Nexus सुरक्षा बुलेटिन - फरवरी 2016

01 फरवरी 2016 को प्रकाशित | 7 मार्च 2016 को अपडेट किया गया

हमने अपनी Android सुरक्षा बुलेटिन मासिक रिलीज़ प्रक्रिया के भाग के रूप में एक ओवर-द-एयर (OTA) अपडेट के माध्यम से Nexus डिवाइस के लिए एक सुरक्षा अपडेट जारी किया है। नेक्सस फर्मवेयर छवियों को Google डेवलपर साइट पर भी जारी किया गया है। LMY49G या बाद के संस्करण और Android M को 1 फरवरी, 2016 के सुरक्षा पैच स्तर के साथ बनाता है या बाद में इन मुद्दों को संबोधित करता है। सुरक्षा पैच स्तर की जांच कैसे करें, इस पर निर्देशों के लिए Nexus दस्तावेज़ देखें।

बुलेटिन में वर्णित मुद्दों के बारे में भागीदारों को 4 जनवरी, 2016 या इससे पहले सूचित किया गया था। जहां लागू हो, इन मुद्दों के लिए स्रोत कोड पैच Android ओपन सोर्स प्रोजेक्ट (AOSP) रिपॉजिटरी को जारी कर दिए गए हैं।

इन मुद्दों में सबसे गंभीर एक गंभीर सुरक्षा भेद्यता है जो मीडिया फ़ाइलों को संसाधित करते समय ईमेल, वेब ब्राउज़िंग और एमएमएस जैसी कई विधियों के माध्यम से एक प्रभावित डिवाइस पर रिमोट कोड निष्पादन को सक्षम कर सकती है। ब्रॉडकॉम के वाई-फाई ड्राइवर में रिमोट कोड निष्पादन भेद्यता भी गंभीर गंभीरता है क्योंकि यह हमलावर के समान नेटवर्क से कनेक्ट होने पर एक प्रभावित डिवाइस पर रिमोट कोड निष्पादन की अनुमति दे सकता है। गंभीरता का मूल्यांकन इस प्रभाव पर आधारित है कि भेद्यता का शोषण संभवतः एक प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफॉर्म और सेवा शमन विकास उद्देश्यों के लिए अक्षम हैं या यदि सफलतापूर्वक बायपास किया गया है।

हमारे पास इन नए रिपोर्ट किए गए मुद्दों के सक्रिय ग्राहक शोषण की कोई रिपोर्ट नहीं है। Android सुरक्षा प्लेटफ़ॉर्म सुरक्षा और सुरक्षा सुरक्षा जैसे सेवा सुरक्षा के विवरण के लिए मिटिगेशन अनुभाग देखें, जो Android प्लेटफ़ॉर्म की सुरक्षा में सुधार करता है। हम सभी ग्राहकों को इन अपडेट को अपने उपकरणों पर स्वीकार करने के लिए प्रोत्साहित करते हैं।

न्यूनीकरण

यह एंड्रॉइड सुरक्षा प्लेटफॉर्म और सेफ्टीनेट जैसे सेवा सुरक्षा द्वारा प्रदान किए गए शमन का सारांश है। ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा कमजोरियों का सफलतापूर्वक शोषण किया जा सकता है।

• एंड्रॉइड प्लेटफॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा एंड्रॉइड पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
• Android सुरक्षा टीम, Verify Apps और SafetyNet के साथ दुर्व्यवहार के लिए सक्रिय रूप से निगरानी कर रही है, जो संभावित रूप से हानिकारक ऐप्लिकेशन इंस्टॉल होने के बारे में चेतावनी देगा। Google Play में डिवाइस रूट करने वाले टूल प्रतिबंधित हैं। Google Play के बाहर से एप्लिकेशन इंस्टॉल करने वाले उपयोगकर्ताओं की सुरक्षा के लिए, ऐप्स सत्यापित करें डिफ़ॉल्ट रूप से सक्षम है और उपयोगकर्ताओं को ज्ञात रूटिंग एप्लिकेशन के बारे में चेतावनी देगा। सत्यापित करें कि ऐप्स एक विशेषाधिकार वृद्धि भेद्यता का फायदा उठाने वाले ज्ञात दुर्भावनापूर्ण अनुप्रयोगों की पहचान करने और उनकी स्थापना को अवरुद्ध करने का प्रयास करते हैं। यदि ऐसा कोई एप्लिकेशन पहले ही इंस्टॉल किया जा चुका है, तो ऐप्स सत्यापित करें उपयोगकर्ता को सूचित करेगा और ऐसे किसी भी एप्लिकेशन को निकालने का प्रयास करेगा।
• जैसा उचित हो, Google Hangouts और Messenger एप्लिकेशन मीडिया को मीडिया सर्वर जैसी प्रक्रियाओं में स्वचालित रूप से नहीं भेजते हैं।

स्वीकृतियाँ

हम इन शोधकर्ताओं को उनके योगदान के लिए धन्यवाद देना चाहते हैं:

• Android और Chrome सुरक्षा टीम: CVE-2016-0809, CVE-2016-0810
• ब्रॉडगेट टीम: सीवीई-2016-0801, सीवीई-2015-0802
• चियाचिह वू ( @chiachih_wu ), मिंगजियान झोउ ( @Mingjian_Zhou ), और C0RE टीम के Xuxian जियांग, Qihoo 360 : CVE-2016-0804
• Google Pixel C टीम के डेविड रिले: CVE-2016-0812
• लैब आइसस्वॉर्ड की गेंगजिया चेन ( @ चेंगजिया 4574 ), किहू 360: सीवीई-2016-0805
• कीनलैब ( @keen_lab ), Tencent: CVE-2016-0811 के Qidan He ( @Flanker_hqd )
• ट्रेंड माइक्रो ( www.trendmicro.com ) के सेवन शेन ( @lingtongshen ): CVE-2016-0803
• अलीबाबा इंक के वीचाओ सन ( @sunblate ): CVE-2016-0808
• Android सुरक्षा टीम के Zach Riggle ( @ebeip90 ): CVE-2016-0807

सुरक्षा भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2016-02-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। समस्या का विवरण, गंभीरता का औचित्य, और सीवीई, संबंधित बग, गंभीरता, प्रभावित संस्करण और रिपोर्ट की गई तारीख के साथ एक तालिका है। उपलब्ध होने पर, हम उस AOSP कमिट को लिंक करेंगे जिसने समस्या को बग आईडी से संबोधित किया था। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त AOSP संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।

ब्रॉडकॉम वाई-फाई ड्राइवर में रिमोट कोड निष्पादन भेद्यता

ब्रॉडकॉम वाई-फाई ड्राइवर में कई दूरस्थ निष्पादन कमजोरियां रिमोट हमलावर को कर्नेल मेमोरी को दूषित करने के लिए विशेष रूप से तैयार किए गए वायरलेस नियंत्रण संदेश पैकेट का उपयोग करने की अनुमति दे सकती हैं जिससे कर्नेल के संदर्भ में रिमोट कोड निष्पादन होता है। इन कमजोरियों को ट्रिगर किया जा सकता है जब हमलावर और पीड़ित एक ही नेटवर्क से जुड़े हों। उपयोगकर्ता सहभागिता की आवश्यकता के बिना कर्नेल के संदर्भ में रिमोट कोड निष्पादन की संभावना के कारण इस समस्या को गंभीर गंभीरता के रूप में रेट किया गया है।

Mediaserver में रिमोट कोड निष्पादन भेद्यता

मीडिया फ़ाइल और विशेष रूप से तैयार की गई फ़ाइल के डेटा प्रोसेसिंग के दौरान, मीडियासर्वर में कमजोरियाँ एक हमलावर को मेमोरी भ्रष्टाचार और रिमोट कोड निष्पादन को मीडियासर्वर प्रक्रिया के रूप में करने की अनुमति दे सकती हैं।

प्रभावित कार्यक्षमता ऑपरेटिंग सिस्टम के मुख्य भाग के रूप में प्रदान की जाती है और ऐसे कई अनुप्रयोग हैं जो इसे दूरस्थ सामग्री, विशेष रूप से एमएमएस और मीडिया के ब्राउज़र प्लेबैक के साथ पहुंचने की अनुमति देते हैं।

मीडियासर्वर सेवा के संदर्भ में रिमोट कोड निष्पादन की संभावना के कारण इस समस्या को गंभीर गंभीरता के रूप में रेट किया गया है। मीडियासर्वर सेवा के पास ऑडियो और वीडियो स्ट्रीम के साथ-साथ उन विशेषाधिकारों तक पहुंच है जो सामान्य रूप से तृतीय-पक्ष एप्लिकेशन तक नहीं पहुंच सकते हैं।

क्वालकॉम प्रदर्शन मॉड्यूल में विशेषाधिकार भेद्यता का उन्नयन

क्वालकॉम से एआरएम प्रोसेसर के लिए प्रदर्शन इवेंट मैनेजर घटक में विशेषाधिकार भेद्यता का उन्नयन एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के भीतर मनमाने कोड को निष्पादित करने में सक्षम कर सकता है। स्थानीय स्थायी डिवाइस समझौता की संभावना के कारण इस समस्या को गंभीर गंभीरता के रूप में रेट किया गया है और संभवतः ऑपरेटिंग सिस्टम को फिर से फ्लैश करके डिवाइस को सुधारने की आवश्यकता होगी।

* इस मुद्दे के लिए पैच AOSP में नहीं है। अद्यतन Google डेवलपर साइट से उपलब्ध Nexus उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में निहित है।

क्वालकॉम वाई-फाई ड्राइवर में विशेषाधिकार भेद्यता का उन्नयन

क्वालकॉम वाई-फाई ड्राइवर में एक भेद्यता है जो स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकती है। स्थानीय स्थायी डिवाइस समझौता की संभावना के कारण इस समस्या को गंभीर गंभीरता के रूप में रेट किया गया है और संभवतः ऑपरेटिंग सिस्टम को फिर से फ्लैश करके डिवाइस को सुधारने की आवश्यकता होगी।

* इस मुद्दे के लिए पैच AOSP में नहीं है। अद्यतन Google डेवलपर साइट से उपलब्ध Nexus उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में निहित है।

डीबगर में विशेषाधिकार भेद्यता का उन्नयन

डीबगर घटक में विशेषाधिकार भेद्यता का उन्नयन एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को डिवाइस रूट संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। स्थानीय स्थायी डिवाइस समझौता की संभावना के कारण इस समस्या को गंभीर गंभीरता के रूप में रेट किया गया है और संभवतः ऑपरेटिंग सिस्टम को फिर से फ्लैश करके डिवाइस को सुधारने की आवश्यकता होगी।

मिनिकिन में सेवा भेद्यता से इनकार

मिनिकिन लाइब्रेरी में सेवा भेद्यता से इनकार एक स्थानीय हमलावर को एक प्रभावित डिवाइस तक पहुंच को अस्थायी रूप से अवरुद्ध करने की अनुमति दे सकता है। एक हमलावर एक अविश्वसनीय फ़ॉन्ट को लोड करने का कारण बन सकता है और मिनिकिन घटक में अतिप्रवाह का कारण बन सकता है जिससे दुर्घटना हो सकती है। इसे उच्च गंभीरता के रूप में रेट किया गया है क्योंकि सेवा से इनकार करने से निरंतर रीबूट लूप होता है।

वाई-फाई में विशेषाधिकार भेद्यता का उन्नयन

वाई-फाई घटक में विशेषाधिकार भेद्यता का उन्नयन एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को सिस्टम संदर्भ में मनमाने कोड को निष्पादित करने में सक्षम कर सकता है। एक उपकरण केवल स्थानीय निकटता में होने पर ही इस समस्या के प्रति संवेदनशील होता है। इस मुद्दे को उच्च गंभीरता के रूप में दर्जा दिया गया है क्योंकि इसका उपयोग दूर से " सामान्य " क्षमताओं को प्राप्त करने के लिए किया जा सकता है। आम तौर पर, ये अनुमतियाँ केवल स्थानीय रूप से स्थापित तृतीय-पक्ष अनुप्रयोगों के लिए ही पहुँच योग्य होती हैं।

Mediaserver में विशेषाधिकार भेद्यता का उन्नयन

मीडियासर्वर में विशेषाधिकार भेद्यता का उन्नयन एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को एक उन्नत सिस्टम एप्लिकेशन के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस समस्या को उच्च गंभीरता के रूप में रेट किया गया है क्योंकि इसका उपयोग उन्नत क्षमताओं को प्राप्त करने के लिए किया जा सकता है, जैसे कि सिग्नेचर या सिग्नेचरऑरसिस्टम अनुमति विशेषाधिकार, जो किसी तृतीय-पक्ष एप्लिकेशन के लिए सुलभ नहीं हैं।

libmediaplayerservice में सूचना प्रकटीकरण भेद्यता

मंच का शोषण करने वाले हमलावरों की कठिनाई को बढ़ाने के लिए libmediaplayerservice में एक सूचना प्रकटीकरण भेद्यता सुरक्षा उपायों के बाईपास की अनुमति दे सकती है। इन मुद्दों को उच्च गंभीरता के रूप में रेट किया गया है क्योंकि इनका उपयोग उन्नत क्षमताओं को प्राप्त करने के लिए भी किया जा सकता है, जैसे कि सिग्नेचर या सिग्नेचरऑरसिस्टम अनुमति विशेषाधिकार, जो तीसरे पक्ष के अनुप्रयोगों के लिए सुलभ नहीं हैं।

सेटअप विज़ार्ड में विशेषाधिकार भेद्यता का उन्नयन

सेटअप विज़ार्ड में एक भेद्यता दुर्भावनापूर्ण हमलावर को फ़ैक्टरी रीसेट सुरक्षा को बायपास करने और डिवाइस तक पहुंच प्राप्त करने की अनुमति दे सकती है। इसे मध्यम गंभीरता के रूप में रेट किया गया है क्योंकि यह संभावित रूप से किसी को डिवाइस तक भौतिक पहुंच के साथ फ़ैक्टरी रीसेट सुरक्षा को बायपास करने की अनुमति देता है, जो एक हमलावर को सभी डेटा को मिटाते हुए डिवाइस को सफलतापूर्वक रीसेट करने में सक्षम बनाता है।

सामान्य प्रश्न और उत्तर

यह खंड उन सामान्य प्रश्नों के उत्तरों की समीक्षा करता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि इन समस्याओं को दूर करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?

1 फरवरी, 2016 के सुरक्षा पैच स्तर के साथ LMY49G या बाद के संस्करण और Android 6.0 बनाता है या बाद में इन मुद्दों को संबोधित करता है। सुरक्षा पैच स्तर की जांच कैसे करें, इस पर निर्देशों के लिए Nexus दस्तावेज़ देखें। इन अद्यतनों को शामिल करने वाले डिवाइस निर्माताओं को पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए: [ro.build.version.security_patch]:[2016-02-01]

संशोधन

• 01 फरवरी 2016: बुलेटिन प्रकाशित।
• 02 फरवरी, 2016: एओएसपी लिंक को शामिल करने के लिए बुलेटिन में संशोधन किया गया।
• 07 मार्च 2016: अतिरिक्त एओएसपी लिंक को शामिल करने के लिए बुलेटिन में संशोधन किया गया।