4.4, 5.1.1, 6.0, 6.0.1 29 stycznia 2016 r
CVE-2016-2425 ANDROID-7154234* Umiarkowany 5.0.2 29 stycznia 2016 r

* Łatka rozwiązująca ten problem nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszej wersji binarnej dla urządzeń Nexus dostępnej w witrynie Google Developer .

Luka w zabezpieczeniach programu Framework umożliwiająca ujawnienie informacji

Luka w komponencie Framework umożliwiająca ujawnienie informacji może umożliwić aplikacji dostęp do poufnych informacji. Ten problem ma wagę umiarkowaną, ponieważ może zostać wykorzystany do niewłaściwego uzyskania dostępu do danych bez pozwolenia.

CVE Błąd z łączem AOSP Powaga Zaktualizowane wersje Data zgłoszona
CVE-2016-2426 ANDROID-26094635 Umiarkowany 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 8 grudnia 2015 r

Często zadawane pytania i odpowiedzi

W tej sekcji znajdują się odpowiedzi na często zadawane pytania, które mogą pojawić się po przeczytaniu niniejszego biuletynu.

1. Jak sprawdzić, czy moje urządzenie zostało zaktualizowane w celu rozwiązania tych problemów?

Poziomy poprawek zabezpieczeń z 2 kwietnia 2016 r. lub nowsze rozwiązują te problemy (instrukcje dotyczące sprawdzania poziomu poprawek zabezpieczeń można znaleźć w dokumentacji Nexusa ). Producenci urządzeń, którzy zawierają te aktualizacje, powinni ustawić poziom ciągu poprawek na: [ro.build.version.security_patch]:[2016-04-02]

2. Dlaczego ta poprawka zabezpieczeń ma datę 2 kwietnia 2016 r.?

Poziom poprawki zabezpieczeń dla comiesięcznej aktualizacji zabezpieczeń jest zwykle ustawiany na pierwszy dzień miesiąca. W przypadku kwietnia aktualizacja zabezpieczeń z dnia 1 kwietnia 2016 r. wskazuje, że wszystkie problemy opisane w tym biuletynie z wyjątkiem CVE-2015-1805 opisane w Poradniku dotyczącym zabezpieczeń systemu Android 2016-03-18 zostały rozwiązane. Poziom poprawki zabezpieczeń z dnia 2 kwietnia 2016 r. wskazuje, że wszystkie problemy opisane w tym biuletynie, w tym CVE-2015-1805, zgodnie z opisem w Poradniku bezpieczeństwa systemu Android 2016-03-18, zostały rozwiązane.

Wersje

  • 04 kwietnia 2016: Biuletyn opublikowany.
  • 6 kwietnia 2016 r.: Biuletyn zmieniony w celu uwzględnienia łączy AOSP.
  • 7 kwietnia 2016 r.: Zaktualizowano biuletyn w celu dodania dodatkowego łącza AOSP.
  • 11 lipca 2016 r.: Zaktualizowano opis CVE-2016-2427.
  • 01 sierpnia 2016: Zaktualizowano opis CVE-2016-2427
  • 19 grudnia 2016 r.: zaktualizowano w celu usunięcia CVE-2016-2427, który został przywrócony.