Google Git
Sign in
android / platform / docs / source.android.com / fb789314a92670246a8254d97e62f2a9c61f00ad / . / ru / security / bulletin / 2016-02-01.html
blob: 669367077198efef737683d4349face24ac7feb1 [file] [log] [blame]
<html devsite><head>
<title>Бюллетень по безопасности Nexus – февраль 2016 г.</title>
<meta name="project_path" value="/_project.yaml"/>
<meta name="book_path" value="/_book.yaml"/>
</head>
<body>
<!--
Copyright 2017 The Android Open Source Project
Licensed under the Apache License, Version 2.0 (the "License");
you may not use this file except in compliance with the License.
You may obtain a copy of the License at
http://www.apache.org/licenses/LICENSE-2.0
Unless required by applicable law or agreed to in writing, software
distributed under the License is distributed on an "AS IS" BASIS,
WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
See the License for the specific language governing permissions and
limitations under the License.
-->
<p><em>Опубликовано 1 февраля 2016 г. | Обновлено 7 марта 2016 г.</em></p>
<p>К выходу ежемесячного бюллетеня о безопасности Android мы выпустили
автоматическое обновление системы безопасности для устройств Nexus
и опубликовали образы прошивок Nexus на <a href="https://developers.google.com/android/nexus/images">сайте для разработчиков</a>.
Перечисленные
проблемы устранены в сборке LMY49G и более поздних версиях, а также в
Android M с исправлением от 1 февраля 2016 года или более новым. Информацию о том, как проверить обновления системы безопасности, можно найти в <a href="https://support.google.com/nexus/answer/4457705">документации Nexus</a>.</p>
<p>Мы сообщили партнерам об уязвимостях 4 января 2016 года или ранее. Исправления проблем загружены в хранилище
Android Open Source Project (AOSP).</p>
<p>Наиболее серьезная из уязвимостей имеет критический уровень и позволяет
удаленно выполнять код на пораженном устройстве (например, при работе
с электронной почтой, просмотре сайтов в Интернете или обработке
медиафайлов MMS). Кроме того, критический уровень присвоен уязвимости Wi-Fi-драйвера Broadcom, поскольку она позволяет удаленно выполнять код на пораженном устройстве, когда пользователь и злоумышленник подключены к одной сети. <a href="/security/overview/updates-resources.html#severity">Уровень серьезности</a> зависит от того, какой ущерб будет нанесен устройству при атаке с использованием уязвимости, если средства защиты будут отключены разработчиком или взломаны.</p>
<p>У нас нет информации о том, что обнаруженные уязвимости эксплуатировались. В разделе <a href="#mitigations">Предотвращение атак</a> рассказывается, как <a href="/security/enhancements/index.html">платформа безопасности</a> и средства защиты сервисов, например SafetyNet, помогают снизить вероятность атак на Android. Мы рекомендуем всем пользователям установить перечисленные в разделе обновления.</p>
<h3 id="mitigations">Предотвращение атак</h3>
<p>Ниже рассказывается, как <a href="/security/enhancements/index.html">платформа безопасности</a> и средства защиты сервисов, например SafetyNet, позволяют снизить вероятность атак на Android.</p>
<ul>
<li> Использование многих уязвимостей затрудняется в новых версиях Android, поэтому мы рекомендуем всем пользователям своевременно обновлять систему.
</li><li> Команда, отвечающая за безопасность Android, активно отслеживает злоупотребления с помощью Проверки приложений и SafetyNet. Эти сервисы предупреждают пользователя об установке потенциально вредоносных приложений. Инструменты для рутинга в Google Play запрещены. Чтобы защитить пользователей, которые устанавливают ПО из сторонних
источников, функция "Проверка приложений" включена по умолчанию.
При этом система предупреждает пользователей об известных
рутинг-приложениях. Кроме того, она пытается идентифицировать известное
вредоносное ПО, использующее уязвимость для повышения привилегий,
и блокировать его установку. Если подобное ПО уже установлено, система
уведомит об этом пользователя и попытается удалить приложение.
</li><li> Приложения Google Hangouts и Messenger не передают медиафайлы таким
процессам, как mediaserver, автоматически.
</li></ul>
<h3 id="acknowledgements">Благодарности</h3>
<p>Благодарим всех, кто помог обнаружить уязвимости:</p>
<ul>
<li> Команды безопасности Android и Chrome: CVE-2016-0809, CVE-2016-0810.
</li><li> Команда Broadgate: CVE-2016-0801, CVE-2015-0802.
</li><li> Чиачи У (<a href="https://twitter.com/chiachih_wu">@chiachih_wu</a>), Минцзянь Чжоу (<a href="https://twitter.com/Mingjian_Zhou">@Mingjian_Zhou</a>) и Сюйсянь Цзян из <a href="http://c0reteam.org">C0RE Team</a>, <a href="http://www.360safe.com/">Qihoo 360</a>: CVE-2016-0804.
</li><li> Дэвид Райли из команды Google Pixel C: CVE-2016-0812.
</li><li> Гэнцзя Чэнь (<a href="https://twitter.com/@chengjia4574">@chengjia4574</a>) из Lab IceSword, Qihoo 360: CVE-2016-0805.
</li><li> Цидань Хэ (<a href="https://twitter.com/@Flanker_hqd">@Flanker_hqd</a>) из KeenLab (<a href="https://twitter.com/keen_lab">@keen_lab</a>), Tencent: CVE-2016-0811.
</li><li> Севен Шэнь (<a href="https://twitter.com/@lingtongshen">@lingtongshen</a>) из Trend Micro (<a href="http://www.trendmicro.com">www.trendmicro.com</a>): CVE-2016-0803.
</li><li> Вэйчао Сунь (<a href="https://twitter.com/sunblate">@sunblate</a>) из Alibaba Inc.: CVE-2016-0808.
</li><li> Зак Риггл (<a href="https://twitter.com/@ebeip90">@ebeip90</a>) из команды безопасности Android: CVE-2016-0807.
</li></ul>
<h2 id="security_vulnerability_details">Описание уязвимостей</h2>
<p>В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в обновлении системы безопасности 2016-02-01:
описание, обоснование серьезности, а также таблицу с CVE, ссылкой на ошибку, уровнем серьезности, уязвимыми версиями и датой сообщения об ошибке.
Где возможно, мы приводим основную ссылку на сообщение в AOSP, связанное с идентификатором ошибки, и дополнительные ссылки в квадратных скобках.</p>
<h3 id="remote_code_execution_vulnerability_in_broadcom_wi-fi_driver">Удаленное выполнение кода в Wi-Fi-драйвере Broadcom</h3>
<p>Уязвимости позволяют злоумышленнику нарушить целостность памяти ядра с помощью специально созданных пакетов управляющих сообщений для беспроводных сетей и удаленно выполнить код в контексте ядра. Это
может произойти в том случае, если пользователь устройства и злоумышленник
подключены к одной сети. Уязвимости присвоен критический уровень из-за
возможности удаленного выполнения кода в контексте ядра без вмешательства
пользователя.</p>
<table>
<tbody><tr>
<th>CVE</th>
<th>Ошибки</th>
<th>Уровень серьезности</th>
<th>Обновленные версии</th>
<th>Дата сообщения об ошибке</th>
</tr>
<tr>
<td>CVE-2016-0801</td>
<td><a href="https://android.googlesource.com/kernel/msm/+/68cdc8df1cb6622980b791ce03e99c255c9888af%5E!">ANDROID-25662029</a><br />
<a href="https://android.googlesource.com/kernel/msm/+/68cdc8df1cb6622980b791ce03e99c255c9888af%5E!">ANDROID-25662233</a></td>
<td>Критический</td>
<td>4.4.4, 5.0, 5.1.1, 6.0, 6.0.1</td>
<td>25 октября 2015 г.</td>
</tr>
<tr>
<td>CVE-2016-0802</td>
<td><a href="https://android.googlesource.com/kernel/msm/+/3fffc78f70dc101add8b82af878d53457713d005%5E%21/">ANDROID-25306181</a></td>
<td>Критический</td>
<td>4.4.4, 5.0, 5.1.1, 6.0, 6.0.1</td>
<td>26 октября 2015 г.</td>
</tr>
</tbody></table>
<h3 id="remote_code_execution_vulnerability_in_mediaserver">Удаленное выполнение кода через mediaserver</h3>
<p>При обработке медиафайлов и данных в специально созданном файле
злоумышленник может воспользоваться уязвимостью mediaserver, нарушить
целостность информации в памяти и удаленно выполнить код как процесс
mediaserver.</p>
<p>Уязвимая функция является основной составляющей ОС. Многие приложения
позволяют контенту, особенно MMS-сообщениям и воспроизводимым
в браузере медиафайлам, дистанционно обращаться к ней.</p>
<p>Уязвимости присвоен критический уровень из-за возможности удаленного
выполнения кода в контексте сервиса mediaserver. У него есть доступ к аудио-
и видеопотокам, а также к привилегиям, закрытым для сторонних приложений.</p>
<table>
<tbody><tr>
<th>CVE</th>
<th>Ошибки со ссылками на AOSP</th>
<th>Уровень серьезности</th>
<th>Обновленные версии</th>
<th>Дата сообщения об ошибке</th>
</tr>
<tr>
<td>CVE-2016-0803</td>
<td><a href="https://android.googlesource.com/platform%2Fframeworks%2Fav/+/50270d98e26fa18b20ca88216c3526667b724ba7">ANDROID-25812794</a></td>
<td>Критический</td>
<td>4.4.4, 5.0, 5.1.1, 6.0, 6.0.1</td>
<td>19 ноября 2015 г.</td>
</tr>
<tr>
<td>CVE-2016-0804</td>
<td><a href="https://android.googlesource.com/platform%2Fframeworks%2Fav/+/224858e719d045c8554856b12c4ab73d2375cf33">ANDROID-25070434</a></td>
<td>Критический</td>
<td>5.0, 5.1.1, 6.0, 6.0.1</td>
<td>12 октября 2015 г.</td>
</tr>
</tbody></table>
<h3 id="elevation_of_privilege_vulnerability_in_qualcomm_performance_module">Повышение привилегий через модуль производительности процессора Qualcomm</h3>
<p>Уязвимость обнаружена в диспетчере событий производительности для
ARM-процессоров Qualcomm. Она позволяет локальному вредоносному ПО
выполнять произвольный код в контексте ядра. Уязвимости присвоен критический
уровень, поскольку из-за нее нарушается работа системы безопасности.
Для устранения проблемы нужно переустановить ОС.</p>
<table>
<tbody><tr>
<th>CVE</th>
<th>Ошибка</th>
<th>Уровень серьезности</th>
<th>Обновленные версии</th>
<th>Дата сообщения об ошибке</th>
</tr>
<tr>
<td>CVE-2016-0805</td>
<td>ANDROID-25773204*</td>
<td>Критический</td>
<td>4.4.4, 5.0, 5.1.1, 6.0, 6.0.1</td>
<td>15 ноября 2015 г.</td>
</tr>
</tbody></table>
<p>*Исправление не опубликовано в AOSP. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на <a href="https://developers.google.com/android/nexus/drivers">сайте для разработчиков</a>.</p>
<h3 id="elevation_of_privilege_vulnerability_in_qualcomm_wifi_driver">Повышение привилегий через Wi-Fi-драйвер Qualcomm</h3>
<p>Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен критический уровень, поскольку из-за нее нарушается работа системы безопасности. Возможно, для ее устранения потребуется переустановить ОС.</p>
<table>
<tbody><tr>
<th>CVE</th>
<th>Ошибка</th>
<th>Уровень серьезности</th>
<th>Обновленные версии</th>
<th>Дата сообщения об ошибке</th>
</tr>
<tr>
<td>CVE-2016-0806</td>
<td>ANDROID-25344453*</td>
<td>Критический</td>
<td>4.4.4, 5.0, 5.1.1, 6.0, 6.0.1</td>
<td>15 ноября 2015 г.</td>
</tr>
</tbody></table>
<p>*Исправление не опубликовано в AOSP. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на <a href="https://developers.google.com/android/nexus/drivers">сайте для разработчиков</a>.</p>
<h3 id="elevation_of_privilege_vulnerability_in_the_debuggerd">Повышение привилегий через Debuggerd </h3>
<p>Уязвимость компонента Debuggerd позволяет локальному вредоносному ПО
выполнять произвольный код на устройстве, используя root-права. Проблеме присвоен критический уровень, поскольку из-за нее нарушается работа
системы безопасности. Для устранения уязвимости нужно переустановить ОС.</p>
<table>
<tbody><tr>
<th>CVE</th>
<th>Ошибка со ссылкой на AOSP</th>
<th>Уровень серьезности</th>
<th>Обновленные версии</th>
<th>Дата сообщения об ошибке</th>
</tr>
<tr>
<td>CVE-2016-0807</td>
<td><a href="https://android.googlesource.com/platform%2Fsystem%2Fcore/+/d917514bd6b270df431ea4e781a865764d406120">ANDROID-25187394</a></td>
<td>Критический</td>
<td>6.0, 6.0.1</td>
<td>Доступно только сотрудникам Google</td>
</tr>
</tbody></table>
<h3 id="denial_of_service_vulnerability_in_minikin">Отказ в обслуживании в Minikin</h3>
<p>Уязвимость в библиотеке Minikin позволяет локальному взломщику временно
заблокировать доступ к пораженному устройству. Злоумышленник может
инициировать загрузку ненадежного шрифта, что вызовет переполнение Minikin и
сбой в работе устройства. Уязвимости присвоен высокий уровень серьезности,
поскольку из-за отказа в обслуживании начинается бесконечная цепочка перезагрузок
устройства.</p>
<table>
<tbody><tr>
<th>CVE</th>
<th>Ошибка со ссылкой на AOSP</th>
<th>Уровень серьезности</th>
<th>Обновленные версии</th>
<th>Дата сообщения об ошибке</th>
</tr>
<tr>
<td>CVE-2016-0808</td>
<td><a href="https://android.googlesource.com/platform/frameworks/minikin/+/ed4c8d79153baab7f26562afb8930652dfbf853b">ANDROID-25645298</a></td>
<td>Высокий</td>
<td>5.0, 5.1.1, 6.0, 6.0.1</td>
<td>3 ноября 2015 г.</td>
</tr>
</tbody></table>
<h3 id="elevation_of_privilege_vulnerability_in_wi-fi">Повышение привилегий через Wi-Fi</h3>
<p>Уязвимость компонента Wi-Fi позволяет локальному вредоносному ПО выполнить произвольный код в контексте системы. Эксплуатация уязвимости возможна только в том случае, если злоумышленник находится рядом с устройством.
Проблеме присвоен высокий уровень серьезности, поскольку из-за нее можно удаленно получить разрешения уровня <a href="http://developer.android.com/guide/topics/manifest/permission-element.html#plevel">normal</a> (стандартные). Как правило, они доступны только сторонним приложениям, установленным на устройстве.</p>
<table>
<tbody><tr>
<th>CVE</th>
<th>Ошибка со ссылкой на AOSP</th>
<th>Уровень серьезности</th>
<th>Обновленные версии</th>
<th>Дата сообщения об ошибке</th>
</tr>
<tr>
<td>CVE-2016-0809</td>
<td><a href="https://android.googlesource.com/platform/hardware/broadcom/wlan/+/2c5a4fac8bc8198f6a2635ede776f8de40a0c3e1%5E%21/#F0">ANDROID-25753768</a></td>
<td>Высокий</td>
<td>6.0, 6.0.1</td>
<td>Доступно только сотрудникам Google</td>
</tr>
</tbody></table>
<h3 id="elevation_of_privilege_vulnerability_in_mediaserver">Повышение привилегий через mediaserver </h3>
<p>Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте системного приложения с расширенным доступом. Проблеме присвоен высокий уровень серьезности, поскольку из-за нее можно получить разрешения, недоступные сторонним приложениям (например, <a href="http://developer.android.com/guide/topics/manifest/permission-element.html#plevel">Signature</a> и <a href="http://developer.android.com/guide/topics/manifest/permission-element.html#plevel">SignatureOrSystem</a>).</p>
<table>
<tbody><tr>
<th>CVE</th>
<th>Ошибка со ссылкой на AOSP</th>
<th>Уровень серьезности</th>
<th>Обновленные версии</th>
<th>Дата сообщения об ошибке</th>
</tr>
<tr>
<td>CVE-2016-0810</td>
<td><a href="https://android.googlesource.com/platform%2Fframeworks%2Fav/+/19c47afbc402542720ddd280e1bbde3b2277b586">ANDROID-25781119</a></td>
<td>Высокий</td>
<td>4.4.4, 5.0, 5.1.1, 6.0, 6.0.1</td>
<td>Доступно только сотрудникам Google</td>
</tr>
</tbody></table>
<h3 id="information_disclosure_vulnerability_in_libmediaplayerservice">Раскрытие информации в libmediaplayerservice </h3>
<p>Уязвимость libmediaplayerservice позволяет обойти защиту, предотвращающую атаки на платформу, и раскрыть конфиденциальную информацию. Проблеме присвоен высокий уровень серьезности, поскольку из-за нее можно также получить разрешения, недоступные сторонним приложениям (например, <a href="http://developer.android.com/guide/topics/manifest/permission-element.html#plevel">Signature</a> и <a href="http://developer.android.com/guide/topics/manifest/permission-element.html#plevel">SignatureOrSystem</a>).</p>
<table>
<tbody><tr>
<th>CVE</th>
<th>Ошибка со ссылкой на AOSP</th>
<th>Уровень серьезности</th>
<th>Обновленные версии</th>
<th>Дата сообщения об ошибке</th>
</tr>
<tr>
<td>CVE-2016-0811</td>
<td><a href="https://android.googlesource.com/platform%2Fframeworks%2Fav/+/22f824feac43d5758f9a70b77f2aca840ba62c3b">ANDROID-25800375</a></td>
<td>Высокий</td>
<td>6.0, 6.0.1</td>
<td>16 ноября 2015 г.</td>
</tr>
</tbody></table>
<h3 id="elevation_of_privilege_vulnerability_in_setup_wizard">Повышение привилегий через мастер настройки</h3>
<p>Уязвимость в мастере настройки позволяет злоумышленнику, в руки которого
попало устройство, получить доступ к настройкам и выполнить их
сброс. Проблеме присвоен средний уровень серьезности, поскольку из-за нее можно обойти защиту от сброса.</p>
<table>
<tbody><tr>
<th>CVE</th>
<th>Ошибки со ссылками на AOSP</th>
<th>Уровень серьезности</th>
<th>Обновленные версии</th>
<th>Дата сообщения об ошибке</th>
</tr>
<tr>
<td>CVE-2016-0812</td>
<td><a href="https://android.googlesource.com/platform%2Fframeworks%2Fbase/+/84669ca8de55d38073a0dcb01074233b0a417541">ANDROID-25229538</a></td>
<td>Средний</td>
<td>5.1.1, 6.0</td>
<td>Доступно только сотрудникам Google</td>
</tr>
<tr>
<td>CVE-2016-0813</td>
<td><a href="https://android.googlesource.com/platform%2Fframeworks%2Fbase/+/16a76dadcc23a13223e9c2216dad1fe5cad7d6e1">ANDROID-25476219</a></td>
<td>Средний</td>
<td>5.1.1, 6.0, 6.0.1</td>
<td>Доступно только сотрудникам Google</td>
</tr>
</tbody></table>
<h3 id="common_questions_and_answers">Часто задаваемые вопросы</h3>
<p>В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.</p>
<p><strong>1. Как определить, установлено ли на устройство обновление, в котором устранены перечисленные проблемы?</strong></p>
<p>Проблемы устранены в сборке LMY49G и более поздних версиях, а также в Android 6.0 с исправлением от 1 февраля 2016 года или более новым. Информацию о том, как проверить обновления системы безопасности, можно найти в <a href="https://support.google.com/nexus/answer/4457705">Справочном центре</a>. Производители устройств, позволяющие установить эти обновления, должны присвоить им уровень [ro.build.version.security_patch]:[2016-02-01].</p>
<h2 id="revisions">Версии</h2>
<ul>
<li> 1 февраля 2016 года. Бюллетень опубликован.
</li><li> 2 февраля 2016 года. Добавлены ссылки на AOSP.
</li><li> 7 марта 2016 года. Добавлены дополнительные ссылки на AOSP.
</li></ul></body></html>