게시: 2015년 8월 13일

Google의 Android 보안 게시판 월간 출시 과정의 일환으로 무선 업데이트를 통해 Nexus 기기에 대한 보안 업데이트가 출시되었습니다. 또한 Nexus 펌웨어 이미지도 Google 개발자 사이트 에 출시되었습니다. 빌드 LMY48I 이상에서 다음 문제가 해결됩니다. 이 문제에 대한 알림은 2015년 6월 25일 이전에 파트너에게 전달되었습니다.

이 중 가장 심각한 문제는 미디어 파일을 처리할 때 이메일과 웹 탐색, MMS 등 여러 방법을 통해 대상 기기에서 원격으로 코드를 실행할 수 있게 하는 심각한 보안 취약성입니다.

보안 취약성 요약

아래 표에는 보안 취약성 목록, 일반적인 취약성 및 노출 ID(CVE), 평가된 심각도가 포함되어 있습니다. 심각도 평가 는 개발 목적으로 플랫폼 및 서비스 완화를 사용할 수 없거나 우회에 성공한 경우 취약성 악용으로 인해 대상 기기가 받는 영향을 기준으로 평가됩니다.

완화

다음은 SafetyNet와 같은 Android 보안 플랫폼 및 서비스 보호 기능에서 제공하는 완화에 대한 개요입니다. 이러한 기능을 통해 Android에서 보안 취약성이 악용될 가능성을 줄입니다.

• Android 플랫폼 최신 버전의 향상된 기능으로 Android의 여러 문제를 악용하기 더욱 어려워졌습니다. 가능한 경우 모든 사용자는 Android 최신 버전으로 업데이트하는 것이 좋습니다.
• Android 보안팀에서는 유해할 수 있는 애플리케이션이 설치될 때 경고를 보내는 앱 인증 및 SafetyNet를 사용하여 악용사례를 적극적으로 모니터링합니다. Google Play 내에서 기기 루팅 도구는 금지되어 있습니다. Google Play 외에서 애플리케이션을 설치하는 사용자를 보호하기 위해 앱 인증이 기본적으로 사용 설정되며 알려진 루팅 애플리케이션이 감지되면 알립니다. 앱 인증은 권한 승격 취약성을 악용하는 알려진 악성 애플리케이션을 식별하고 차단합니다. 이러한 애플리케이션이 이미 설치된 경우 앱 인증에서 사용자에게 이를 알리고 애플리케이션 삭제를 시도합니다.
• Google 행아웃과 메신저 애플리케이션이 미디어 서버와 같은 취약한 프로세스에 미디어를 자동으로 전달하지 않도록 업데이트되었습니다.

사사

참여해 주신 다음 연구원에게 감사드립니다.

• Joshua Drake: CVE-2015-1538, CVE-2015-3826
• Ben Hawkes: CVE-2015-3836
• Alexandru Blanda: CVE-2015-3832
• Michał Bednarski: CVE-2015-3831, CVE-2015-3844, CVE-2015-1541
• Alex Copot: CVE-2015-1536
• Alex Eubanks: CVE-2015-0973
• Roee Hay and Or Peles: CVE-2015-3837
• Guang Gong: CVE-2015-3834
• Gal Beniamini: CVE-2015-3835
• Wish Wu*: CVE-2015-3842
• Artem Chaykin: CVE-2015-3843

*Wish는 Android 보안 리워드 의 최초 수혜자이기도 합니다.

MP4 Atom 처리 중 정수 오버플로우

libstagefright에 MP4 Atom이 처리되는 동안 메모리 손상을 일으키고 원격 코드가 미디어 서버 프로세스로 실행될 수 있게 하는 여러 정수 오버플로우 가능성이 있습니다.

문제의 기능은 애플리케이션 API로 제공되며 원격 콘텐츠와 특히 MMS 및 미디어의 브라우저 재생에서 이런 기능을 사용하는 여러 애플리케이션이 있습니다.

이 문제는 원격 코드가 권한 있는 미디어 서버 서비스로 실행될 가능성으로 인해 심각도 심각으로 평가됩니다. 미디어 서버는 SELinux로 보호되지만, 오디오 및 동영상 스트림뿐 아니라 다양한 기기에서 제3자 앱이 일반적으로 액세스할 수 없는 권한 있는 커널 드라이버 기기 노드에 액세스할 수 있습니다. 이 문제는 이전 심각도 평가 가이드라인에 따라 심각도 높음 취약성으로 평가되었으며 파트너에 그렇게 보고되었습니다. 하지만 2015년 6월에 게시된 새로운 가이드라인에 따르면 이 문제의 심각도는 심각입니다.

ESDS 처리 중 정수 언더플로우

libstagefright에 ESDS Atom을 처리하는 중 메모리 손상을 일으키고 원격 코드를 미디어 서버 프로세스로 실행할 수 있게 하는 정수 언더플로우 가능성이 있습니다.

문제의 기능은 애플리케이션 API로 제공되며 원격 콘텐츠와 특히 MMS 및 미디어의 브라우저 재생에서 이런 기능을 사용하는 여러 애플리케이션이 있습니다.

이 문제는 원격 코드가 권한 있는 미디어 서버 서비스로 실행될 가능성으로 인해 심각도 심각으로 평가됩니다. 미디어 서버는 SELinux로 보호되지만 오디오 및 동영상 스트림뿐 아니라 다양한 기기에서 제3자 앱이 일반적으로 액세스할 수 없는 권한 있는 커널 드라이버 기기 노드에 액세스할 수 있습니다. 이 문제는 이전에 심각도 평가 가이드라인에 따라 심각도 높음 취약성으로 평가되었으며 파트너에 그렇게 보고되었습니다. 하지만 2015년 6월에 게시된 새로운 가이드라인에 따르면 이 문제의 심각도는 심각입니다.

MPEG4 tx3g Atom 파싱 중 libstagefright의 정수 오버플로우

libstagefright에 MPEG4 tx3g 데이터를 처리하는 중 메모리 손상을 일으키고 원격 코드를 미디어 서버 프로세스로 실행할 수 있게 하는 정수 오버플로우 가능성이 있습니다.

문제의 기능은 애플리케이션 API로 제공되며, 이러한 기능이 원격 콘텐츠와 특히 MMS 및 미디어의 브라우저 재생에 도달할 수 있게 하는 여러 애플리케이션이 있습니다.

이 문제는 원격 코드가 권한 있는 미디어 서버 서비스로 실행될 가능성으로 인해 심각도 심각으로 평가됩니다. 미디어 서버는 SELinux로 보호되지만 오디오 및 동영상 스트림뿐 아니라 다양한 기기에서 제3자 앱이 일반적으로 액세스할 수 없는 권한 있는 커널 드라이버 기기 노드에 액세스할 수 있습니다.

이 문제는 이전에 심각도 평가 가이드라인에 따라 심각도 높음 취약성으로 평가되었으며 파트너에 그렇게 보고되었습니다. 하지만 2015년 6월에 게시된 새로운 가이드라인에 따르면 이 문제의 심각도는 심각입니다.

MPEG4 covr Atom 처리 중 libstagefright의 정수 언더플로우

libstagefright에 MPEG4 데이터를 처리하는 중 메모리 손상을 일으키고 원격 코드를 미디어 서버 프로세스로 실행할 수 있게 하는 정수 언더플로우 가능성이 있습니다.

문제의 기능은 애플리케이션 API로 제공되며, 이러한 기능이 원격 콘텐츠와 특히 MMS 및 미디어의 브라우저 재생에 도달할 수 있게 하는 여러 애플리케이션이 있습니다.

이 문제는 원격 코드가 권한 있는 미디어 서버 서비스로 실행될 가능성으로 인해 심각도 심각으로 평가됩니다. 미디어 서버는 SELinux로 보호되지만 오디오 및 동영상 스트림뿐 아니라 다양한 기기에서 제3자 앱이 일반적으로 액세스할 수 없는 권한 있는 커널 드라이버 기기 노드에 액세스할 수 있습니다.

이 문제는 이전에 심각도 평가 가이드라인에 따라 심각도 높음 취약성으로 평가되었으며 파트너에 그렇게 보고되었습니다. 하지만 2015년 6월에 게시된 새로운 가이드라인에 따르면 이 문제의 심각도는 심각입니다.

3GPP 메타데이터 처리 중 크기가 6 미만인 경우 libstagefright의 정수 언더플로우

libstagefright에 3GPP 데이터를 처리하는 중 메모리 손상을 일으키고 원격 코드를 미디어 서버 프로세스로 실행할 수 있게 하는 정수 언더플로우 가능성이 있습니다.

문제의 기능은 애플리케이션 API로 제공되며, 이러한 기능이 원격 콘텐츠와 특히 MMS 및 미디어의 브라우저 재생에 도달할 수 있게 하는 여러 애플리케이션이 있습니다.

이 문제는 원격 코드가 권한 있는 미디어 서버 서비스로 실행될 가능성으로 인해 심각도 심각으로 평가됩니다. 미디어 서버는 SELinux로 보호되지만 오디오 및 동영상 스트림뿐 아니라 다양한 기기에서 제3자 앱이 일반적으로 액세스할 수 없는 권한 있는 커널 드라이버 기기 노드에 액세스할 수 있습니다. 이 문제는 이전에 심각도 평가 가이드라인에 따라 심각도 높음 취약성으로 평가되었으며 파트너에 그렇게 보고되었습니다. 하지만 2015년 6월에 게시된 새로운 가이드라인에 따르면 이 문제의 심각도는 심각입니다.

chunk_data_size가 SIZE_MAX일 때 MPEG4 covr Atom 처리 중 libstagefright의 정수 오버플로우

libstagefright에 MPEG4 covr 데이터를 처리하는 중 메모리 손상을 일으키고 원격 코드를 미디어 서버 프로세스로 실행할 수 있게 하는 정수 오버플로우 가능성이 있습니다.

문제의 기능은 애플리케이션 API로 제공되며, 이러한 기능이 원격 콘텐츠와 특히 MMS 및 미디어의 브라우저 재생에 도달할 수 있게 하는 여러 애플리케이션이 있습니다.

이 문제는 원격 코드가 권한 있는 미디어 서버 서비스로 실행될 가능성으로 인해 심각도 심각으로 평가됩니다. 미디어 서버는 SELinux로 보호되지만 오디오 및 동영상 스트림뿐 아니라 다양한 기기에서 제3자 앱이 일반적으로 액세스할 수 없는 권한 있는 커널 드라이버 기기 노드에 액세스할 수 있습니다. 이 문제는 이전에 심각도 평가 가이드라인에 따라 심각도 높음 취약성으로 평가되었으며 파트너에 그렇게 보고되었습니다. 하지만 2015년 6월에 게시된 새로운 가이드라인에 따르면 이 문제의 심각도는 심각입니다.

Sonivox Parse_wave의 버퍼 오버플로우

Sonivox에 XMF 데이터를 처리하는 중 메모리 손상을 일으키고 원격 코드를 미디어 서버 프로세스로 실행할 수 있게 하는 버퍼 오버플로우 가능성이 있습니다.

문제의 기능은 애플리케이션 API로 제공되며, 이러한 기능이 원격 콘텐츠와 특히 MMS 및 미디어의 브라우저 재생에 도달할 수 있게 하는 여러 애플리케이션이 있습니다.

이 문제는 원격 코드가 권한 있는 미디어 서버 서비스로 실행될 가능성으로 인해 심각도 심각으로 평가됩니다. 미디어 서버는 SELinux로 보호되지만 오디오 및 동영상 스트림뿐 아니라 다양한 기기에서 제3자 앱이 일반적으로 액세스할 수 없는 권한 있는 커널 드라이버 기기 노드에 액세스할 수 있습니다. 이 문제는 이전에 심각도 평가 가이드라인에 따라 심각도 높음 취약성으로 평가되었으며 파트너에 그렇게 보고되었습니다. 하지만 2015년 6월에 게시된 새로운 가이드라인에 따르면 이 문제의 심각도는 심각입니다.

libstagefright MPEG4Extractor.cpp의 버퍼 오버플로우

libstagefright에 MP4를 처리하는 중 메모리 손상을 일으키고 원격 코드를 미디어 서버 프로세스로 실행할 수 있게 하는 여러 버퍼 오버플로우가 있습니다.

문제의 기능은 애플리케이션 API로 제공되며, 이러한 기능이 원격 콘텐츠와 특히 MMS 및 미디어의 브라우저 재생에 도달할 수 있게 하는 여러 애플리케이션이 있습니다.

이 문제는 원격 코드가 권한 있는 미디어 서버 서비스로 실행될 가능성으로 인해 심각도 심각으로 평가됩니다. 미디어 서버는 SELinux로 보호되지만 오디오 및 동영상 스트림뿐 아니라 다양한 기기에서 제3자 앱이 일반적으로 액세스할 수 없는 권한 있는 커널 드라이버 기기 노드에 액세스할 수 있습니다.

처음에 이 문제는 원격으로 액세스할 수 없는 로컬 악용으로 보고되었습니다. 이 문제는 이전에 심각도 평가 가이드라인에 따라 심각도 보통 취약성으로 평가되었으며 파트너에 그렇게 보고되었습니다. 하지만 2015년 6월에 게시된 새로운 가이드라인에 따르면 이 문제의 심각도는 심각입니다.

미디어 서버 BpMediaHTTPConnection의 버퍼 오버플로우

BpMediaHTTPConnection에 다른 애플리케이션에서 제공한 데이터를 처리하는 중 메모리 손상을 일으키고 원격 코드를 미디어 서버 프로세스로 실행할 수 있게 하는 버퍼 오버플로우 가능성이 있습니다.

문제의 기능은 애플리케이션 API로 제공되며, 원격으로 이용당할 수 있는 문제는 아닌 것으로 판단됩니다.

이 문제는 로컬 애플리케이션에서 권한 있는 미디어 서버 서비스로 코드를 실행할 가능성으로 인해 심각도 높음으로 평가됩니다. 미디어 서버는 SELinux로 보호되지만 오디오 및 동영상 스트림뿐 아니라 다양한 기기에서 제3자 앱이 일반적으로 액세스할 수 없는 권한 있는 커널 드라이버 기기 노드에 액세스할 수 있습니다.

libpng의 취약성: png_Read_IDAT_data의 오버플로우

libpng의 png_read_IDAT_data() 함수 내에서 IDAT 데이터를 읽는 중 이 메서드를 사용하여 메모리 손상을 일으키고 애플리케이션 내에서 원격 코드를 실행할 수 있게 하는 버퍼 오버플로우 가능성이 있습니다.

문제의 기능은 API로 제공되며, 이 기능이 원격 콘텐츠, 특히 메시지 애플리케이션 및 브라우저에 도달할 수 있게 하는 애플리케이션이 있을 수 있습니다.

이 문제는 원격 코드가 권한이 없는 애플리케이션으로 실행될 가능성으로 인해 심각도 높음으로 평가됩니다.

wpa_supplicant에서 p2p_add_device()의 원격으로 악용될 수 있는 memcpy() 오버플로우

wpa_supplicant 프로세스가 WLAN Direct 모드로 작동 중일 때 p2p_add_device() 메서드의 오버플로우로 인해 원격 코드가 실행될 수 있는 취약성이 있습니다. 취약성 악용에 성공하면 Android에서 'wifi' 사용자로 코드가 실행될 수 있습니다.

이 문제의 악용에 영향을 줄 수 있는 여러 완화 기술은 다음과 같습니다.

- 대부분의 Android 기기에서는 WLAN Direct가 기본적으로 사용 설정되지 않습니다.

- 취약성을 악용하려면 공격자가 근접한 위치(Wi-Fi 범위 내)에 있어야 합니다.

- wpa_supplicant 프로세스는 시스템에 대한 액세스 권한이 제한된 'wifi' 사용자로 실행됩니다.

- Android 4.1 이상 기기에서는 ASLR이 원격 악용을 완화합니다.

- Android 5.0 이상 기기에서는 SELinux 정책에 따라 wpa_supplicant 프로세스가 엄격하게 제한됩니다.

이 문제는 원격 코드 실행 가능성으로 인해 심각도 높음으로 평가됩니다. 'wifi' 서비스는 일반적으로 제3자 앱에서 액세스할 수 없는 기능을 가지게 되지만(이 경우 심각도 심각으로 평가될 수 있음), 제한된 기능과 완화 보증 수준으로 인해 심각도를 높음으로 낮추었습니다.

OpenSSLX509Certificate 역직렬화의 메모리 손상

악성 로컬 애플리케이션에서 인텐트를 보낼 수 있는데, 이 인텐트는 수신 애플리케이션에서 이를 역직렬화하면 임의의 메모리 주소에 있는 값을 감소시켜서 메모리 손상을 일으키고 수신 애플리케이션 내에서 코드를 실행할 가능성이 있습니다.

이 문제는 제3자 애플리케이션에서 액세스할 수 없는 권한을 얻는 데 사용될 수 있어서 심각도 높음으로 평가됩니다.

미디어 서버 BnHDCP의 버퍼 오버플로우

libstagefright에 다른 애플리케이션에서 제공한 데이터를 처리하는 중 메모리(힙) 손상을 일으키고 코드를 미디어 서버 프로세스로 실행할 수 있는 정수 오버플로우 가능성이 있습니다.

이 문제는 제3자 애플리케이션에 액세스할 수 없는 권한을 얻는 데 사용될 수 있기 때문에 심각도 높음으로 평가됩니다. 미디어 서버는 SELinux로 보호되지만 오디오 및 동영상 스트림뿐 아니라 다양한 기기에서 제3자 앱이 일반적으로 액세스할 수 없는 권한 있는 커널 드라이버 기기 노드에 액세스할 수 있습니다.

이 문제는 이전에 심각도 평가 가이드라인에 따라 심각도 보통 취약성으로 평가되었으며 파트너에 그렇게 보고되었습니다. 하지만 2015년 6월에 새로운 가이드라인에 따르면 이 문제는 심각도 높음 취약성입니다.

libstagefright OMXNodeInstance::emptyBuffer의 버퍼 오버플로우

libstagefright에 다른 애플리케이션에서 제공한 데이터를 처리하는 중 메모리 손상을 일으키고 코드를 미디어 서버 프로세스로 실행할 수 있는 버퍼 오버플로우 가능성이 있습니다.

이 문제는 제3자 애플리케이션에 액세스할 수 없는 권한을 얻는 데 사용될 수 있기 때문에 심각도 높음으로 평가됩니다. 미디어 서버는 SELinux로 보호되지만 오디오 및 동영상 스트림뿐 아니라 다양한 기기에서 제3자 앱이 일반적으로 액세스할 수 없는 권한 있는 커널 드라이버 기기 노드에 액세스할 수 있습니다.

이 문제는 이전에 심각도 평가 가이드라인에 따라 심각도 보통 취약성으로 평가되었으며 파트너에 그렇게 보고되었습니다. 하지만 2015년 6월에 새로운 가이드라인에 따르면 이 문제는 심각도 높음 취약성입니다.

미디어 서버 AudioPolicyManager::getInputForAttr()의 힙 오버플로우

미디어 서버의 오디오 정책 서비스에 로컬 애플리케이션이 미디어 서버의 프로세스에서 임의의 코드를 실행할 수 있게 하는 힙 오버플로우가 있습니다.

문제의 기능은 애플리케이션 API로 제공되며, 원격으로 이용당할 수 있는 문제는 아닌 것으로 판단됩니다.

이 문제는 로컬 애플리케이션에서 권한 있는 미디어 서버 서비스로 코드를 실행할 가능성으로 인해 심각도 높음으로 평가됩니다. 미디어 서버는 SELinux로 보호되지만 오디오 및 동영상 스트림뿐 아니라 다양한 기기에서 제3자 앱이 일반적으로 액세스할 수 없는 권한 있는 커널 드라이버 기기 노드에 액세스할 수 있습니다.

애플리케이션에서 전화 기능에 대한 SIM 명령어를 가로채거나 모방할 수 있음

SIM 툴킷(STK) 프레임워크에 앱이 Android의 전화 기능 하위 시스템에 대한 특정 STK SIM 명령어를 가로채거나 모방할 수 있게 하는 취약성이 있습니다.

이 문제는 권한이 없는 앱이 일반적으로 '서명'이나 '시스템 수준' 권한으로 보호되는 기능이나 데이터에 액세스할 수 있게 하여 심각도 높음으로 평가됩니다.

Bitmap 언마셜링의 취약성

Bitmap_createFromParcel()의 정수 오버플로우를 통해 앱이 system_server 프로세스를 다운시키거나 system_server에서 메모리 데이터를 읽을 수 있습니다.

이 문제는 system_server 프로세스에서 권한이 없는 로컬 프로세스로 민감한 데이터를 누출 시킬 가능성으로 인해 심각도 보통으로 평가됩니다. 이러한 유형의 취약성은 대개 심각도 높음으로 평가되지만, 공격하는 프로세스에서 공격 성공을 통해 누출된 데이터를 제어할 수 없으며 공격에 실패하면 기기를 일시적으로 사용할 수 없도록 만들기 때문에(재부팅 필요) 심각도를 낮추었습니다.

AppWidgetServiceImpl에서 시스템 권한으로 IntentSender를 생성할 수 있음

설정 앱의 AppWidgetServiceImpl에 앱이 FLAG_GRANT_READ/WRITE_URI_PERMISSION을 지정하여 스스로에게 URI 권한을 부여할 수 있게 하는 취약성이 있습니다. 예를 들어 이 취약성은 READ_CONTACTS 권한이 없어도 연락처 데이터를 읽는 데 악용될 수 있습니다.

이 취약성은 로컬 앱이 일반적으로 '위험' 보호 수준 권한으로 보호되는 데이터에 액세스할 수 있게 하여 심각도 보통으로 평가됩니다.

getRecentTasks() 제한 완화 우회

로컬 애플리케이션이 포그라운드 애플리케이션을 확실히 판단하여 Android 5.0에 도입된 getRecentTasks() 제한을 피할 수 있습니다.

이 취약성은 로컬 앱이 일반적으로 '위험' 보호 수준 권한으로 보호되는 데이터에 액세스할 수 있게 하여 심각도 보통으로 평가됩니다.

이 취약성은 다음 페이지에 처음 공개적으로 명시되었습니다. http://stackoverflow.com/questions/24625936/getrunningtasks-doesnt-work-in-android-l

ActivityManagerService.getProcessRecordLocked()에서 잘못된 프로세스로 시스템 UID 애플리케이션을 로드할 수 있음

ActivityManager의 getProcessRecordLocked() 메서드에서 애플리케이션의 프로세스 이름이 해당 패키지 이름과 일치하는지 제대로 확인하지 않습니다. 일부 경우 이로 인해 ActivityManager에서 특정 작업에 대한 프로세스를 잘못 로드할 수 있습니다.

즉, 앱에서 설정이 로드되지 못하도록 하거나 설정 프래그먼트의 매개변수를 삽입할 수 있습니다. 이 취약성은 임의의 코드를 '시스템' 사용자로 실행하는 데 사용될 수 있을 것으로 판단되지 않습니다.

대개 '시스템' 사용자만 액세스할 수 있는 기능에 액세스할 수 있는 경우 심각도 높음으로 평가되지만, 취약성으로 인해 부여되는 액세스 수준이 제한적이므로 이 취약성은 보통으로 평가되었습니다.

3GPP 메타데이터 파싱 중 libstagefright의 무한 버퍼 읽기

3GPP 데이터를 파싱하는 동안 정수 언더플로우로 인해 읽기 작업이 버퍼를 초과하여 미디어 서버가 다운될 수 있습니다.

이 문제는 원래 심각도 높음으로 평가되었으며 파트너에게 그렇게 보고되었지만, 추가 조사 후 그 영향이 미디어 서버 다운으로 제한되므로 심각도 낮음으로 수준을 낮추었습니다.

버전

• 2015년 8월 13일: 최초 게시됨