Spisu treści:
Google opublikowało szczegółowe informacje dotyczące poprawki zabezpieczeń dla systemu Android z 2 kwietnia, całkowicie łagodząc problemy opisane w biuletynie sprzed kilku tygodni, a także inne problemy krytyczne i umiarkowane. Ten różni się nieco od poprzednich biuletynów, ze szczególnym uwzględnieniem luki w zabezpieczeniach związanej z eskalacją uprawnień w wersjach 3.4, 3.10 i 3.14 jądra Linux używanego w systemie Android. Omówimy to na dalszej stronie. W międzyczasie przedstawiamy zestawienie informacji o aktualizacji z tego miesiąca.
Zaktualizowane obrazy oprogramowania układowego są teraz dostępne dla obecnie obsługiwanych urządzeń Nexus w witrynie Google Developer. W projekcie Android Open Source wprowadzono te zmiany w odpowiednich oddziałach, a wszystko zostanie ukończone i zsynchronizowane w ciągu 48 godzin. Trwają aktualizacje bezprzewodowo dla obecnie obsługiwanych telefonów i tabletów Nexus i będą zgodne ze standardową procedurą wdrażania Google - dotarcie do Twojego Nexusa może potrwać tydzień lub dwa. Wszyscy partnerzy - czyli osoby, które zbudowały Twój telefon, bez względu na markę - miały dostęp do tych poprawek od 16 marca 2016 r. I będą ogłaszać i łatać urządzenia według własnych harmonogramów.
Najpoważniejszym problemem, który rozwiązano, jest luka, która może umożliwić zdalne wykonanie kodu podczas przetwarzania plików multimedialnych. Pliki te można wysyłać na telefon w dowolny sposób - pocztą e-mail, przeglądaniem stron internetowych MMS lub komunikatorami internetowymi. Inne naprawione krytyczne problemy są specyficzne dla klienta DHCP, modułu wydajności Qualcomm i sterownika RF. Te exploity mogą pozwolić na uruchomienie kodu, który trwale zagraża oprogramowaniu sprzętowemu urządzenia, zmuszając użytkownika końcowego do konieczności ponownego flashowania pełnego systemu operacyjnego - jeśli „proponowane jest opracowanie ograniczeń platformy i usług. To mówi o bezpieczeństwie, ponieważ umożliwia instalowanie aplikacji z nieznanych źródeł i / lub odblokowywanie OEM.
Inne poprawione luki obejmują również metody obejścia ochrony przywracania ustawień fabrycznych, problemy, które można wykorzystać, aby umożliwić ataki typu „odmowa usługi”, oraz problemy, które umożliwiają wykonanie kodu na urządzeniach z rootem. Specjaliści IT z przyjemnością zobaczą również problemy z pocztą i ActiveSync, które mogą umożliwić dostęp do „wrażliwych” informacji załatanych w tej aktualizacji.
Jak zawsze Google przypomina nam również, że nie zgłoszono żadnych przypadków, w których użytkownicy będą narażeni na te problemy, i mają zalecaną procedurę zapobiegającą padaniu ofiarą tych i przyszłych problemów:
- Wykorzystanie wielu problemów na Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników do aktualizacji do najnowszej wersji Androida tam, gdzie to możliwe.
- Zespół ds. Bezpieczeństwa systemu Android aktywnie monitoruje nadużycia za pomocą aplikacji Verify Apps i SafetyNet, która ostrzega użytkownika przed wykryciem potencjalnie szkodliwych aplikacji, które mają zostać zainstalowane. Narzędzia do rootowania urządzeń są zabronione w Google Play. Aby chronić użytkowników, którzy instalują aplikacje spoza Google Play, Verify Apps jest domyślnie włączona i ostrzega użytkowników o znanych aplikacjach do rootowania. Sprawdź, czy aplikacje próbują zidentyfikować i zablokować instalację znanych złośliwych aplikacji, które wykorzystują lukę w zabezpieczeniach związaną z eskalacją uprawnień. Jeśli taka aplikacja została już zainstalowana, Verify Apps powiadomi użytkownika i podejmie próbę usunięcia takich aplikacji.
- W stosownych przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak serwer multimediów.
Odnośnie kwestii wymienionych w poprzednim biuletynie
W dniu 18 marca 2016 r. Google wydało oddzielny biuletyn dotyczący bezpieczeństwa dotyczący problemów w jądrze systemu Linux używanych na wielu telefonach i tabletach z Androidem. Wykazano, że exploit w jądrach Linuksa w wersjach 3.4, 3.10 i 3.14 zastosowany w Androidzie pozwolił na trwałe złamanie zabezpieczeń - zrootowanie, innymi słowy - i dotyczyło telefonów i innych urządzeń wymagałoby ponownego flashowania systemu operacyjnego, aby wyzdrowieć. Ponieważ aplikacja była w stanie wykazać ten exploit, wydano biuletyn w połowie miesiąca. Google wspomniał również, że urządzenia Nexus otrzymają łatkę „w ciągu kilku dni”. Ta łatka nigdy się nie pojawiła, a Google nie wspomina dlaczego w najnowszym biuletynie bezpieczeństwa.
Problem - CVE-2015-1805 - został całkowicie załatany w aktualizacji zabezpieczeń z 2 kwietnia 2016 r. Oddziały AOSP dla wersji Androida 4.4.4, 5.0.2, 5.1.1, 6.0 i 6.0.1 otrzymały tę łatkę i trwa wdrażanie do źródła.
Google wspomina również, że urządzenia, które mogły otrzymać łatkę z 1 kwietnia 2016 r., Nie zostały załatane przeciwko temu konkretnemu exploitowi, a tylko urządzenia z Androidem z poziomem poprawki z 2 kwietnia 2016 r. Lub nowszym są aktualne.
Aktualizacja wysłana do Verizon Galaxy S6 i Galaxy S6 edge jest datowana na 2 kwietnia 2016 r. I zawiera te poprawki.
Aktualizacja wysłana do T-Mobile Galaxy S7 i Galaxy S7 edge jest datowana na 2 kwietnia 2016 r. I zawiera te poprawki.
Kompilacja AAE298 dla odblokowanych telefonów BlackBerry Priv jest datowana na 2 kwietnia 2016 r. I zawiera te poprawki. Został wydany pod koniec marca 2016 r.
Ten problem nie ma wpływu na telefony z wersją jądra 3.18, ale nadal wymagają poprawek innych problemów rozwiązanych w łatce z 2 kwietnia 2016 r.
