Nexus のセキュリティに関する公開情報

2015 年 11 月 2 日公開

Android のセキュリティに関する月例情報公開の一環として、Nexus 端末に対するセキュリティアップデートを無線（OTA）アップデートで配信しました。Nexus ファームウェアイメージも Google デベロッパーサイトにリリースされています。LMY48X 以降のビルド、および Android Marshmallow（セキュリティパッチレベルが 2015 年 11 月 1 日以降）で下記の問題に対処しています。詳しくは、一般的な質問と回答をご覧ください。

パートナーには下記の問題について 2015 年 10 月 5 日までに通知済みです。下記の問題に対するソースコードのパッチは、今後 48 時間にわたって Android オープンソースプロジェクト（AOSP）レポジトリにリリースされます。AOSP リンクが利用可能になり次第、この公開情報を改訂します。

下記の問題のうち最も重大なのは、メール、ウェブの閲覧、MMS などの複数の方法を通じて、攻撃を受けた端末でメディアファイルの処理中にリモートコード実行が可能になる重大なセキュリティの脆弱性です。

この新たに報告された問題によって実際のユーザー端末が不正使用された報告はありません。 Android セキュリティプラットフォームの保護と SafetyNet のようなサービスの保護について詳しくは、リスクの軽減をご覧ください。こうした保護は、Android でプラットフォームのセキュリティを改善します。ご利用の端末でこうしたアップデートを行うことをすべてのユーザーにおすすめします。

セキュリティの脆弱性の概要

下記の表に、セキュリティの脆弱性、共通脆弱性識別子（CVE）、およびその重大度の評価の一覧を示します。重大度の評価は、攻撃を受けた端末でその脆弱性が悪用された場合の影響に基づくもので、プラットフォームやサービスでのリスク軽減策が、開発目的や不正に回避されたために無効の場合を前提としています。

問題	CVE	重大度
メディアサーバーでのリモートコード実行の脆弱性	CVE-2015-6608	重大
libutils でのリモートコード実行の脆弱性	CVE-2015-6609	重大
メディアサーバーでの情報開示の脆弱性	CVE-2015-6611	高
libstagefright での権限昇格の脆弱性	CVE-2015-6610	高
libmedia での権限昇格の脆弱性	CVE-2015-6612	高
Bluetooth での権限昇格の脆弱性	CVE-2015-6613	高
電話機能での権限昇格の脆弱性	CVE-2015-6614	中

重大度の評価は、攻撃を受けた端末でその脆弱性が悪用された場合の影響に基づくもので、プラットフォームやサービスでのリスク軽減策が、開発目的や不正に回避されたために無効の場合を前提としています。

リスクの軽減

ここでは、 Android セキュリティプラットフォームの保護と SafetyNet のようなサービスの保護によるリスクの軽減について概説します。こうした機能は、Android でセキュリティの脆弱性が悪用される可能性を減らします。

Android プラットフォームの最新版での機能強化により、Android 上の多くの問題の悪用が困難になります。できる限り Android の最新版に更新することをすべてのユーザーにおすすめします。
Android セキュリティチームはアプリの確認と SafetyNet を使って不正使用を積極的に監視しています。こうした機能は、有害なおそれのあるアプリがインストールされる前に警告します。端末のルート権限を取得するツールは Google Play では禁止されています。Google Play 以外からアプリをインストールするユーザーを保護するため、アプリの確認がデフォルトで有効であり、ルート権限を取得する既知のアプリについてユーザーに警告します。アプリの確認は、権限昇格の脆弱性を悪用する既知の悪意のあるアプリのインストールを識別してブロックしようと試みます。こうしたアプリが既にインストールされている場合は、ユーザーに通知し、そのアプリの削除を試みます。
Google ハングアウトやメッセンジャーアプリは状況を判断し、メディアサーバーなどのプロセスに、自動的にメディアを渡すことはありません。

謝辞

調査に関与された下記の皆様のご協力に感謝いたします。

Google Chrome セキュリティチームの Abhishek Arya、Oliver Chang、Martin Barbella: CVE-2015-6608
Copperhead Security の Daniel Micay（daniel.micay@copperhead.co）: CVE-2015-6609
System Security Lab、KAIST の Dongkwan Kim（dkay@kaist.ac.kr）: CVE-2015-6614
System Security Lab、KAIST の Hongil Kim（hongilk@kaist.ac.kr）: CVE-2015-6614
Trend Micro の Jack Tang（@jacktang310）: CVE-2015-6611
Trend Micro の Peter Pi: CVE-2015-6611
Google Project Zero の Natalie Silvanovich: CVE-2015-6608
KeenTeam（@K33nTeam、http://k33nteam.org/）の Qidan He（@flanker_hqd）、Wen Xu（@antlr7）: CVE-2015-6612
Trend Micro の Seven Shen: CVE-2015-6610

セキュリティの脆弱性の詳細

上記のセキュリティの脆弱性の概要で一覧に挙げた各項目について、下記に詳細を説明します。問題と重大度の根拠について説明し、CVE、関連するバグ、重大度、影響を受けるバージョン、および報告日の表を掲載します。該当する場合は、バグ ID の欄に、その問題への対処を示す AOSP へのリンクがあります。複数の変更が同じバグに関係する場合は、バグ ID の後に続く番号で、追加の AOSP リファレンスへのリンクを示します。

メディアサーバーでのリモートコード実行の脆弱性

メディアサーバーに脆弱性があり、特別に細工したメディアファイルやデータがメディアサーバーで処理される間に、攻撃者がメディアサーバープロセスとしてメモリ破壊やリモートコード実行を行うおそれがあります。

影響を受ける機能はオペレーティングシステムの中核部分として提供されており、複数のアプリにおいて、リモートコンテンツ（特に MMS やブラウザでのメディアの再生）によってこの脆弱性が攻撃されるおそれがあります。

メディアサーバーのサービスでリモートコード実行が可能になるため、この問題は重大と判断されています。メディアサーバーのサービスは音声や動画のストリームにアクセスできる他、通常はサードパーティのアプリがアクセスできないような権限にアクセスできます。

CVE	バグと AOSP リンク	重大度	影響のあるバージョン	報告日
CVE-2015-6608	ANDROID-19779574	重大	5.0、5.1、6.0	Google 社内
	ANDROID-23680780
	ANDROID-23876444
	ANDROID-23881715	重大	4.4、5.0、5.1、6.0	Google 社内
	ANDROID-14388161	重大	4.4、5.1	Google 社内
	ANDROID-23658148	重大	5.0、5.1、6.0	Google 社内

libutils でのリモートコード実行の脆弱性

汎用ライブラリである libutils の脆弱性が、音声ファイルの処理中に悪用されるおそれがあります。特別に細工したファイルが処理される間に、攻撃者が脆弱性をメモリ破壊やリモートコード実行に悪用できるおそれがあります。

影響を受ける機能は API として提供されており、複数のアプリにおいて、リモートコンテンツ（特に MMS やブラウザでのメディアの再生）によってこの脆弱性が攻撃されるおそれがあります。特権サービスでリモートコード実行が可能になるため、この問題は重大と判断されています。攻撃を受けたコンポーネントは音声や動画のストリームにアクセスできる他、通常はサードパーティのアプリがアクセスできない権限にアクセスできます。

CVE	バグと AOSP リンク	重大度	影響のあるバージョン	報告日
CVE-2015-6609	ANDROID-22953624 [ 2 ]	重大	6.0 以下	2015 年 8 月 3 日

メディアサーバーでの情報開示の脆弱性

メディアサーバーに情報開示の脆弱性があり、攻撃者によるプラットフォームの悪用を困難にするよう設定されたセキュリティ対策が回避できるおそれがあります。

CVE	バグと AOSP リンク	重大度	影響のあるバージョン	報告日
CVE-2015-6611	ANDROID-23905951 [ 2 ] [ 3 ]	高	6.0 以下	2015 年 9 月 7 日
	ANDROID-23912202*
	ANDROID-23953967*
	ANDROID-23696300	高	6.0 以下	2015 年 8 月 31 日
	ANDROID-23600291	高	6.0 以下	2015 年 8 月 26 日
	ANDROID-23756261 [ 2 ]	高	6.0 以下	2015 年 8 月 26 日
	ANDROID-23540907 [ 2 ]	高	5.1 以下	2015 年 8 月 25 日
	ANDROID-23541506	高	6.0 以下	2015 年 8 月 25 日
	ANDROID-23284974*
	ANDROID-23542351*
	ANDROID-23542352*
	ANDROID-23515142	高	5.1 以下	2015 年 8 月 19 日

* このバグへのパッチは別途提供される AOSP リンクに含まれます。

libstagefright での権限昇格の脆弱性

libstagefright に権限昇格の脆弱性があり、メディアサーバーのサービス中に悪意のあるローカルアプリがメモリの破壊や勝手なコードの実行を行えるおそれがあります。この問題は、通常は「重大」と判断されますが、リモートで悪用される可能性が低いため、重大度は「高」と判断されています。

CVE	バグと AOSP リンク	重大度	影響のあるバージョン	報告日
CVE-2015-6610	ANDROID-23707088 [ 2 ]	高	6.0 以下	2015 年 8 月 19 日

libmedia での権限昇格の脆弱性

libmedia に権限昇格の脆弱性があり、メディアサーバーのサービス中に悪意のあるローカルアプリが勝手なコードを実行できるおそれがあります。サードパーティのアプリが直接はアクセスできない権限にアクセスできるようになるので、この問題の重大度は「高」と判断されています。

CVE	バグと AOSP リンク	重大度	影響のあるバージョン	報告日
CVE-2015-6612	ANDROID-23540426	高	6.0 以下	2015 年 8 月 23 日

Bluetooth での権限昇格の脆弱性

Bluetooth に脆弱性があり、リッスン中の端末のデバッグポートにローカルアプリがコマンドを送信できるおそれがあります。サードパーティのアプリがアクセスできない signature 権限や signatureOrSystem 権限に昇格できるようになるため、この問題の重大度は「高」と判断されています。

CVE	バグと AOSP リンク	重大度	影響のあるバージョン	報告日
CVE-2015-6613	ANDROID-24371736	高	6.0	Google 社内

電話機能での権限昇格の脆弱性

電話コンポーネントに脆弱性があり、データ料金の請求に影響を及ぼす可能性のある不正なデータを悪意のあるローカルアプリが制限付きネットワークインターフェースに渡せるおそれがあります。端末への着信の阻止や、攻撃者による着信音のミュート設定の制御を可能にするおそれもあります。「危険度の高い」権限を不正取得できるようになるので、この問題の重大度は「中」と判断されています。

CVE	バグと AOSP リンク	重大度	影響のあるバージョン	報告日
CVE-2015-6614	ANDROID-21900139 [ 2 ] [ 3 ]	中	5.0、5.1	2015 年 6 月 8 日

一般的な質問と回答

上記の公開情報を読んだ後に疑問に思われる一般的な質問とその回答について、以下で説明します。

1. 上記の問題に対処するように端末が更新されているかどうかをどのように判断すればよいですか？

LMY48X 以降のビルド、および Android Marshmallow（セキュリティパッチレベルが 2015 年 11 月 1 日以降）で上記の問題に対処しています。セキュリティパッチレベルを確認する方法について詳しくは、 Nexus のドキュメントをご覧ください。このアップデートを含めたデバイスメーカーは、パッチ文字列のレベルを [ro.build.version.security_patch]:[2015-11-01] に設定する必要があります。

改訂

2015 年 11 月 2 日: 公開