CVE-2019-2215
Android Kernel Use-After-Free Vulnerability
Beschreibung
CVE-2019-2215 ist eine Use-After-Free-Schwachstelle mit hohem Schweregrad in der binder.c-Komponente des Android-Kernels, die eine lokale Privilegieneskalation von einer Anwendung zum Linux-Kernel ermöglicht. Zur Ausnutzung ist keine Benutzerinteraktion erforderlich, jedoch entweder eine bösartige lokale Anwendung oder eine separate Schwachstelle in einer netzwerkzugänglichen Anwendung. CISA hat die aktive Ausnutzung durch Aufnahme in den KEV-Katalog bestätigt. Diese Schwachstelle wurde in der "AbstractEmu"-Exploit-Kette mit CVE-2020-0041 und CVE-2020-0069 kombiniert. Mit einem EPSS-Score von 52,9 % (97,9. Perzentile) ist die Ausnutzungswahrscheinlichkeit hoch.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| android | - | |
| debian | debian linux | 8.0 |
| canonical | ubuntu linux | 16.04 |
| netapp | cloud backup | - |
| netapp | data availability services | - |
| netapp | hci management node | - |
| netapp | service processor | - |
| netapp | solidfire | - |
| netapp | steelstore cloud integrated storage | - |
| netapp | solidfire baseboard management controller firmware | - |
| netapp | aff baseboard management controller firmware | - |
| netapp | a320 firmware | - |
| netapp | c190 firmware | - |
| netapp | a220 firmware | - |
| netapp | fas2720 firmware | - |
| netapp | fas2750 firmware | - |
| netapp | a800 firmware | - |
| netapp | h300s firmware | - |
| netapp | h500s firmware | - |
| netapp | h700s firmware | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/154911/Android-Binder-Use-After-Free.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/155212/Slackware-Security-Advisory-Slackware-14.2-kernel-Updates.html(Patch, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/156495/Android-Binder-Use-After-Free.html(Exploit, Third Party Advisory, VDB Entry)
- http://seclists.org/fulldisclosure/2019/Oct/38(Mailing List, Third Party Advisory)
- http://www.huawei.com/en/psirt/security-advisories/huawei-sa-20191030-01-binder-en(Third Party Advisory)
- https://lists.debian.org/debian-lts-announce/2020/01/msg00013.html(Mailing List, Third Party Advisory)
- https://lists.debian.org/debian-lts-announce/2020/03/msg00001.html(Mailing List, Third Party Advisory)
- https://seclists.org/bugtraq/2019/Nov/11(Mailing List, Patch, Third Party Advisory)
- https://security.netapp.com/advisory/ntap-20191031-0005/(Third Party Advisory)
- https://source.android.com/security/bulletin/2019-10-01(Vendor Advisory)
- https://usn.ubuntu.com/4186-1/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-2215(US Government Resource)
Schwachstellentyp
CWE-416: Verwendung nach Freigabe
Im Android-Kernel-Binder-Treiber tritt die Use-After-Free-Schwachstelle in binder.c auf, wo eine Binder-Transaktionsstruktur freigegeben wird, aber ihr Pointer zugänglich bleibt. Wenn der Dangling Pointer bei Inter-Prozess-Kommunikationsoperationen dereferenziert wird, kann ein Angreifer mit lokalem Zugriff den freigegebenen Speicher manipulieren, um Kernel-Level-Privilegieneskalation zu erreichen.
Weitere Informationen: CWE-416 — Verwendung nach Freigabe
Auswirkungsanalyse
CVE-2019-2215 hat einen CVSS 3.1-Score von 7,8 (HIGH) und stellt eine ernsthafte lokale Privilegieneskalationsbedrohung dar. Der Angriffsvektor ist lokal, die Angriffskomplexität gering und keine Benutzerinteraktion erforderlich. Es werden nur geringe Privilegien benötigt, was die Ausnutzung von jeder installierten Anwendung aus ermöglicht. Eine erfolgreiche Ausnutzung gewährt vollständige Kontrolle auf Kernel-Ebene über Vertraulichkeit, Integrität und Verfügbarkeit. Der EPSS-Score von 52,9 % zeigt eine hohe Ausnutzungswahrscheinlichkeit, und die Rolle der Schwachstelle in der AbstractEmu-Exploit-Kette demonstriert ihren praktischen Wert in realen Angriffsszenarien.
Exploit-Reifegrad
CVE-2019-2215 wurde als aktiv ausgenutzt bestätigt und ist im CISA Known Exploited Vulnerabilities-Katalog gelistet. Öffentlich verfügbarer Exploit-Code ist über Packet Storm Security und einen zweiten Exploit verfügbar. Die Schwachstelle wurde in der "AbstractEmu"-Exploit-Kette mit CVE-2020-0041 (Out-of-Bounds Write in binder.c) und CVE-2020-0069 (MediaTek-Chipset-Schwachstelle) kombiniert, um vollständige Gerätekompromittierung zu erreichen. Der EPSS-Score von 52,9 % (97,9. Perzentile) bestätigt eine hohe laufende Ausnutzungsaktivität.
Behebung
- Android-Sicherheitsupdates sofort anwenden gemäß CISA-KEV-Pflichtmaßnahme: Apply updates per vendor instructions. Google hat diese Schwachstelle im Android Security Bulletin Oktober 2019 adressiert.
- Stellen Sie sicher, dass alle Android-Geräte mit den neuesten verfügbaren Sicherheitspatches aktualisiert sind. Der Fix ist in den Android-Kernel-Patches unter Android ID A-141720095 enthalten.
- Für Geräte, die keine Vendor-Updates mehr erhalten, setzen Sie MDM-Lösungen ein, um die App-Installation auf vertrauenswürdige Quellen zu beschränken.
- Überwachen Sie Geräteprotokolle auf verdächtige Binder-Transaktionsaktivitäten und ungewöhnliche Privilegieneskalationsindikatoren.
- Implementieren Sie Netzwerk-Level-Kontrollen zur Verhinderung der Installation von Anwendungen aus nicht vertrauenswürdigen Quellen.
Technische Details
CVE-2019-2215 ist eine Use-After-Free-Schwachstelle im Android-Kernel-Binder-Treiber (binder.c), der die Inter-Prozess-Kommunikation (IPC) auf Android-Geräten verwaltet. Die Schwachstelle tritt auf, wenn ein Binder-Transaktionsobjekt während einer bestimmten Sequenz von Binder-Operationen freigegeben wird, aber eine Referenz auf das freigegebene Objekt bestehen bleibt. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H bestätigt lokalen Zugriff mit geringen Privilegien ohne Benutzerinteraktion. Durch präzises Timing von Binder-Operationen kann ein Angreifer die Use-After-Free-Bedingung auslösen und beliebigen Code im Kernel-Kontext ausführen. Die Schwachstelle wurde in der AbstractEmu-Exploit-Kette mit CVE-2020-0041 und CVE-2020-0069 kombiniert.
Häufig gestellte Fragen
Wird CVE-2019-2215 aktiv ausgenutzt?
Ja. CVE-2019-2215 wird aktiv ausgenutzt und ist im CISA KEV-Katalog gelistet. Die Schwachstelle wurde als Teil der AbstractEmu-Exploit-Kette eingesetzt, kombiniert mit CVE-2020-0041 und CVE-2020-0069 für vollständige Gerätekompromittierung.
Welche Produkte sind von CVE-2019-2215 betroffen?
CVE-2019-2215 betrifft primär Google Android-Geräte. Zusätzlich sind Debian Linux 8.0, Canonical Ubuntu Linux 16.04 und verschiedene NetApp-Produkte einschließlich Cloud Backup, HCI Management Node und SolidFire durch gemeinsame Linux-Kernel-Komponenten betroffen.
Wie behebe ich CVE-2019-2215?
Wenden Sie die Android-Sicherheitsupdates aus dem Security Bulletin Oktober 2019 an (Android ID A-141720095). Für Geräte ohne Updates beschränken Sie die App-Installation auf vertrauenswürdige Quellen. Für Linux-basierte Systeme wenden Sie die entsprechenden Kernel-Patches Ihrer Distribution an.
Wie schwerwiegend ist CVE-2019-2215?
CVE-2019-2215 hat einen CVSS 3.1-Score von 7,8 (HIGH) und einen EPSS-Score von 52,9 % (97,9. Perzentile). Die Schwachstelle ermöglicht Kernel-Level-Privilegieneskalation von jeder installierten Anwendung und ist eine kritische Bedrohung für Android-Gerätesicherheit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.