| <html devsite><head> |
| <title>Android 安全建议 - 2016 年 3 月 18 日</title> |
| <meta name="project_path" value="/_project.yaml"/> |
| <meta name="book_path" value="/_book.yaml"/> |
| </head> |
| <body> |
| <!-- |
| Copyright 2017 The Android Open Source Project |
| |
| Licensed under the Apache License, Version 2.0 (the "License"); |
| you may not use this file except in compliance with the License. |
| You may obtain a copy of the License at |
| |
| http://www.apache.org/licenses/LICENSE-2.0 |
| |
| Unless required by applicable law or agreed to in writing, software |
| distributed under the License is distributed on an "AS IS" BASIS, |
| WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied. |
| See the License for the specific language governing permissions and |
| limitations under the License. |
| --> |
| |
| <p><em>发布时间:2016 年 3 月 18 日</em></p> |
| |
| <p>Android 安全建议是对 Nexus 安全公告的补充。如需关于安全建议的更多信息,请参阅我们的<a href="index.html">摘要页面</a>。</p> |
| |
| <h2 id="summary">摘要</h2> |
| |
| <p>Google 注意到,某个 Root 应用会利用部分 Android 设备的内核中某个未被补丁程序修复的本地提权漏洞 (<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1805">CVE-2015-1805</a>)。只有用户在设备上安装该应用后,设备才会受到该应用的影响。Google 已通过<a href="https://support.google.com/accounts/answer/2812853">验证应用</a>功能阻止用户在 Google Play 内外安装会利用该漏洞的 Root 应用。此外,Google 还更新了系统,以便检测会利用这一特定漏洞的应用。</p> |
| |
| <p>为了针对该问题提供最后一道防护屏障,我们已在 2016 年 3 月 16 日向合作伙伴提供用于修复该问题的补丁程序。我们正在准备 Nexus 更新版本,近日就会发布。此外,我们还在 Android 开放源代码项目 (AOSP) 代码库中发布了针对该问题的源代码补丁程序。</p> |
| |
| <h3 id="background">背景信息</h3> |
| |
| <p>该问题是上游 Linux 内核中的已知问题,已于 2014 年 4 月得到修复,但直到 2015 年 2 月 2 日才被列为安全修复问题并获派编号 <a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1805">CVE-2015-1805</a>。2016 年 2 月 19 日,C0RE 团队向 Google 发出通知,指出有心人士可能会在 Android 设备上利用这个问题。他们开发的补丁程序会收录到即将发布的每月定期更新中。</p> |
| |
| <p>2016 年 3 月 15 日,Google 收到了 Zimperium 的报告,称有人在 Nexus 5 设备上滥用这个漏洞。Google 已确认,有一款公开发行的 Root 应用通过在 Nexus 5 和 Nexus 6 上滥用该漏洞来为设备用户提供 Root 权限。</p> |
| |
| <p>由于该问题可能会让有心人士获取本地特权并执行任意代码,从而导致本地设备永久损坏,因此我们将该问题的严重程度评为<a href="/security/overview/updates-resources.html#severity">“严重”</a>。</p> |
| |
| <h3 id="scope">范围</h3> |
| |
| <p>该安全建议适用于所有内核版本为 3.4、3.10 和 3.14 且未安装补丁程序的 Android 设备(包括所有 Nexus 设备)。Linux 内核版本为 3.18 或更高版本的 Android 设备不会受到影响。</p> |
| |
| <h3 id="mitigations">缓解措施</h3> |
| |
| <p>下列缓解措施有助于降低用户受该问题影响的可能性:</p> |
| |
| <ul> |
| <li>“验证应用”功能已进行了更新,能够阻止用户在 Google Play 内外安装会试图利用该漏洞的已知应用。 |
| </li><li>Google Play 禁止 Root 应用(例如会试图利用该问题的应用)上架。 |
| </li><li><a href="https://support.google.com/nexus/answer/4457705">Linux 内核版本为 3.18</a> 或更高版本的 Android 设备不会受到影响。 |
| </li></ul> |
| |
| <h3 id="acknowledgements">致谢</h3> |
| |
| <p>Android 衷心感谢 <a href="http://c0reteam.org/">C0RE 团队</a>和 <a href="https://www.zimperium.com/">Zimperium</a> 对该安全建议做出的贡献。</p> |
| |
| <h3 id="suggested_actions">建议操作</h3> |
| |
| <p>Android 建议所有用户在有设备软件更新时,进行相应更新。</p> |
| |
| <h3 id="fixes">修复程序</h3> |
| |
| <p>Google 已针对多个内核版本在 AOSP 代码库中发布修复程序。我们已向 Android 合作伙伴发出相关修复程序的通知,并建议他们采用。如需进一步更新,Android 会直接将更新内容发布到 AOSP。</p> |
| |
| <table> |
| <tbody><tr> |
| <th>内核版本</th> |
| <th>补丁程序</th> |
| </tr> |
| <tr> |
| <td>3.4</td> |
| <td><a href="https://android.googlesource.com/kernel/common/+/f7ebfe91b806501808413c8473a300dff58ddbb5">AOSP 补丁程序</a></td> |
| </tr> |
| <tr> |
| <td>3.10</td> |
| <td><a href="https://android.googlesource.com/kernel/common/+/4a5a45669796c5b4617109182e25b321f9f00beb">AOSP 补丁程序</a></td> |
| </tr> |
| <tr> |
| <td>3.14</td> |
| <td><a href="https://android.googlesource.com/kernel/common/+/bf010e99c9bc48002f6bfa1ad801a59bf996270f">AOSP 补丁程序</a></td> |
| </tr> |
| <tr> |
| <td>3.18+</td> |
| <td>公开 Linux 内核已打了补丁程序</td> |
| </tr> |
| </tbody></table> |
| |
| <h2 id="common_questions_and_answers">常见问题和解答</h2> |
| |
| <p><strong>1. 具体问题是什么? |
| </strong></p> |
| |
| <p>内核中的提权漏洞可让本地恶意应用通过内核执行任意代码。由于该漏洞有可能会造成本地设备永久损坏,而您可能需要通过重写操作系统来修复设备,因此我们将其严重程度评为“严重”。</p> |
| |
| <p><strong>2. 攻击者会如何利用该问题?</strong></p> |
| |
| <p>用户若安装试图利用该问题的应用,则会面临风险。Google Play 已禁止 Root 应用(例如会利用该问题的应用)上架。此外,Google 还会通过“验证应用”功能阻止用户在 Google Play 外部安装此类应用。这样一来,攻击者就必须设法说服用户手动安装相关应用。</p> |
| |
| <p><strong>3. 哪些设备会受到影响?</strong></p> |
| |
| <p>Google 已确认该漏洞会影响 Nexus 5 和 Nexus 6;不过,所有未安装补丁程序的 Android 版本都可能会受到这项漏洞的影响。</p> |
| |
| <p><strong>4. Google 是否已发现该漏洞遭到滥用的证据?</strong></p> |
| |
| <p>是的,Google 已发现相关证据,可以证实有人通过公开发布的 Root 工具在 Nexus 5 上滥用该漏洞。不过,Google 尚未发现可归类为“恶意”的运用行为。</p> |
| |
| <p><strong>5. Google 会如何解决该问题?</strong></p> |
| |
| <p><a href="https://static.googleusercontent.com/media/source.android.com/en//security/reports/Android_WhitePaper_Final_02092016.pdf">Google Play</a> 会禁止试图利用该问题的应用上架。与此同时,我们还会通过“验证应用”功能阻止用户在 Google Play 外部安装会试图利用该问题的应用。另外,只要有可用的更新,Google Nexus 设备就会立即安装补丁程序;我们也已通知 Android 合作伙伴,以便他们能同时发布类似更新。</p> |
| |
| <p><strong>6. 如何确认我的设备是否已安装该问题的修复程序?</strong></p> |
| |
| <p>Android 已向合作伙伴提供两种方法,以便他们告知用户其设备是否受此问题的影响。安全补丁程序级别为 2016 年 3 月 18 日的 Android 设备不会受到影响。安全补丁程序级别为 2016 年 4 月 2 日(或之后的日期)的 Android 设备也不会受到该问题的影响。请参阅<a href="https://support.google.com/nexus/answer/4457705">这篇文章</a>中提供的相关说明,了解如何检查安全补丁程序级别。</p> |
| |
| <h2 id="revisions">修订版本</h2> |
| |
| <ul> |
| <li>2016 年 3 月 18 日:发布了安全建议。 |
| </li></ul> |
| |
| </body></html> |