Mục lục:
Google đã phát hành các chi tiết xung quanh bản vá bảo mật ngày 2 tháng 4 cho Android, giảm thiểu hoàn toàn các vấn đề được mô tả trong bản tin vài tuần trước cũng như một số vấn đề quan trọng và vừa phải. Cái này hơi khác so với các bản tin trước, đặc biệt chú ý đến lỗ hổng leo thang đặc quyền trong các phiên bản 3.4, 3.10 và 3.14 của nhân Linux được sử dụng trong Android. Chúng ta sẽ thảo luận thêm về trang đó. Trong thời gian này, đây là sự cố về những gì bạn cần biết về bản vá tháng này.
Hình ảnh phần sụn được cập nhật hiện có sẵn cho các thiết bị Nexus hiện được hỗ trợ trên trang web Google Developer. Dự án mã nguồn mở Android hiện có những thay đổi này được triển khai cho các chi nhánh có liên quan và mọi thứ sẽ được hoàn thành và đồng bộ hóa trong vòng 48 giờ. Các bản cập nhật qua mạng đang được tiến hành cho điện thoại và máy tính bảng Nexus hiện đang được hỗ trợ và sẽ tuân theo quy trình giới thiệu tiêu chuẩn của Google - có thể mất một hoặc hai tuần để đến Nexus của bạn. Tất cả các đối tác - có nghĩa là những người xây dựng điện thoại của bạn, bất kể thương hiệu - đã có quyền truy cập vào các bản sửa lỗi này kể từ ngày 16 tháng 3 năm 2016, và họ sẽ thông báo và vá các thiết bị theo lịch trình riêng của họ.
Vấn đề nghiêm trọng nhất được giải quyết là một lỗ hổng có thể cho phép thực thi mã từ xa khi xử lý tệp phương tiện. Những tập tin này có thể được gửi đến điện thoại của bạn bằng mọi cách - email, duyệt web MMS hoặc nhắn tin tức thì. Các vấn đề quan trọng khác được vá là dành riêng cho máy khách DHCP, Module hiệu suất và trình điều khiển RF của Qualcomm. Các khai thác này có thể cho phép mã chạy làm tổn hại vĩnh viễn phần sụn thiết bị, buộc người dùng cuối phải flash lại toàn bộ hệ điều hành - nếu "giảm thiểu nền tảng và dịch vụ bị vô hiệu hóa cho các đề xuất phát triển". Đó là bảo mật nói về việc cho phép các ứng dụng từ các nguồn không xác định được cài đặt và / hoặc cho phép mở khóa OEM.
Các lỗ hổng khác được vá cũng bao gồm các phương pháp để vượt qua Factory Reset Protection, các vấn đề có thể bị khai thác để cho phép từ chối các cuộc tấn công dịch vụ và các vấn đề cho phép thực thi mã trên thiết bị có root. Các chuyên gia CNTT sẽ rất vui khi thấy các sự cố thư và ActiveSync có thể cho phép truy cập vào thông tin "nhạy cảm" được vá trong bản cập nhật này.
Như mọi khi, Google cũng nhắc nhở chúng tôi rằng không có báo cáo nào về việc người dùng bị ảnh hưởng bởi những vấn đề này và họ có một quy trình được đề xuất để giúp ngăn chặn các thiết bị trở thành nạn nhân của những vấn đề này và trong tương lai:
- Khai thác cho nhiều vấn đề trên Android trở nên khó khăn hơn bằng cách cải tiến trong các phiên bản mới hơn của nền tảng Android. Chúng tôi khuyến khích tất cả người dùng cập nhật lên phiên bản Android mới nhất nếu có thể.
- Nhóm Bảo mật Android đang tích cực theo dõi hành vi lạm dụng với Xác minh ứng dụng và SafetyNet, điều này sẽ cảnh báo người dùng về các ứng dụng có khả năng gây hại được phát hiện sắp được cài đặt. Các công cụ root thiết bị bị cấm trong Google Play. Để bảo vệ người dùng cài đặt ứng dụng từ bên ngoài Google Play, Xác minh ứng dụng được bật theo mặc định và sẽ cảnh báo người dùng về các ứng dụng root đã biết. Xác minh Ứng dụng cố gắng xác định và chặn cài đặt các ứng dụng độc hại đã biết khai thác lỗ hổng leo thang đặc quyền. Nếu một ứng dụng như vậy đã được cài đặt, Ứng dụng Xác minh sẽ thông báo cho người dùng và cố gắng xóa bất kỳ ứng dụng nào như vậy.
- Khi thích hợp, các ứng dụng Google Hangouts và Messenger không tự động chuyển phương tiện vào các quy trình như trung gian.
Về các vấn đề được đề cập trong bản tin trước
Vào ngày 18 tháng 3 năm 2016 Google đã phát hành một bản tin bảo mật bổ sung riêng về các sự cố trong nhân Linux được sử dụng trên nhiều điện thoại và máy tính bảng Android. Nó đã được chứng minh rằng việc khai thác trong các phiên bản 3.4, 3.10 và 3.14 của nhân Linux được sử dụng trong Android cho phép các thiết bị bị xâm phạm vĩnh viễn - nói cách khác - và điện thoại bị ảnh hưởng và các thiết bị khác sẽ yêu cầu flash lại hệ điều hành để bình phục. Bởi vì một ứng dụng đã có thể chứng minh sự khai thác này, một bản tin giữa tháng đã được phát hành. Google cũng đề cập rằng các thiết bị Nexus sẽ nhận được một bản vá "trong vòng một vài ngày." Bản vá đó không bao giờ được thực hiện và Google không đề cập đến lý do tại sao trong bản tin bảo mật mới nhất.
Vấn đề - CVE-2015-1805 - đã được vá hoàn toàn trong bản cập nhật bảo mật ngày 2 tháng 4 năm 2016. Các chi nhánh AOSP cho các phiên bản Android 4.4.4, 5.0.2, 5.1.1, 6.0 và 6.0.1 đã nhận được bản vá này và việc triển khai nguồn đang được tiến hành.
Google cũng đề cập rằng các thiết bị có thể đã nhận được bản vá vào ngày 1 tháng 4 năm 2016 đã không được vá với khai thác cụ thể này và chỉ các thiết bị Android có cấp độ bản vá ngày 2 tháng 4 năm 2016 trở lên mới có sẵn.
Bản cập nhật được gửi tới Verizon Galaxy S6 và Galaxy S6 edge được phát hành vào ngày 2 tháng 4 năm 2016 và có chứa các bản sửa lỗi này.
Bản cập nhật được gửi tới T-Mobile Galaxy S7 và Galaxy S7 edge được phát hành vào ngày 2 tháng 4 năm 2016 và có chứa các bản sửa lỗi này.
Build AAE298 cho điện thoại BlackBerry Priv đã được mở khóa là ngày 2 tháng 4 năm 2016 và có chứa các bản sửa lỗi này. Nó được phát hành vào cuối tháng 3 năm 2016.
Điện thoại chạy phiên bản kernel 3.18 không bị ảnh hưởng bởi vấn đề cụ thể này, nhưng vẫn yêu cầu các bản vá cho các vấn đề khác được giải quyết trong bản vá ngày 2 tháng 4 năm 2016.
