Pull to refresh
0

Google исправила уязвимости в Android

Reading time 2 min
Views 6.3K
Google выпустила ежемесячное обновление для Android под названием Nexus Security Bulletin — March 2016. Обновление устраняет 19 уязвимостей в мобильной ОС. Семь из них имеют статус Critical и могут быть использованы атакующими для удаленного исполнения кода на устройстве или повышения своих привилегий. Как обычно, две критические уязвимости с идентификаторами CVE-2016-0815 и CVE-2016-0816 были исправлены в сервисе Mediaserver. Они позволяли злоумышленникам удаленно исполнить код в Android с повышенными привилегиями, для этого может быть использовано вредоносное веб-содержимое или MMS-сообщение.



Еще одна RCE-уязвимость с идентификатором CVE-2016-1621 также относится к Mediaserver, но присутствует в библиотеке libvpx, которая используется этим сервисом. Механизм эксплуатации уязвимости аналогичен предыдущим, для этого может быть использовано вредоносное веб-содержимое или MMS-сообщение. Уязвимость актуальна для Android версий 4.4.4, 5.0.2, 5.1.1, 6.0.


Рис. Список исправленных обновлением уязвимостей.

Обновление исправляет опасную уязвимость CVE-2016-0818 типа Elevation of Privilege (EoP), которая присутствует в библиотеке Conscrypt. Она позволяет успешно проходить проверку на легитимность специальным образом сформированному фальшивому цифровому сертификату, который был выдан промежуточным центром сертификации (CA). Таким образом, уязвимость позволяет злоумышленнику провести атаку Man-in-the-Middle. Актуально для следующих версий Android: 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1.

Критическая уязвимость CVE-2016-0819 типа EoP присутствует в компоненте измерения производительности Qualcomm и может использоваться злоумышленниками для повышения своих прав в системе до уровня ядра. Актуально для следующих версий Android: 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1.

Схожая двум предыдущим, уязвимость CVE-2016-0820 типа EoP присутствует в драйвере MediaTek Wi-Fi и позволяет злоумышленникам исполнить свой код на уровне ядра Android. Актуально для Android 6.0.1.

Уязвимость CVE-2016-0823 в ядре Android 6.0.1 позволяет атакующим обходить встроенные в ОС механизмы безопасности, например, ASLR.

Описание прочих уязвимостей см. source.android.com/security/bulletin/2016-03-01.html#security_vulnerability_summary.

image
be secure.
Tags:
Hubs:
+2
Comments 1
Comments Comments 1

Articles

Information

Website
www.esetnod32.ru
Registered
Founded
Employees
1,001–5,000 employees
Location
Словакия