İçindekiler:
Google, Android için 2 Nisan güvenlik düzeltme ekini çevreleyen ayrıntıları yayımladı, birkaç hafta önce bir bültende açıklanan sorunları ve bir ya da diğer kritik ve ılımlı sorunları tamamen azalttı. Bu, önceki bültenlerden biraz farklıdır, Android'de kullanılan Linux çekirdeğinin 3.4, 3.10 ve 3.14 sürümlerinde bir ayrıcalık yükselmesi güvenlik açığı olmasına özellikle dikkat etti. Bunu sayfanın aşağısında tartışacağız. Bu arada, işte bu ayın yaması hakkında bilmeniz gerekenlerin dökümü.
Güncellenen üretici yazılımı görüntüleri, Google Geliştirici sitesinde şu anda desteklenen Nexus cihazlarında kullanılabilir. Android Açık Kaynak Projesi, şu anda ilgili şubelere yayılan bu değişikliklere sahip ve 48 saat içinde her şey tamamlanacak ve senkronize edilecek. Şu anda desteklenen Nexus telefonları ve tabletleri için güncellemeler devam ediyor ve standart Google kullanıma sunma prosedürünü takip edecek - Nexus'unuza ulaşması bir veya iki hafta sürebilir. Tüm ortaklar - bu, markanıza bakmaksızın telefonunuzu kuran insanlar anlamına geliyor - bu düzeltmelere 16 Mart 2016 tarihinden itibaren erişebiliyorlar ve cihazları kendi özel programları hakkında duyurup yamalayacaklar.
Ele alınan en ciddi sorun, medya dosyalarını işlerken uzaktan kod yürütülmesine izin verebilecek bir güvenlik açığıdır. Bu dosyalar telefonunuza herhangi bir yöntemle (e-posta, web'de gezinme MMS veya anlık mesajlaşma) gönderilebilir. Yamalı diğer kritik konular DHCP istemcisine, Qualcomm'un Performans Modülüne ve RF sürücüsüne özgüdür. Bu istismarlar, cihazın donanım yazılımını tehlikeye atan kodun çalışmasına izin vererek, son kullanıcının tüm işletim sistemini yeniden flaş altına almasını zorunlu kılar - eğer "geliştirme için platform ve hizmet azaltmaları devre dışı bırakılmışsa". Bu, güvenlik kaynağı, bilinmeyen kaynaklardan gelen uygulamaların yüklenmesine ve / veya OEM'in kilidinin açılmasına izin vermek için konuşur.
Yamalı diğer güvenlik açıkları da, Fabrika Ayarlarına Sıfırlama Korumasını atlamaya yönelik yöntemler, hizmet reddi saldırılarına izin vermek için kullanılabilecek sorunlar ve root olan cihazlarda kod yürütülmesine izin veren sorunlar içerir. BT uzmanları, bu güncellemede eklenmiş "hassas" bilgilere erişime izin verebilecek posta ve ActiveSync sorunlarını da görmekten mutlu olacaklardır.
Her zaman olduğu gibi, Google ayrıca, bu sorunlardan etkilenen kullanıcıların raporlarının olmadığını ve cihazların mağdur olmalarına ve gelecekteki sorunlara düşmesini önlemek için önerilen bir prosedür olduğunu hatırlatır:
- Android'deki birçok sorun için arama yapmak, Android platformunun yeni sürümlerinde yapılan geliştirmelerle daha da zorlaşıyor. Tüm kullanıcıları mümkün olduğunda Android'in en son sürümüne güncelleme yapmaya teşvik ediyoruz.
- Android Güvenlik ekibi, kullanıcıyı hakkında yüklenecek potansiyel olarak zararlı uygulamalar konusunda uyarıcı olacak Doğrulama Uygulamaları ve SafetyNet ile ilgili kötüye kullanımları aktif olarak izliyor. Google Play’de cihaz köklendirme araçları yasaktır. Uygulamaları Google Play'in dışından yükleyen kullanıcıları korumak için, Uygulamaları Doğrula seçeneği varsayılan olarak etkindir ve kullanıcıları bilinen köklendirme uygulamaları konusunda uyarır. Uygulamaların, bir ayrıcalık yükseltme güvenlik açığından yararlanan bilinen kötü amaçlı uygulamaların yüklenmesini tanımlamaya ve engellemeye çalıştığını doğrulayın. Eğer böyle bir uygulama kuruluysa, Uygulamaları Doğrula, kullanıcıyı bilgilendirecek ve bu tür uygulamaları kaldırmaya çalışacaktır.
- Uygun olduğu şekilde, Google Hangouts ve Messenger uygulamaları ortamları mediaserver gibi işlemlere otomatik olarak geçirmez.
Önceki bültende belirtilen konularla ilgili olarak
18 Mart 2016'da Google, birçok Android telefon ve tablette kullanılan Linux çekirdeğindeki sorunlar hakkında ayrı bir güvenlik bülteni yayınladı. Android'de kullanılan Linux çekirdeğinin 3.4, 3.10 ve 3.14 sürümlerindeki bir istismarın, cihazların kalıcı olarak tehlikeye atılmasına - köklü, başka bir deyişle - etkilenen telefonların ve diğer cihazların işletim sisteminin yeniden yanıp sönmesini gerektireceği kanıtlanmıştır. kurtarmak. Bir uygulama bu açığı gösterebildiği için, ay ortası bülten yayınlandı. Google ayrıca Nexus cihazlarının "birkaç gün içinde" bir yama alacağını belirtti. Bu düzeltme eki hiçbir zaman gerçekleşmedi ve Google, en son güvenlik bülteninde neden olduğunu belirtmiyor.
CVE-2015-1805 - sayısı 2 Nisan 2016 güvenlik güncellemesinde tamamen düzeltildi. Android 4.4.4, 5.0.2, 5.1.1, 6.0 ve 6.0.1 sürümleri için AOSP şubeleri bu yamayı aldı ve kaynağın kullanıma sunumu devam ediyor.
Google ayrıca, 1 Nisan 2016 tarihli bir düzeltme eki almış olan cihazların bu özel istismara karşı yama almadığını ve yalnızca 2 Nisan 2016 veya daha sonraki bir yama düzeyine sahip Android cihazlarının güncel olduğunu da belirtti.
Verizon Galaxy S6 ve Galaxy S6 kenarına gönderilen güncelleme 2 Nisan 2016 tarihli ve bu düzeltmeleri içermektedir.
T-Mobile Galaxy S7 ve Galaxy S7 kenarına gönderilen güncelleme 2 Nisan 2016 tarihli ve bu düzeltmeleri içermektedir.
Kilitlenmemiş BlackBerry Priv telefonları için AAE298 yapımı 2 Nisan 2016 tarihli ve bu düzeltmeleri içermektedir. 2016 yılının Mart ayı sonlarında serbest bırakıldı.
3.18 çekirdek sürümü çalıştıran telefonlar bu sorundan etkilenmez, ancak yine de 2 Nisan 2016 düzeltme ekinde ele alınan diğer sorunlar için düzeltme eklerini gerektirir.
