Bollettino sulla sicurezza Nexus - Settembre 2015

Data di pubblicazione: 9 settembre 2015

Abbiamo rilasciato un aggiornamento della sicurezza per i dispositivi Nexus tramite un aggiornamento over-the-air (OTA) nell'ambito del nostro processo di rilascio mensile del Bollettino sulla sicurezza di Android (build LMY48M). Gli aggiornamenti per i dispositivi Nexus e le patch del codice sorgente per questi problemi sono stati rilasciati anche nel repository del codice sorgente di Android Open Source Project (AOSP). Il più grave di questi problemi è una vulnerabilità di sicurezza critica che potrebbe consentire l'esecuzione di codice da remoto su un dispositivo interessato.

Le immagini del firmware Nexus sono state rilasciate anche sul sito Google Developers. Le build LMY48M o successive risolvono questi problemi. I partner sono stati informati di questi problemi il 13 agosto 2015 o in precedenza.

Non abbiamo rilevato alcuno sfruttamento da parte dei clienti dei problemi segnalati di recente. L'eccezione è il problema esistente (CVE-2015-3636). Consulta la sezione Mitigazioni per informazioni dettagliate sulle protezioni della piattaforma di sicurezza Android e sulle protezioni dei servizi come SafetyNet, che riducono la probabilità che le vulnerabilità di sicurezza possano essere sfruttate con successo su Android.

Tieni presente che entrambi gli aggiornamenti della sicurezza critici (CVE-2015-3864 e CVE-2015-3686) risolvono vulnerabilità già divulgate. In questo aggiornamento non sono presenti vulnerabilità di sicurezza critiche divulgate di recente. La valutazione della gravità si basa sull'effetto che lo sfruttamento della vulnerabilità potrebbe avere su un dispositivo interessato, supponendo che le mitigazioni della piattaforma e del servizio siano disabilitate per scopi di sviluppo o se vengono aggirate con successo.

Invitiamo tutti i clienti ad accettare questi aggiornamenti sui loro dispositivi.

Mitigazioni

Questo è un riepilogo delle mitigazioni fornite dalla piattaforma di sicurezza Android e dalle protezioni dei servizi come SafetyNet. Queste funzionalità riducono la probabilità che le vulnerabilità di sicurezza possano essere sfruttate con successo su Android.

  • Lo sfruttamento di molti problemi su Android è reso più difficile dai miglioramenti apportati alle versioni più recenti della piattaforma Android. Invitiamo tutti gli utenti ad aggiornare all'ultima versione di Android, se possibile.
  • Il team di sicurezza di Android monitora attivamente gli abusi con Verifica app e SafetyNet, che avvisano l'utente della presenza di applicazioni potenzialmente dannose in fase di installazione. Gli strumenti di rooting dei dispositivi sono vietati su Google Play. Per proteggere gli utenti che installano applicazioni da fonti esterne a Google Play, Verifica app è attiva per impostazione predefinita e avvisa gli utenti della presenza di applicazioni di rooting note. Verifica app tenta di identificare e bloccare l'installazione di applicazioni dannose note che sfruttano una vulnerabilità di escalation dei privilegi. Se un'applicazione di questo tipo è già stata installata, Verifica app avviserà l'utente e tenterà di rimuoverla.
  • A seconda dei casi, le applicazioni Google Hangouts e Messenger non trasmettono automaticamente i contenuti multimediali a processi come mediaserver.

Ringraziamenti

Vogliamo ringraziare questi ricercatori per il loro contributo:

  • Jordan Gruskovnjak di Exodus Intelligence (@jgrusko): CVE-2015-3864
  • Michał Bednarski: CVE-2015-3845
  • Guang Gong di Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
  • Brennan Lautner: CVE-2015-3863
  • jgor (@indiecom): CVE-2015-3860
  • Wish Wu di Trend Micro Inc. (@wish_wu): CVE-2015-3861
  • Eric Dalci e Yi Zhang di Amazon Device Security: CVE-2015-3858

Dettagli della vulnerabilità di sicurezza

Nelle sezioni seguenti, forniamo i dettagli di ciascuna delle vulnerabilità di sicurezza presenti in questo bollettino. Sono presenti una descrizione del problema, una motivazione della gravità e una tabella con il CVE, il bug associato, la gravità, le versioni interessate e la data di segnalazione. Se disponibile, abbiamo collegato la modifica di AOSP che ha risolto il problema all'ID bug. Quando più modifiche si riferiscono a un singolo bug, i riferimenti AOSP aggiuntivi sono collegati ai numeri che seguono l'ID bug.

Vulnerabilità di esecuzione di codice da remoto in Mediaserver

Durante l'elaborazione di file multimediali e il trattamento dati di un file creato appositamente, le vulnerabilità nel mediaserver potrebbero consentire a un utente malintenzionato di causare il danneggiamento della memoria e l'esecuzione di codice da remoto come processo del mediaserver.

La funzionalità interessata è fornita come parte fondamentale del sistema operativo e sono presenti più applicazioni che consentono di raggiungerla con contenuti remoti, in particolare MMS e riproduzione di contenuti multimediali nel browser.

Questo problema è stato classificato con gravità critica a causa della possibilità di esecuzione di codice da remoto nel contesto del servizio mediaserver. Il servizio mediaserver ha accesso agli stream audio e video, nonché ai privilegi a cui le app di terze parti non possono normalmente accedere.

Questo problema è correlato alla vulnerabilità CVE-2015-3824 (ANDROID-20923261) già segnalata. L'aggiornamento della sicurezza originale non era sufficiente per risolvere una variante di questo problema segnalato in origine.

CVE Bug con i link AOSP Gravità Versioni interessate
CVE-2015-3864 ANDROID-23034759 Critico 5.1 e versioni precedenti

Vulnerabilità di escalation dei privilegi nel kernel

Una vulnerabilità di escalation dei privilegi nella gestione dei socket di ping del kernel Linux potrebbe consentire a un'applicazione dannosa di eseguire codice arbitrario nel contesto del kernel.

Questo problema è stato classificato come di gravità critica a causa della possibilità di esecuzione di codice in un servizio con privilegi che può aggirare le protezioni del dispositivo, con il rischio di una compromissione permanente (ovvero che richiede il flashing della partizione di sistema) su alcuni dispositivi.

Questo problema è stato identificato pubblicamente per la prima volta il 1° maggio 2015. Un exploit di questa vulnerabilità è stato incluso in una serie di strumenti di "rooting" che potrebbero essere utilizzati dal proprietario del dispositivo per modificare il firmware sul proprio dispositivo.

CVE Bug con link AOSP Gravità Versioni interessate
CVE-2015-3636 ANDROID-20770158 Critico 5.1 e versioni precedenti

Vulnerabilità di escalation dei privilegi in Binder

Una vulnerabilità di escalation dei privilegi in Binder potrebbe consentire a un'applicazione dannosa di eseguire codice arbitrario nel contesto del processo di un'altra app.

Questo problema è stato classificato con gravità Alta perché consente a un'applicazione dannosa di ottenere privilegi non accessibili a un'applicazione di terze parti.

CVE Bug con link AOSP Gravità Versioni interessate
CVE-2015-3845 ANDROID-17312693 Alta 5.1 e versioni precedenti
CVE-2015-1528 ANDROID-19334482 [2] Alta 5.1 e versioni precedenti

Vulnerabilità di elevazione dei privilegi in Keystore

Una vulnerabilità di escalation dei privilegi in Keystore potrebbe consentire a un'applicazione dannosa di eseguire codice arbitrario nel contesto del servizio Keystore. Ciò potrebbe consentire l'utilizzo non autorizzato delle chiavi archiviate da Keystore, incluse le chiavi con integrazione hardware.

Questo problema è considerato di gravità Alta perché può essere utilizzato per ottenere privilegi non accessibili a un'applicazione di terze parti.

CVE Bug con link AOSP Gravità Versioni interessate
CVE-2015-3863 ANDROID-22802399 Alta 5.1 e versioni precedenti

Vulnerabilità di escalation dei privilegi nella regione

Una vulnerabilità di escalation dei privilegi in Region potrebbe, tramite la creazione di un messaggio dannoso per un servizio, consentire a un'applicazione dannosa di eseguire codice arbitrario nel contesto del servizio target.

Questo problema è considerato di gravità Alta perché può essere utilizzato per ottenere privilegi non accessibili a un'applicazione di terze parti.

CVE Bug con link AOSP Gravità Versioni interessate
CVE-2015-3849 ANDROID-20883006 [2] Alta 5.1 e versioni precedenti

La vulnerabilità di elevazione dei privilegi negli SMS consente di bypassare le notifiche

Una vulnerabilità di escalation dei privilegi nel modo in cui Android elabora i messaggi SMS potrebbe consentire a un'applicazione dannosa di inviare un SMS che bypassa la notifica di avviso per gli SMS a pagamento.

Questo problema è considerato di gravità Alta perché può essere utilizzato per ottenere privilegi non accessibili a un'applicazione di terze parti.

CVE Bug con link AOSP Gravità Versioni interessate
CVE-2015-3858 ANDROID-22314646 Alta 5.1 e versioni precedenti

Vulnerabilità di elevazione dei privilegi nella schermata di blocco

Una vulnerabilità di escalation dei privilegi nella schermata di blocco potrebbe consentire a un utente malintenzionato di bypassare la schermata di blocco causandone l'arresto anomalo. Questo problema è classificato come vulnerabilità solo su Android 5.0 e 5.1. Sebbene sia possibile causare l'arresto anomalo della UI di sistema dalla schermata di blocco in modo simile su 4.4, non è possibile accedere alla schermata Home e il dispositivo deve essere riavviato per il ripristino.

Questo problema è stato classificato con gravità moderata perché potrebbe consentire a una persona con accesso fisico a un dispositivo di installare app di terze parti senza che il proprietario del dispositivo approvi le autorizzazioni. Può anche consentire all'utente malintenzionato di visualizzare i dati di contatto, i registri delle chiamate, i messaggi SMS e altri dati che normalmente sono protetti con un'autorizzazione di livello "pericoloso".

CVE Bug con link AOSP Gravità Versioni interessate
CVE-2015-3860 ANDROID-22214934 Moderato 5.1 e 5.0

Vulnerabilità di tipo Denial of Service nel mediaserver

Una vulnerabilità di tipo Denial of Service in mediaserver potrebbe consentire a un malintenzionato locale di bloccare temporaneamente l'accesso a un dispositivo interessato.

Questo problema è stato classificato con gravità bassa perché un utente potrebbe riavviare in modalità provvisoria per rimuovere un'applicazione dannosa che sfrutta questo problema. È anche possibile fare in modo che mediaserver elabori il file dannoso da remoto tramite il web o tramite MMS. In questo caso, il processo mediaserver si arresta in modo anomalo e il dispositivo rimane utilizzabile.

CVE Bug con link AOSP Gravità Versioni interessate
CVE-2015-3861 ANDROID-21296336 Bassa 5.1 e versioni precedenti