نشرة أمان أجهزة Nexus - أيلول (سبتمبر) 2015

تاريخ النشر: 9 سبتمبر 2015

لقد أصدرنا تحديث أمان لأجهزة Nexus عبر شبكة غير سلكيّة (OTA) كجزء من عملية الإصدار الشهري لنشرة أمان Android (الإصدار LMY48M). تم أيضًا إصدار تحديثات أجهزة Nexus وتصحيحات الرموز المصدرية لهذه المشاكل في مستودع الرموز المصدرية لمشروع Android المفتوح المصدر (AOSP). وأخطر هذه المشاكل هي ثغرة أمنية خطيرة قد تتيح تنفيذ الرموز البرمجية عن بُعد على الجهاز المتأثر.

وتم أيضًا إصدار صور البرامج الثابتة لأجهزة Nexus على موقع Google Developer الإلكتروني. وتعالج الإصدارات LMY48M أو الإصدارات الأحدث هذه المشاكل. وقد تم إبلاغ الشركاء بهذه المشاكل في 13 آب (أغسطس) 2015 أو قبل ذلك.

لم نرصد أي استغلال من قِبل العملاء للمشاكل التي تم الإبلاغ عنها مؤخرًا. والاستثناء هو المشكلة الحالية (CVE-2015-3636). يُرجى الرجوع إلى قسم إجراءات التخفيف للحصول على تفاصيل حول إجراءات الحماية في نظام Android الأساسي للأمان وإجراءات حماية الخدمة، مثل SafetyNet، التي تقلل من احتمالية استغلال الثغرات الأمنية بنجاح على Android.

يُرجى العِلم أنّ تحديثَي الأمان المهمَّين (CVE-2015-3864 وCVE-2015-3686) يعالجان ثغرات أمنية تم الإفصاح عنها سابقًا. لا يتضمّن هذا التحديث أي ثغرات أمنية خطيرة تم الكشف عنها حديثًا. يستند تقييم الخطورة إلى التأثير الذي قد يحدثه استغلال الثغرة الأمنية على الجهاز المتأثر، بافتراض أنّ إجراءات التخفيف من المخاطر على المنصة والخدمة غير مفعَّلة لأغراض التطوير أو في حال تم تجاوزها بنجاح.

ننصح جميع العملاء بقبول هذه التحديثات على أجهزتهم.

إجراءات التخفيف

في ما يلي ملخّص لعمليات التخفيف من المخاطر التي توفّرها منصة أمان Android ووسائل حماية الخدمات، مثل SafetyNet. وتقلّل هذه الإمكانات من احتمالية استغلال الثغرات الأمنية بنجاح على Android.

• تزداد صعوبة استغلال العديد من المشاكل على Android بفضل التحسينات التي تم إجراؤها في الإصدارات الأحدث من نظام Android الأساسي. ننصح جميع المستخدمين بتثبيت أحدث إصدار من Android إن أمكن.
• يراقب فريق أمان Android بفعالية أي إساءة استخدام من خلال ميزتَي "التحقق من التطبيقات" وSafetyNet اللتين تحذّران من التطبيقات التي قد تتسبّب بضرر قبل تثبيتها. يُحظر استخدام أدوات الوصول إلى الجذر على Google Play. لحماية المستخدمين الذين يثبّتون تطبيقات من خارج Google Play، يتم تفعيل ميزة "التحقّق من التطبيقات" تلقائيًا، وستحذّر المستخدمين من تطبيقات الوصول إلى الجذر المعروفة. تحاول ميزة "التحقّق من التطبيقات" تحديد وحظر تثبيت التطبيقات الضارة المعروفة التي تستغل ثغرة أمنية في تصعيد الامتيازات. إذا سبق تثبيت مثل هذا التطبيق، ستُرسل ميزة "التحقّق من التطبيقات" إشعارًا إلى المستخدم وتحاول إزالة أي تطبيقات من هذا النوع.
• لا تمرر تطبيقات Google Hangouts وMessenger تلقائيًا الوسائط إلى عمليات مثل mediaserver، حسب الاقتضاء.

الإقرارات

نودّ أن نشكر هؤلاء الباحثين على مساهماتهم:

• "جوردان غروسكوفنياك" من Exodus Intelligence‏ (‎@jgrusko): ‏ CVE-2015-3864
• ميشال بيدنارسكي: CVE-2015-3845
• "غوانغ غونغ" من شركة Qihoo 360 Technology Co. Ltd ‏(‎@oldfresher): ‏ CVE-2015-1528 وCVE-2015-3849
• "برينان لوتنر": CVE-2015-3863
• ‫jgor ‏(‎@indiecom): CVE-2015-3860
• "ويش وو" من شركة Trend Micro Inc.‎ ‏(‎@wish_wu): ‏ CVE-2015-3861
• "إريك دالسي" و"يي زانغ" من فريق أمان أجهزة Amazon: ‏CVE-2015-3858

تفاصيل الثغرات الأمنية

في الأقسام أدناه، نقدّم تفاصيل عن كل ثغرة أمنية في هذه النشرة. يتضمّن التقرير وصفًا للمشكلة، وأساسًا منطقيًا لتحديد مستوى الخطورة، وجدولاً يتضمّن معرّف CVE والخطأ المرتبط به ومستوى الخطورة والإصدارات المتأثرة وتاريخ الإبلاغ. وقد ربطنا تغييرات مشروع Android المفتوح المصدر (AOSP) التي عالجت المشكلة بمعرّف الخطأ، حيثما كان ذلك متاحًا. عندما ترتبط تغييرات متعددة بخطأ واحد، يتم ربط مراجع إضافية لمشروع Android المفتوح المصدر (AOSP) بالأرقام التي تلي رقم تعريف الخطأ.

ثغرة أمنية في Mediaserver تتيح تنفيذ الرموز البرمجية عن بُعد

أثناء معالجة ملفات الوسائط والبيانات لملف تم إنشاؤه خصيصًا، يمكن أن تسمح الثغرات الأمنية في خادم الوسائط للمهاجم بالتسبب في تلف الذاكرة وتنفيذ الرموز البرمجية عن بُعد كعملية خادم وسائط.

يتم توفير الوظيفة المتأثرة كجزء أساسي من نظام التشغيل، وهناك تطبيقات متعددة تسمح بالوصول إليها من خلال المحتوى البعيد، وأبرزها رسائل الوسائط المتعددة (MMS) وتشغيل الوسائط في المتصفح.

تم تصنيف هذه المشكلة على أنّها خطيرة بسبب احتمال تنفيذ الرموز البرمجية عن بُعد في سياق خدمة mediaserver. وتتمتع خدمة mediaserver بإمكانية الوصول إلى مصادر الصوت والفيديو، بالإضافة إلى إمكانية الوصول إلى الامتيازات التي لا يمكن للتطبيقات الخارجية الوصول إليها عادةً.

ترتبط هذه المشكلة بالثغرة الأمنية CVE-2015-3824 (ANDROID-20923261) التي تم الإبلاغ عنها سابقًا. لم يكن التحديث الأمني الأصلي كافيًا لمعالجة أحد أشكال هذه المشكلة التي تم الإبلاغ عنها في الأصل.

CVE	خطأ في روابط مشروع Android المفتوح المصدر (AOSP)	درجة الخطورة	الإصدارات المتأثِّرة
CVE-2015-3864	ANDROID-23034759	مهم	الإصدار 5.1 والإصدارات الأقدم

ثغرة أمنية في النواة تتيح الحصول على أذونات مميزة وعالية المستوى

هناك ثغرة أمنية في نواة Linux تؤدي إلى رفع مستوى الامتيازات عند معالجة مآخذ ping، وقد تسمح هذه الثغرة لتطبيق ضار بتنفيذ رمز عشوائي في سياق النواة.

تم تصنيف هذه المشكلة على أنّها خطيرة بسبب احتمال تنفيذ الرموز البرمجية في خدمة مميّزة يمكنها تجاوز إجراءات حماية الجهاز، ما قد يؤدي إلى اختراق دائم (أي يتطلّب إعادة تثبيت قسم النظام) على بعض الأجهزة.

تم تحديد هذه المشكلة علنًا لأول مرة في 1 مايو 2015. تم تضمين ثغرة أمنية في عدد من أدوات "الوصول إلى الجذر" التي قد يستخدمها مالك الجهاز لتعديل البرامج الثابتة على جهازه.

CVE	أخطاء في روابط مشروع Android المفتوح المصدر(AOSP)	درجة الخطورة	الإصدارات المتأثِّرة
CVE-2015-3636	ANDROID-20770158	مهم	الإصدار 5.1 والإصدارات الأقدم

ثغرة أمنية في Binder تؤدي إلى رفع مستوى الامتيازات

هناك ثغرة أمنية في Binder تؤدي إلى تصعيد الامتيازات، وقد تسمح لتطبيق ضار بتنفيذ رمز عشوائي في سياق عملية تطبيق آخر.

تم تصنيف هذه المشكلة على أنّها خطيرة لأنّها تسمح لتطبيق ضار بالحصول على امتيازات لا يمكن لتطبيق تابع لجهة خارجية الوصول إليها.

CVE	أخطاء في روابط مشروع Android المفتوح المصدر(AOSP)	درجة الخطورة	الإصدارات المتأثِّرة
CVE-2015-3845	ANDROID-17312693	مرتفع	الإصدار 5.1 والإصدارات الأقدم
CVE-2015-1528	ANDROID-19334482 [2]	مرتفع	الإصدار 5.1 والإصدارات الأقدم

ثغرة أمنية في Keystore تؤدي إلى رفع مستوى الامتيازات

هناك ثغرة أمنية في Keystore تؤدي إلى تصعيد الامتيازات، وقد تسمح لتطبيق ضار بتنفيذ رمز عشوائي في سياق خدمة keystore. وقد يسمح ذلك بالاستخدام غير المصرَّح به للمفاتيح المخزَّنة في Keystore، بما في ذلك المفاتيح المستندة إلى الأجهزة.

تم تصنيف هذه المشكلة على أنّها شديدة الخطورة لأنّه يمكن استخدامها للحصول على امتيازات لا يمكن لتطبيق تابع لجهة خارجية الوصول إليها.

CVE	أخطاء في روابط مشروع Android المفتوح المصدر(AOSP)	درجة الخطورة	الإصدارات المتأثِّرة
CVE-2015-3863	ANDROID-22802399	مرتفع	الإصدار 5.1 والإصدارات الأقدم

ثغرة أمنية في المنطقة تتيح رفع مستوى الامتيازات

هناك ثغرة أمنية في Region تؤدي إلى تصعيد الامتيازات، ويمكن أن تسمح لتطبيق ضار بتنفيذ رمز عشوائي ضمن سياق الخدمة المستهدَفة، وذلك من خلال إنشاء رسالة ضارة موجَّهة إلى إحدى الخدمات.

تم تصنيف هذه المشكلة على أنّها شديدة الخطورة لأنّه يمكن استخدامها للحصول على امتيازات لا يمكن لتطبيق تابع لجهة خارجية الوصول إليها.

CVE	أخطاء في روابط مشروع Android المفتوح المصدر(AOSP)	درجة الخطورة	الإصدارات المتأثِّرة
CVE-2015-3849	ANDROID-20883006 [2]	مرتفع	الإصدار 5.1 والإصدارات الأقدم

ثغرة أمنية في الرسائل القصيرة تؤدي إلى تجاوز الإشعارات من خلال رفع مستوى الامتيازات

هناك ثغرة أمنية في طريقة معالجة Android لرسائل SMS، وهي تؤدي إلى رفع مستوى الامتيازات، وقد تتيح لتطبيق ضار إرسال رسالة SMS تتجاوز إشعار التحذير بشأن رسائل SMS ذات الأسعار المميزة.

تم تصنيف هذه المشكلة على أنّها شديدة الخطورة لأنّه يمكن استخدامها للحصول على امتيازات لا يمكن لتطبيق تابع لجهة خارجية الوصول إليها.

CVE	أخطاء في روابط مشروع Android المفتوح المصدر(AOSP)	درجة الخطورة	الإصدارات المتأثِّرة
CVE-2015-3858	ANDROID-22314646	مرتفع	الإصدار 5.1 والإصدارات الأقدم

ثغرة أمنية في شاشة القفل تؤدي إلى رفع مستوى الأذونات

ثغرة أمنية في "شاشة القفل" تؤدي إلى رفع مستوى الامتيازات قد تسمح لمستخدم ضار بتجاوز شاشة القفل من خلال التسبب في تعطّلها. يتم تصنيف هذه المشكلة على أنّها ثغرة أمنية فقط في الإصدارين 5.0 و5.1 من نظام التشغيل Android. While it's possible to cause the System UI to crash from the lockscreen in a similar way on 4.4, the home screen cannot be accessed and the device must be rebooted to recover.

تم تصنيف هذه المشكلة على أنّها متوسطة الخطورة لأنّها قد تسمح لأي شخص لديه إمكانية الوصول المادي إلى جهاز بتثبيت تطبيقات تابعة لجهات خارجية بدون موافقة مالك الجهاز على الأذونات. ويمكن أن يسمح أيضًا للمهاجم بعرض بيانات جهات الاتصال وسجلّات الهاتف ورسائل SMS والبيانات الأخرى التي تكون محمية عادةً بإذن على مستوى "خطير".

CVE	أخطاء في روابط مشروع Android المفتوح المصدر(AOSP)	درجة الخطورة	الإصدارات المتأثِّرة
CVE-2015-3860	ANDROID-22214934	متوسط	‫5.1 و5.0

ثغرة أمنية تؤدي إلى حجب الخدمة في Mediaserver

هناك ثغرة أمنية في خادم الوسائط تؤدي إلى حجب الخدمة، وقد تسمح لمهاجم محلي بحظر الوصول مؤقتًا إلى جهاز متأثر.

تم تصنيف هذه المشكلة على أنّها منخفضة الخطورة لأنّه يمكن للمستخدم إعادة التشغيل في الوضع الآمن لإزالة تطبيق ضار يستغل هذه المشكلة. ومن الممكن أيضًا أن يتسبب في معالجة mediaserver للملف الضار عن بُعد من خلال الويب أو عبر رسائل الوسائط المتعددة، وفي هذه الحالة يتعطل mediaserver ويظل الجهاز قابلاً للاستخدام.

CVE	أخطاء في روابط مشروع Android المفتوح المصدر(AOSP)	درجة الخطورة	الإصدارات المتأثِّرة
CVE-2015-3861	ANDROID-21296336	منخفضة	الإصدار 5.1 والإصدارات الأقدم