עדכון אבטחה דחוף ל-Nexus – ספטמבר 2015

פורסם ב-9 בספטמבר 2015

הפצנו עדכון אבטחה למכשירי Nexus באמצעות עדכון OTA, כחלק מתהליך ההפצה החודשי של חדשות האבטחה של Android (גרסה LMY48M). העדכונים למכשירי Nexus והתיקונים לקוד המקור של הבעיות האלה פורסמו גם במאגר המקור של פרויקט קוד פתוח של Android‏ (AOSP). הבעיה החמורה ביותר היא פרצת אבטחה קריטית שעלולה לאפשר הרצת קוד מרחוק במכשיר המושפע.

קובצי האימג' של קושחת Nexus פורסמו גם באתר Google Developers. גרסאות build ‏LMY48M ואילך מטפלות בבעיות האלה. הודענו לשותפים על הבעיות האלה ב-13 באוגוסט 2015 או לפני כן.

לא זיהינו ניצול של הבעיות החדשות שדווחו על ידי לקוחות. החריגה היא הבעיה הקיימת (CVE-2015-3636). בקטע הפחתת סיכונים מפורטים פרטים על אמצעי ההגנה של פלטפורמת האבטחה של Android ועל אמצעי ההגנה של שירותים כמו SafetyNet, שמפחיתים את הסבירות לניצול מוצלח של נקודות חולשה באבטחה ב-Android.

חשוב לציין ששני עדכוני האבטחה הקריטיים (CVE-2015-3864 ו-CVE-2015-3686) מטפלים בנקודות חולשה שכבר נחשפו. בעדכון הזה אין פרצות אבטחה חדשות ברמת חומרה קריטית. הערכת החומרה מבוססת על ההשפעה האפשרית של ניצול נקודת החולשה על מכשיר מושפע, בהנחה שהאמצעים להפחתת הסיכון בפלטפורמה ובשירות מושבתים למטרות פיתוח או אם עוקפים אותם בהצלחה.

אנחנו ממליצים לכל הלקוחות להתקין את העדכונים האלה במכשירים שלהם.

השבתה זמנית של אותות אכיפה

זהו סיכום של אמצעי ההגנה שמספקים פלטפורמת האבטחה של Android והגנות השירות כמו SafetyNet. היכולות האלה מקטינות את הסיכוי שגורמים זדוניים יצליחו לנצל פרצות אבטחה ב-Android.

  • בגרסאות חדשות יותר של פלטפורמת Android, שיפורים שונים מקשים על ניצול לרעה של הרבה בעיות ב-Android. אנחנו ממליצים לכל המשתמשים לעדכן לגרסה העדכנית ביותר של Android, אם אפשר.
  • צוות האבטחה של Android עוקב באופן פעיל אחרי ניצול לרעה באמצעות Verify Apps ו-SafetyNet, שיזהירו מפני אפליקציות שעלולות להזיק (PHA) שעומדות להיות מותקנות. אסור לפרסם ב-Google Play כלים לביצוע רוט במכשירים. כדי להגן על משתמשים שמתקינים אפליקציות ממקורות אחרים ולא מ-Google Play, התכונה "אימות אפליקציות" מופעלת כברירת מחדל ומזהירה את המשתמשים מפני אפליקציות מוכרות לביצוע רוט. התכונה "אימות אפליקציות" מנסה לזהות ולחסום התקנה של אפליקציות זדוניות ידועות שמנצלות פרצת אבטחה של הרחבת הרשאות. אם אפליקציה כזו כבר הותקנה, התכונה "אימות אפליקציות" תודיע למשתמש ותנסה להסיר את האפליקציות האלה.
  • בהתאם, אפליקציות Google Hangouts ו-Messenger לא מעבירות מדיה באופן אוטומטי לתהליכים כמו mediaserver.

תודות

אנחנו רוצים להודות לחוקרים הבאים על התרומה שלהם:

  • ‫Jordan Gruskovnjak מ-Exodus Intelligence‏ (‎@jgrusko): CVE-2015-3864
  • Michał Bednarski: CVE-2015-3845
  • Guang Gong of Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
  • ‫Brennan Lautner: ‏ CVE-2015-3863
  • jgor (@indiecom): CVE-2015-3860
  • Wish Wu of Trend Micro Inc. (@wish_wu): CVE-2015-3861
  • אריק דלצ'י ויי ז'אנג מ-Amazon Device Security‏: CVE-2015-3858

פרטים על נקודת החולשה באבטחה

בקטעים הבאים מפורטות פרצות האבטחה שמופיעות בעלון הזה. תמצאו פה תיאור של הבעיה, הסבר על חומרת הבעיה וטבלה עם הנתונים הבאים: CVE, הבאג המשויך, חומרת הבעיה, הגרסאות המושפעות ותאריך הדיווח. כשאפשר, קישרנו את השינוי ב-AOSP שפותר את הבעיה למזהה של הבאג. אם כמה עדכונים קשורים לאותו באג, אנחנו מקשרים מקורות נוספים ב-AOSP למספרים שמופיעים אחרי המזהה של הבאג.

פרצת אבטחה של הרצת קוד מרחוק ב-Mediaserver

במהלך עיבוד קובץ מדיה ועיבוד נתונים שנוצר במיוחד, נקודות חולשה ב-mediaserver עלולות לאפשר לתוקף לגרום לפגיעה בזיכרון ולהרצת קוד מרחוק כתהליך של mediaserver.

הפונקציונליות המושפעת מסופקת כחלק מרכזי של מערכת ההפעלה, ויש כמה אפליקציות שמאפשרות להגיע אליה באמצעות תוכן מרוחק, בעיקר MMS והפעלה של מדיה בדפדפן.

הבעיה הזו מדורגת ברמת חומרה קריטית כי היא מאפשרת הפעלה מרחוק של קוד בהקשר של שירות mediaserver. לשירות mediaserver יש גישה לשידורי אודיו ווידאו, וגם גישה להרשאות שלאפליקציות של צד שלישי בדרך כלל אין גישה אליהן.

הבעיה הזו קשורה ל-CVE-2015-3824 (ANDROID-20923261) שכבר דווח. עדכון האבטחה המקורי לא הספיק כדי לטפל בגרסה של הבעיה שדווחה במקור.

CVE באג בקישורים ל-AOSP מידת החומרה גרסאות שהושפעו
CVE-2015-3864 ANDROID-23034759 קריטית ‫5.1 ומטה

נקודת חולשה של הרשאות מורחבות בליבה (kernel)

נקודת חולשה שמאפשרת הרחבת הרשאות בטיפול של ליבת Linux בשקעי פינג, עלולה לאפשר לאפליקציה זדונית להריץ קוד שרירותי בהקשר של הליבה.

הבעיה הזו מדורגת כקריטית כי היא מאפשרת להריץ קוד בשירות עם הרשאות, לעקוף את אמצעי ההגנה של המכשיר ולפגוע בו באופן בלתי הפיך (כלומר, צריך לצרוב מחדש את מחיצת המערכת) בחלק מהמכשירים.

הבעיה הזו זוהתה לראשונה באופן ציבורי ב-1 במאי 2015. ניצול של נקודת החולשה הזו נכלל בכמה כלים ל"הפעלת הרשאות רוט" שבעלי המכשיר יכולים להשתמש בהם כדי לשנות את הקושחה במכשיר שלהם.

CVE באגים עם קישורים ל-AOSP מידת החומרה גרסאות שהושפעו
CVE-2015-3636 ANDROID-20770158 קריטית ‫5.1 ומטה

פרצת אבטחה שמאפשרת הרחבת הרשאות ב-Binder

פרצת אבטחה של הרחבת הרשאות ב-Binder עלולה לאפשר לאפליקציה זדונית להריץ קוד שרירותי בהקשר של התהליך של אפליקציה אחרת.

הבעיה הזו מדורגת ברמת חומרה גבוהה כי היא מאפשרת לאפליקציה זדונית לקבל הרשאות שלא נגישות לאפליקציה של צד שלישי.

CVE באגים עם קישורים ל-AOSP מידת החומרה גרסאות שהושפעו
CVE-2015-3845 ANDROID-17312693 רחב ‫5.1 ומטה
CVE-2015-1528 ANDROID-19334482 [2] רחב ‫5.1 ומטה

פרצת אבטחה שמאפשרת הרחבת הרשאות ב-Keystore

פרצת אבטחה שמאפשרת הרחבת הרשאות ב-Keystore עלולה לאפשר לאפליקציה זדונית להריץ קוד שרירותי בהקשר של שירות Keystore. זה יכול לאפשר שימוש לא מורשה במפתחות שמאוחסנים ב-Keystore, כולל מפתחות מבוססי-חומרה.

הבעיה הזו מדורגת ברמת חומרה גבוהה כי אפשר להשתמש בה כדי לקבל הרשאות שלא נגישות לאפליקציה של צד שלישי.

CVE באגים עם קישורים ל-AOSP מידת החומרה גרסאות שהושפעו
CVE-2015-3863 ANDROID-22802399 רחב ‫5.1 ומטה

פרצת אבטחה שמאפשרת הרחבת הרשאות באזור

פרצת אבטחה שמאפשרת הרחבת הרשאות ב-Region עלולה לאפשר לאפליקציה זדונית להריץ קוד שרירותי בהקשר של שירות היעד, באמצעות יצירת הודעה זדונית לשירות.

הבעיה הזו מדורגת ברמת חומרה גבוהה כי אפשר להשתמש בה כדי לקבל הרשאות שלא נגישות לאפליקציה של צד שלישי.

CVE באגים עם קישורים ל-AOSP מידת החומרה גרסאות שהושפעו
CVE-2015-3849 ‫ANDROID-20883006 ‏[2] רחב ‫5.1 ומטה

פרצת אבטחה שמאפשרת הרחבת הרשאות ב-SMS מאפשרת לעקוף את ההתראות

פרצת אבטחה שמאפשרת הרחבת הרשאות באופן שבו Android מעבד הודעות SMS, עלולה לאפשר לאפליקציה זדונית לשלוח הודעת SMS שעוקפת את התראת האזהרה לגבי SMS בתעריף פרימיום.

הבעיה הזו מדורגת ברמת חומרה גבוהה כי אפשר להשתמש בה כדי לקבל הרשאות שלא נגישות לאפליקציה של צד שלישי.

CVE באגים עם קישורים ל-AOSP מידת החומרה גרסאות שהושפעו
CVE-2015-3858 ANDROID-22314646 רחב ‫5.1 ומטה

פרצת אבטחה שמאפשרת הרחבת הרשאות במסך הנעילה

פרצת אבטחה שמאפשרת הרחבת הרשאות במסך הנעילה עלולה לאפשר למשתמש זדוני לעקוף את מסך הנעילה על ידי גרימת קריסה שלו. הבעיה הזו מסווגת כפרצת אבטחה רק ב-Android בגרסאות 5.0 ו-5.1. אמנם אפשר לגרום לקריסה של ממשק המשתמש של המערכת ממסך הנעילה בדרך דומה בגרסה 4.4, אבל אי אפשר לגשת למסך הבית וצריך להפעיל מחדש את המכשיר כדי לשחזר אותו.

הבעיה הזו מדורגת ברמת חומרה בינונית כי היא מאפשרת למישהו עם גישה פיזית למכשיר להתקין אפליקציות של צד שלישי בלי שהבעלים של המכשיר יאשר את ההרשאות. היא גם יכולה לאפשר לתוקף לראות נתונים של אנשי קשר, יומני שיחות, הודעות SMS ונתונים אחרים שבדרך כלל מוגנים באמצעות הרשאה ברמת "מסוכן".

CVE באגים עם קישורים ל-AOSP מידת החומרה גרסאות שהושפעו
CVE-2015-3860 ANDROID-22214934 בינוני ‫5.1 ו-5.0

פרצת אבטחה שמאפשרת התקפת מניעת שירות (DoS) ב-Mediaserver

פרצת אבטחה שמאפשרת התקפת מניעת שירות (DoS) ב-mediaserver עלולה לאפשר לתוקף מקומי לחסום באופן זמני את הגישה למכשיר המושפע.

הבעיה הזו מדורגת כבעיה בחומרה נמוכה כי משתמש יכול להפעיל מחדש את המכשיר במצב בטוח כדי להסיר אפליקציה זדונית שמנצלת את הבעיה הזו. אפשר גם לגרום ל-mediaserver לעבד את הקובץ הזדוני מרחוק דרך האינטרנט או באמצעות MMS. במקרה כזה, התהליך של mediaserver קורס ואפשר להמשיך להשתמש במכשיר.

CVE באגים עם קישורים ל-AOSP מידת החומרה גרסאות שהושפעו
CVE-2015-3861 ANDROID-21296336 נמוכה ‫5.1 ומטה