diff options
Diffstat (limited to 'ru/security/bulletin/2016-05-01.html')
| -rw-r--r-- | ru/security/bulletin/2016-05-01.html | 86 |
1 files changed, 23 insertions, 63 deletions
diff --git a/ru/security/bulletin/2016-05-01.html b/ru/security/bulletin/2016-05-01.html index ea7366a2..444991c7 100644 --- a/ru/security/bulletin/2016-05-01.html +++ b/ru/security/bulletin/2016-05-01.html @@ -22,7 +22,7 @@ <p><em>Опубликовано 2 мая 2016 г. | Обновлено 4 мая 2016 г.</em></p> -<p>В этом бюллетене содержится информация об уязвимостях в защите устройств Android. К его выходу мы выпустили автоматическое обновление системы безопасности для устройств Nexus и опубликовали образы прошивок Nexus на <a href="https://developers.google.com/android/nexus/images">сайте для разработчиков</a>. +<p>В этом бюллетене содержится информация об уязвимостях в защите устройств Android. К его выходу мы выпустили автоматическое обновление системы безопасности для устройств Nexus и опубликовали образы встроенного ПО Nexus на <a href="https://developers.google.com/android/nexus/images">сайте для разработчиков</a>. Перечисленные проблемы устранены в исправлении от 1 мая 2016 года или более новом. Информацию о том, как проверить обновления системы безопасности, можно найти в <a href="https://support.google.com/nexus/answer/4457705">документации Nexus</a>.</p> <p>Мы сообщили партнерам об уязвимостях 4 апреля 2016 года или ранее. @@ -52,17 +52,9 @@ <ul> <li> Использование многих уязвимостей затрудняется в новых версиях Android, - поэтому мы рекомендуем всем пользователям своевременно обновлять - систему.</li> - <li> Команда, отвечающая за безопасность Android, активно отслеживает злоупотребления с помощью <a href="http://static.googleusercontent.com/media/source.android.com/en//security/reports/Google_Android_Security_2015_Report_Final.pdf">Проверки приложений и SafetyNet</a>. Эти сервисы предупреждают пользователя об установке <a href="http://static.googleusercontent.com/media/source.android.com/en//security/reports/Google_Android_Security_PHA_classifications.pdf">потенциально опасных приложений</a>. Проверка приложений включена по умолчанию на всех устройствах с <a href="http://www.android.com/gms">мобильными сервисами Google</a>. Она особенно важна, если пользователь устанавливает ПО из сторонних источников. Хотя в Google Play инструменты для рутинга запрещены, - они могут встречаться в других магазинах. Если пользователь решает - установить такое приложение, Проверка предупреждает об этом. - Кроме того, она пытается идентифицировать известное вредоносное ПО, - использующее уязвимость для повышения привилегий, и блокировать - его установку. Если подобное ПО уже есть на устройстве, система - уведомит об этом пользователя и попытается удалить приложение.</li> - <li> Приложения Google Hangouts и Messenger не передают медиафайлы таким - процессам, как mediaserver, автоматически.</li> + поэтому мы рекомендуем всем пользователям своевременно обновлять систему.</li> + <li> Команда, отвечающая за безопасность Android, активно отслеживает злоупотребления с помощью <a href="http://static.googleusercontent.com/media/source.android.com/en//security/reports/Google_Android_Security_2015_Report_Final.pdf">Проверки приложений и SafetyNet</a>. Эти сервисы предупреждают пользователя об установке <a href="http://static.googleusercontent.com/media/source.android.com/en//security/reports/Google_Android_Security_PHA_classifications.pdf">потенциально опасных приложений</a>. Проверка приложений включена по умолчанию на всех устройствах с <a href="http://www.android.com/gms">мобильными сервисами Google</a>. Она особенно важна, если пользователь устанавливает ПО из сторонних источников. Хотя в Google Play инструменты для рутинга запрещены, они могут встречаться в других магазинах. Если пользователь решает установить такое приложение, Проверка предупреждает об этом. Кроме того, она пытается идентифицировать известное вредоносное ПО, использующее уязвимость для повышения привилегий, и блокировать его установку. Если подобное ПО уже есть на устройстве, система уведомит об этом пользователя и попытается удалить приложение.</li> + <li> Приложения Google Hangouts и Messenger не передают медиафайлы таким процессам, как mediaserver, автоматически.</li> </ul> <h2 id="acknowledgements">Благодарности</h2> @@ -70,8 +62,7 @@ <p>Благодарим всех, кто помог обнаружить уязвимости:</p> <ul> - <li> Абхишек Арья, Оливер Чен и Мартин Барбелла из команды - безопасности Google Chrome: CVE-2016-2454. + <li> Абхишек Арья, Оливер Чан и Мартин Барбелла из команды безопасности Google Chrome: CVE-2016-2454. </li><li> Энди Тайлер (<a href="https://twitter.com/ticarpi">@ticarpi</a>) из <a href="https://www.e2e-assure.com">e2e-assure</a>: CVE-2016-2457. </li><li> Чиачи У (<a href="https://twitter.com/chiachih_wu">@chiachih_wu</a>) и Сюйсянь Цзян из <a href="http://c0reteam.org">C0RE Team</a>: CVE-2016-2441, CVE-2016-2442. </li><li> Дзмитрий Лукьяненка (<a href="http://www.linkedin.com/in/dzima">www.linkedin.com/in/dzima</a>): CVE-2016-2458. @@ -94,7 +85,7 @@ <h2 id="security_vulnerability_details">Описание уязвимостей</h2> -<p>В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в обновлении системы безопасности 2017-07-01: описание, обоснование серьезности, а также таблицу с CVE, ссылкой на ошибку, уровнем серьезности, уязвимыми устройствами Nexus и версиями AOSP (при наличии) и датой сообщения об ошибке. +<p>В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в обновлении системы безопасности 2016-05-01: описание, обоснование серьезности, а также таблицу с CVE, ссылкой на ошибку, уровнем серьезности, уязвимыми устройствами Nexus и версиями AOSP (при наличии) и датой сообщения об ошибке. Где возможно, мы приведем основную ссылку на сообщение в AOSP, связанное с идентификатором ошибки, и дополнительные ссылки в квадратных скобках.</p> @@ -206,14 +197,14 @@ <td>CVE-2016-2431</td> <td>24968809*</td> <td>Критический</td> - <td>Nexus 5, Nexus 6, Nexus 7 (2013), Android One</td> + <td>Nexus 5, Nexus 6, Nexus 7 (2013), Android One</td> <td>15 октября 2015 г.</td> </tr> <tr> <td>CVE-2016-2432</td> <td>25913059*</td> <td>Критический</td> - <td>Nexus 6, Android One</td> + <td>Nexus 6, Android One</td> <td>28 ноября 2015 г.</td> </tr> </tbody></table> @@ -311,11 +302,7 @@ <h3 id="elevation_of_privilege_vulnerability_in_kernel"> Повышение привилегий через ядро</h3> -<p>Уязвимость позволяет локальному вредоносному ПО повышать привилегии -пользователя и выполнять произвольный код в контексте ядра. Ей присвоен -критический уровень серьезности, поскольку из-за нее нарушается работа -системы безопасности. Возможно, для устранения проблемы -потребуется переустановить ОС. Узнайте больше об этой уязвимости в <a href="/security/advisory/2016-03-18.html">Примечании по безопасности Android</a> от 18 марта 2016 года.</p> +<p>Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС. Узнайте больше об этой уязвимости в <a href="/security/advisory/2016-03-18.html">Примечании по безопасности Android</a> от 18 марта 2016 года.</p> <table> <colgroup><col width="19%" /> <col width="16%" /> @@ -337,10 +324,7 @@ <td>19 февраля 2016 г.</td> </tr> </tbody></table> -<p>*Исправление опубликовано в AOSP для следующих версий ядра: -<a href="https://android.googlesource.com/kernel/common/+/bf010e99c9bc48002f6bfa1ad801a59bf996270f">3.14</a> -<a href="https://android.googlesource.com/kernel/common/+/4a5a45669796c5b4617109182e25b321f9f00beb">3.10</a> -<a href="https://android.googlesource.com/kernel/common/+/f7ebfe91b806501808413c8473a300dff58ddbb5">3.4</a></p> +<p>*Исправление опубликовано в AOSP для следующих версий ядра: <a href="https://android.googlesource.com/kernel/common/+/bf010e99c9bc48002f6bfa1ad801a59bf996270f">3.14</a>, <a href="https://android.googlesource.com/kernel/common/+/4a5a45669796c5b4617109182e25b321f9f00beb">3.10</a> и <a href="https://android.googlesource.com/kernel/common/+/f7ebfe91b806501808413c8473a300dff58ddbb5">3.4</a>.</p> <h3 id="remote_code_execution_vulnerability_in_kernel"> Удаленное выполнение кода через ядро</h3> @@ -400,15 +384,12 @@ <td>23 марта 2016 г.</td> </tr> </tbody></table> -<p>*Исправление не опубликовано в AOSP. Обновление содержится -в последних драйверах для устройств, на которых присутствует уязвимость.</p> +<p>*Исправление не опубликовано в AOSP. Обновление содержится в последних драйверах для устройств, на которых присутствует уязвимость.</p> <h3 id="remote_code_execution_vulnerability_in_bluetooth"> Удаленное выполнение кода через Bluetooth</h3> -<p>Уязвимость позволяет находящемуся поблизости злоумышленнику выполнять -произвольный код во время подключения устройства Bluetooth. Из-за этого -проблеме присвоен высокий уровень серьезности.</p> +<p>Уязвимость позволяет находящемуся поблизости злоумышленнику выполнять произвольный код во время подключения устройства Bluetooth. Из-за этого проблеме присвоен высокий уровень серьезности.</p> <table> <colgroup><col width="19%" /> <col width="16%" /> @@ -507,11 +488,7 @@ <h3 id="elevation_of_privilege_vulnerability_in_qualcomm_mdp_driver"> Повышение привилегий через MDP-драйвер Qualcomm</h3> -<p>Уязвимость позволяет локальному вредоносному ПО выполнять произвольный -код в контексте ядра. Как правило, таким ошибкам присваивают -критический уровень серьезности, но в этом случае уязвимость требует сначала -нарушить защиту сервиса, вызывающего драйвер, поэтому уровень был снижен -до высокого.</p> +<p>Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Как правило, таким ошибкам присваивают критический уровень серьезности, но в этом случае уязвимость требует сначала нарушить защиту сервиса, вызывающего драйвер, поэтому уровень был снижен до высокого.</p> <table> <colgroup><col width="19%" /> <col width="16%" /> @@ -612,8 +589,7 @@ <h3 id="eop_in_wi-fi"> Повышение привилегий через Wi-Fi</h3> -<p>Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код -в контексте системного приложения с расширенным доступом. Проблеме присвоен высокий уровень серьезности, поскольку из-за нее можно также получить разрешения, недоступные сторонним приложениям (например, <a href="http://developer.android.com/guide/topics/manifest/permission-element.html#plevel">Signature</a> и <a href="http://developer.android.com/guide/topics/manifest/permission-element.html#plevel">SignatureOrSystem</a>).</p> +<p>Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте системного приложения с расширенным доступом. Проблеме присвоен высокий уровень серьезности, поскольку из-за нее можно также получить разрешения, недоступные сторонним приложениям (например, <a href="http://developer.android.com/guide/topics/manifest/permission-element.html#plevel">Signature</a> и <a href="http://developer.android.com/guide/topics/manifest/permission-element.html#plevel">SignatureOrSystem</a>).</p> <p><strong>Примечание.</strong> По запросу компании MITRE идентификатор уязвимости (CVE) был изменен с CVE-2016-2447 на CVE-2016-4477.</p> @@ -646,9 +622,7 @@ <h3 id="elevation_of_privilege_vulnerability_in_mediaserver"> Повышение привилегий через mediaserver</h3> -<p>Уязвимость позволяет локальному вредоносному ПО выполнять -произвольный код в контексте системного приложения с расширенным -доступом. Проблеме присвоен высокий уровень серьезности, поскольку из-за нее можно получить разрешения, недоступные сторонним приложениям (например, <a href="http://developer.android.com/guide/topics/manifest/permission-element.html#plevel">Signature</a> и <a href="http://developer.android.com/guide/topics/manifest/permission-element.html#plevel">SignatureOrSystem</a>).</p> +<p>Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте системного приложения с расширенным доступом. Проблеме присвоен высокий уровень серьезности, поскольку из-за нее можно получить разрешения, недоступные сторонним приложениям (например, <a href="http://developer.android.com/guide/topics/manifest/permission-element.html#plevel">Signature</a> и <a href="http://developer.android.com/guide/topics/manifest/permission-element.html#plevel">SignatureOrSystem</a>).</p> <table> <colgroup><col width="19%" /> <col width="16%" /> @@ -714,10 +688,7 @@ <h3 id="elevation_of_privilege_vulnerability_in_mediatek_wi-fi_driver"> Повышение привилегий через Wi-Fi-драйвер MediaTek</h3> -<p>Уязвимость позволяет локальному вредоносному ПО выполнять произвольный -код в контексте ядра. Как правило, таким ошибкам присваивают критический -уровень серьезности, но в этом случае уязвимость требует сначала нарушить защиту -сервиса, вызывающего драйвер, поэтому уровень был снижен до высокого.</p> +<p>Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Как правило, таким ошибкам присваивают критический уровень серьезности, но в этом случае уязвимость требует сначала нарушить защиту сервиса, вызывающего драйвер, поэтому уровень был снижен до высокого.</p> <table> <colgroup><col width="19%" /> <col width="16%" /> @@ -735,7 +706,7 @@ <td>CVE-2016-2453</td> <td>27549705*</td> <td>Высокий</td> - <td>Android One</td> + <td>Android One</td> <td>8 марта 2016 г.</td> </tr> </tbody></table> @@ -815,12 +786,8 @@ <h3 id="elevation_of_privilege_vulnerability_in_openssl_&_boringssl"> Повышение привилегий через OpenSSL и BoringSSL</h3> -<p>Уязвимость позволяет локальному вредоносному ПО получать -несанкционированный доступ к данным. -Как правило, таким ошибкам присваивают -высокий уровень серьезности, но в этом случае для использования уязвимости -требуется редкая конфигурация, установленная вручную. Поэтому уровень был -снижен до среднего.</p> +<p>Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. +Как правило, таким ошибкам присваивают высокий уровень серьезности, но в этом случае для использования уязвимости требуется редкая конфигурация, установленная вручную. Поэтому уровень был снижен до среднего.</p> <table> <colgroup><col width="19%" /> <col width="16%" /> @@ -911,9 +878,7 @@ <h3 id="information_disclosure_vulnerability_in_aosp_mail"> Раскрытие информации через почтовый клиент AOSP</h3> -<p>Уязвимость позволяет локальному вредоносному ПО получить несанкционированный -доступ к конфиденциальным данным пользователя. Из-за этого проблеме присвоен -средний уровень серьезности.</p> +<p>Уязвимость позволяет локальному вредоносному ПО получить несанкционированный доступ к конфиденциальным данным пользователя. Из-за этого проблеме присвоен средний уровень серьезности.</p> <table> <colgroup><col width="19%" /> <col width="16%" /> @@ -943,9 +908,7 @@ <h3 id="information_disclosure_vulnerability_in_mediaserver"> Раскрытие информации через mediaserver</h3> -<p>Уязвимость позволяет ПО получить несанкционированный доступ -к конфиденциальной информации. Из-за этого проблеме присвоен средний уровень -серьезности.</p> +<p>Уязвимость позволяет ПО получить несанкционированный доступ к конфиденциальной информации. Из-за этого проблеме присвоен средний уровень серьезности.</p> <table> <colgroup><col width="19%" /> <col width="16%" /> @@ -1012,14 +975,11 @@ <h2 id="common_questions_and_answers">Часто задаваемые вопросы</h2> -<p>В этом разделе мы отвечаем на вопросы, которые могут возникнуть -после прочтения бюллетеня.</p> +<p>В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.</p> <p><strong>1. Как определить, установлено ли на устройство обновление, в котором устранены перечисленные проблемы?</strong></p> -<p>Перечисленные проблемы устранены в исправлении от 1 мая 2016 года или более новом. Информацию о том, как проверить обновления системы безопасности, можно найти в <a href="https://support.google.com/nexus/answer/4457705">документации Nexus</a>. Производители -устройств, позволяющие установить эти обновления, должны присвоить им -уровень [ro.build.version.security_patch]:[2016-05-01].</p> +<p>Перечисленные проблемы устранены в исправлении от 1 мая 2016 года или более новом. Информацию о том, как проверить обновления системы безопасности, можно найти в <a href="https://support.google.com/nexus/answer/4457705">Справочном центре</a>. Производители устройств, позволяющие установить эти обновления, должны присвоить им уровень [ro.build.version.security_patch]:[2016-05-01].</p> <p id="nexus_devices"><strong>2. Как определить, на каких устройствах Nexus присутствует уязвимость?</strong></p> |