Android নিরাপত্তা বুলেটিন—আগস্ট 2016

প্রকাশিত আগস্ট 01, 2016 | 21 অক্টোবর, 2016 আপডেট করা হয়েছে

অ্যান্ড্রয়েড সিকিউরিটি বুলেটিনে অ্যান্ড্রয়েড ডিভাইসগুলিকে প্রভাবিত করে এমন নিরাপত্তা দুর্বলতার বিবরণ রয়েছে৷ বুলেটিনের পাশাপাশি, আমরা ওভার-দ্য-এয়ার (OTA) আপডেটের মাধ্যমে Nexus ডিভাইসে একটি নিরাপত্তা আপডেট প্রকাশ করেছি। নেক্সাস ফার্মওয়্যারের ছবিগুলিও গুগল ডেভেলপার সাইটে প্রকাশ করা হয়েছে। 05 অগাস্ট, 2016 বা তার পরে নিরাপত্তা প্যাচ স্তরগুলি এই সমস্যাগুলির সমাধান করে৷ সিকিউরিটি প্যাচ লেভেল কিভাবে চেক করতে হয় তা জানতে ডকুমেন্টেশন পড়ুন।

06 জুলাই, 2016 বা তার আগে বুলেটিনে বর্ণিত সমস্যাগুলি সম্পর্কে অংশীদারদের অবহিত করা হয়েছিল৷ যেখানে প্রযোজ্য, এই সমস্যাগুলির জন্য সোর্স কোড প্যাচগুলি Android ওপেন সোর্স প্রজেক্ট (AOSP) সংগ্রহস্থলে প্রকাশ করা হয়েছে৷ এই বুলেটিনে AOSP-এর বাইরের প্যাচগুলির লিঙ্কও রয়েছে৷

এই সমস্যাগুলির মধ্যে সবচেয়ে গুরুতর হল একটি গুরুতর নিরাপত্তা দুর্বলতা যা মিডিয়া ফাইলগুলি প্রক্রিয়া করার সময় ইমেল, ওয়েব ব্রাউজিং এবং এমএমএসের মতো একাধিক পদ্ধতির মাধ্যমে প্রভাবিত ডিভাইসে দূরবর্তী কোড কার্যকর করতে পারে। প্ল্যাটফর্ম এবং পরিষেবার প্রশমনগুলি উন্নয়নের উদ্দেশ্যে অক্ষম করা হয়েছে বা সফলভাবে বাইপাস করা হয়েছে বলে ধরে নিয়ে, দুর্বলতাকে কাজে লাগানোর প্রভাবের উপর ভিত্তি করে তীব্রতা মূল্যায়ন করা হয়।

আমাদের কাছে এই নতুন রিপোর্ট করা সমস্যাগুলির সক্রিয় গ্রাহক শোষণ বা অপব্যবহারের কোনও রিপোর্ট নেই। Android নিরাপত্তা প্ল্যাটফর্ম সুরক্ষা এবং SafetyNet এর মতো পরিষেবা সুরক্ষার বিষয়ে বিশদ বিবরণের জন্য Android এবং Google পরিষেবা প্রশমন বিভাগটি পড়ুন, যা Android প্ল্যাটফর্মের নিরাপত্তা উন্নত করে৷

আমরা সমস্ত গ্রাহকদের তাদের ডিভাইসে এই আপডেটগুলি গ্রহণ করতে উত্সাহিত করি৷

ঘোষণা

• বুলেটিন সংশোধন করে CVE-2016-3856 থেকে CVE-2016-2060 করা হয়েছে।
• এই বুলেটিনে দুটি নিরাপত্তা প্যাচ স্তরের স্ট্রিং রয়েছে যাতে Android অংশীদারদের নমনীয়তা প্রদান করে যাতে সমস্ত অ্যান্ড্রয়েড ডিভাইসে একই রকম দুর্বলতার একটি উপসেট ঠিক করার জন্য আরও দ্রুত সরানো যায়৷ অতিরিক্ত তথ্যের জন্য সাধারণ প্রশ্ন এবং উত্তর দেখুন:
  • 2016-08-01 : আংশিক নিরাপত্তা প্যাচ স্তরের স্ট্রিং। এই নিরাপত্তা প্যাচ স্তরের স্ট্রিংটি নির্দেশ করে যে 2016-08-01 (এবং সমস্ত পূর্ববর্তী নিরাপত্তা প্যাচ স্তরের স্ট্রিং) এর সাথে সম্পর্কিত সমস্ত সমস্যা সমাধান করা হয়েছে৷
  • 2016-08-05 : সম্পূর্ণ নিরাপত্তা প্যাচ স্তরের স্ট্রিং। এই নিরাপত্তা প্যাচ স্তরের স্ট্রিংটি নির্দেশ করে যে 2016-08-01 এবং 2016-08-05 (এবং পূর্ববর্তী সমস্ত নিরাপত্তা প্যাচ স্তরের স্ট্রিং) এর সাথে সম্পর্কিত সমস্ত সমস্যা সমাধান করা হয়েছে৷
• সমর্থিত Nexus ডিভাইসগুলি আগস্ট 05, 2016 নিরাপত্তা প্যাচ স্তরের সাথে একটি একক OTA আপডেট পাবে।

অ্যান্ড্রয়েড এবং গুগল পরিষেবা প্রশমন

এটি Android নিরাপত্তা প্ল্যাটফর্ম এবং SafetyNet এর মতো পরিষেবা সুরক্ষা দ্বারা প্রদত্ত প্রশমনের একটি সারাংশ। এই ক্ষমতাগুলি Android-এ নিরাপত্তার দুর্বলতাগুলি সফলভাবে কাজে লাগানোর সম্ভাবনা কমিয়ে দেয়৷

• অ্যান্ড্রয়েড প্ল্যাটফর্মের নতুন সংস্করণে বর্ধিতকরণের মাধ্যমে অ্যান্ড্রয়েডে অনেক সমস্যার জন্য শোষণকে আরও কঠিন করা হয়েছে। আমরা সকল ব্যবহারকারীকে যেখানে সম্ভব Android এর সর্বশেষ সংস্করণে আপডেট করতে উৎসাহিত করি।
• Android সিকিউরিটি টিম সক্রিয়ভাবে Verify Apps এবং SafetyNet এর সাথে অপব্যবহারের জন্য নিরীক্ষণ করে, যা ব্যবহারকারীদের সম্ভাব্য ক্ষতিকারক অ্যাপ্লিকেশন সম্পর্কে সতর্ক করার জন্য ডিজাইন করা হয়েছে৷ Google মোবাইল পরিষেবাগুলির সাথে ডিভাইসগুলিতে ডিফল্টরূপে অ্যাপগুলিকে যাচাইকরণ সক্ষম করা থাকে এবং বিশেষ করে যারা Google Play এর বাইরে থেকে অ্যাপ্লিকেশনগুলি ইনস্টল করেন তাদের জন্য এটি গুরুত্বপূর্ণ৷ ডিভাইস রুট করার টুলগুলি Google Play-এর মধ্যে নিষিদ্ধ, কিন্তু ভেরিফাই অ্যাপ্লিকেশানগুলি ব্যবহারকারীদের সতর্ক করে যখন তারা একটি শনাক্ত রুটিং অ্যাপ্লিকেশন ইনস্টল করার চেষ্টা করে—সেটি যেখান থেকেই আসুক না কেন। উপরন্তু, ভেরিফাই অ্যাপ্লিকেশানগুলি পরিচিত দূষিত অ্যাপ্লিকেশনগুলির ইনস্টলেশন সনাক্ত এবং ব্লক করার চেষ্টা করে যা একটি বিশেষাধিকার বৃদ্ধির দুর্বলতাকে কাজে লাগায়৷ যদি এই ধরনের একটি অ্যাপ্লিকেশন ইতিমধ্যেই ইনস্টল করা হয়ে থাকে, তবে ভেরিফাই অ্যাপ্লিকেশানগুলি ব্যবহারকারীকে অবহিত করবে এবং সনাক্ত করা অ্যাপ্লিকেশনটি সরানোর চেষ্টা করবে৷
• উপযুক্ত হিসাবে, Google Hangouts এবং Messenger অ্যাপ্লিকেশনগুলি মিডিয়া সার্ভারের মতো প্রক্রিয়াগুলিতে স্বয়ংক্রিয়ভাবে মিডিয়া পাস করে না।

স্বীকৃতি

আমরা এই গবেষকদের তাদের অবদানের জন্য ধন্যবাদ জানাতে চাই:

• গুগল ক্রোম সিকিউরিটি টিমের অভিষেক আর্য, অলিভার চ্যাং এবং মার্টিন বারবেলা: CVE-2016-3821, CVE-2016-3837
• অ্যাডাম ডোনেনফেল্ড এবং অন্যান্য। চেক পয়েন্ট সফটওয়্যার টেকনোলজিস লিমিটেডের: CVE-2016-2504
• Chiachih Wu ( @chiachih_wu ), Mingjian Zhou ( @Mingjian_Zhou ), এবং C0RE টিমের Xuxian জিয়াং: CVE-2016-3844
• চিয়াচিহ উ ( @chiachih_wu ), ইউয়ান-সুং লো ( computernik@gmail.com) , এবং C0RE টিমের Xuxian জিয়াং: CVE-2016-3857
• গুগলের ডেভিড বেঞ্জামিন এবং কেনি রুট: CVE-2016-3840
• আলিবাবা মোবাইল সিকিউরিটি টিমের দাওয়েই পেং ( Vinc3nt4H ) : CVE-2016-3822
• ডি শেন ( @returnsme ) KeenLab ( @keen_lab ), Tencent: CVE-2016-3842
• গুগলের ডায়ান হ্যাকবর্ন: CVE-2016-2497
• গুগল ডায়নামিক টুলস দলের দিমিত্রি ভিউকভ: CVE-2016-3841
• গেঞ্জিয়া চেন ( @chengjia4574 ), IceSword Lab এর pjf ( weibo.com/jfpan ), Qihoo 360 Technology Co. Ltd .: CVE-2016-3852
• আলফা টিমের গুয়াং গং (龚广) ( @oldfresher ), Qihoo 360 Technology Co. Ltd .: CVE-2016-3834
• Fortinet এর FortiGuard ল্যাবসের কাই লু ( @K3vinLuSec ): CVE-2016-3820
• কান্দালা শিবরাম রেড্ডি, ডিএস, এবং উপ্পি: CVE-2016-3826
• মিংজিয়ান ঝোউ ( @মিংজিয়ান_ঝোউ ), চিয়াচিহ উ ( @চিয়াচিহ_উউ ), এবং সি0 আরই দলের জুক্সিয়ান জিয়াং: CVE-2016-3823, CVE-2016-3835, CVE-2016-3824, CVE-2016-2016
• টেসলা মোটরস প্রোডাক্ট সিকিউরিটি টিমের নাথান ক্র্যান্ডাল ( @natecray ): CVE-2016-3847, CVE-2016-3848
• আলিবাবা মোবাইল সিকিউরিটি গ্রুপের পেং জিয়াও, চেংমিং ইয়াং, নিং ইউ, চাও ইয়াং এবং ইয়াং গান: CVE-2016-3845
• ট্রেন্ড মাইক্রো এর পিটার পাই ( @হাইসকোড ): CVE-2016-3849
• WooYun TangLab- এর Qianwei Hu ( rayxcp@gmail.com ) : CVE-2016-3846
• কিদান হে ( @flanker_hqd ) KeenLab ( @keen_lab ), Tencent: CVE-2016-3832
• গুগলের শারভিল নানাবতী: CVE-2016-3839
• শিনজো পার্ক ( @ad_ili_rai ) এবং আলতাফ শাইক অফ সিকিউরিটি ইন টেলিকমিউনিকেশন : CVE-2016-3831
• টম রুটজাঙ্কি: CVE-2016-3853
• ভ্যাসিলি ভ্যাসিলিভ: CVE-2016-3819
• আলিবাবা ইনকর্পোরেটেডের ওয়েইচাও সান ( @সানব্লেট ): CVE-2016-3827, CVE-2016-3828, CVE-2016-3829
• ট্রেন্ড মাইক্রো ইনকর্পোরেটেডের উইশ উ (吴潍浠) ( @wish_wu )।: CVE-2016-3843
• Tencent এর Xuanwu LAB-এর Yongke Wang ( @Rudykewang ): CVE-2016-3836

CVE-2016-3843-এর মতো দুর্বলতাগুলির একটি শ্রেণী প্রশমিত করতে প্ল্যাটফর্ম স্তরের আপডেটগুলিতে অবদানের জন্য আমরা কপারহেড সিকিউরিটির ড্যানিয়েল মাইকে, জেফ ভ্যান্ডার স্টোপ এবং Google-এর ইয়াবিন কুইকে ধন্যবাদ জানাতে চাই৷ গ্রসিকিউরিটির ব্র্যাড স্পেংলারের কাজের উপর ভিত্তি করে এই প্রশমন করা হয়েছে।

2016-08-01 নিরাপত্তা প্যাচ স্তর—নিরাপত্তা দুর্বলতার বিবরণ

নীচের বিভাগগুলিতে, আমরা 2016-08-01 প্যাচ স্তরে প্রযোজ্য প্রতিটি নিরাপত্তা দুর্বলতার জন্য বিশদ প্রদান করি। সমস্যাটির একটি বিবরণ, একটি তীব্রতার যুক্তি, এবং CVE সহ একটি টেবিল, সংশ্লিষ্ট রেফারেন্স, তীব্রতা, আপডেট করা নেক্সাস ডিভাইস, আপডেট করা AOSP সংস্করণ (যেখানে প্রযোজ্য), এবং রিপোর্ট করা তারিখ রয়েছে। উপলভ্য হলে, আমরা বাগ আইডি, যেমন AOSP পরিবর্তন তালিকার সাথে সমস্যার সমাধানকারী সর্বজনীন পরিবর্তনকে লিঙ্ক করব। যখন একাধিক পরিবর্তন একটি একক বাগের সাথে সম্পর্কিত হয়, তখন বাগ আইডি অনুসরণকারী সংখ্যার সাথে অতিরিক্ত উল্লেখ সংযুক্ত করা হয়।

মিডিয়াসার্ভারে রিমোট কোড এক্সিকিউশন দুর্বলতা

মিডিয়া সার্ভারে একটি দূরবর্তী কোড কার্যকর করার দুর্বলতা একটি আক্রমণকারীকে একটি বিশেষভাবে তৈরি করা ফাইল ব্যবহার করে মিডিয়া ফাইল এবং ডেটা প্রক্রিয়াকরণের সময় মেমরি দুর্নীতির কারণ হতে পারে। মিডিয়াসার্ভার প্রক্রিয়ার প্রেক্ষাপটে দূরবর্তী কোড কার্যকর করার সম্ভাবনার কারণে এই সমস্যাটিকে সমালোচনামূলক হিসাবে রেট করা হয়েছে। মিডিয়াসার্ভার প্রক্রিয়ার অডিও এবং ভিডিও স্ট্রিমগুলিতে অ্যাক্সেস রয়েছে, সেইসাথে বিশেষাধিকারগুলিতে অ্যাক্সেস রয়েছে যা তৃতীয় পক্ষের অ্যাপগুলি সাধারণত অ্যাক্সেস করতে পারে না।

প্রভাবিত কার্যকারিতা অপারেটিং সিস্টেমের একটি মূল অংশ হিসাবে সরবরাহ করা হয় এবং একাধিক অ্যাপ্লিকেশন রয়েছে যা এটিকে দূরবর্তী সামগ্রীর সাথে পৌঁছানোর অনুমতি দেয়, বিশেষত MMS এবং মিডিয়ার ব্রাউজার প্লেব্যাক।

libjhead এ রিমোট কোড এক্সিকিউশন দুর্বলতা

libjhead-এ একটি দূরবর্তী কোড কার্যকর করার দুর্বলতা একটি বিশেষভাবে তৈরি করা ফাইল ব্যবহার করে আক্রমণকারীকে একটি সুবিধাহীন প্রক্রিয়ার প্রেক্ষাপটে নির্বিচারে কোড চালানোর জন্য সক্ষম করতে পারে। এই লাইব্রেরি ব্যবহার করে এমন অ্যাপ্লিকেশনগুলিতে দূরবর্তী কোড কার্যকর করার সম্ভাবনার কারণে এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে৷

মিডিয়াসার্ভারে বিশেষাধিকার দুর্বলতার উচ্চতা

মিডিয়াসার্ভারে বিশেষাধিকারের দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে একটি সুবিধাপ্রাপ্ত প্রক্রিয়ার প্রেক্ষাপটে নির্বিচারে কোড চালানোর জন্য সক্ষম করতে পারে। এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে কারণ এটি উন্নত ক্ষমতাগুলিতে স্থানীয় অ্যাক্সেস পেতে ব্যবহার করা যেতে পারে, যা সাধারণত তৃতীয় পক্ষের অ্যাপ্লিকেশনে অ্যাক্সেসযোগ্য নয়।

মিডিয়াসার্ভারে পরিষেবার দুর্বলতা অস্বীকার করা

মিডিয়াসার্ভারে পরিষেবার দুর্বলতা অস্বীকার করা হলে একটি বিশেষভাবে তৈরি করা ফাইল ব্যবহার করে আক্রমণকারীকে একটি ডিভাইস হ্যাং বা রিবুট করতে সক্ষম করতে পারে। পরিষেবার অস্থায়ী দূরবর্তী অস্বীকৃতির সম্ভাবনার কারণে এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে৷

সিস্টেম ঘড়িতে পরিষেবার দুর্বলতা অস্বীকার

সিস্টেম ঘড়িতে পরিষেবার দুর্বলতা অস্বীকার করা একটি দূরবর্তী আক্রমণকারীকে ডিভাইসটি ক্র্যাশ করতে সক্ষম করতে পারে। পরিষেবার অস্থায়ী দূরবর্তী অস্বীকৃতির সম্ভাবনার কারণে এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে৷

ফ্রেমওয়ার্ক এপিআই-এ বিশেষাধিকার দুর্বলতার উচ্চতা

ফ্রেমওয়ার্ক API-এ বিশেষাধিকার দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে অপারেটিং সিস্টেম সুরক্ষাগুলিকে বাইপাস করতে সক্ষম করতে পারে যা অন্যান্য অ্যাপ্লিকেশন থেকে অ্যাপ্লিকেশন ডেটা বিচ্ছিন্ন করে। এই সমস্যাটিকে মধ্যপন্থী হিসাবে রেট করা হয়েছে কারণ এটি অ্যাপ্লিকেশনের অনুমতি স্তরের বাইরের ডেটাতে অ্যাক্সেস পেতে ব্যবহার করা যেতে পারে৷

শেলে বিশেষাধিকারের দুর্বলতার উচ্চতা

শেলে বিশেষাধিকারের উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে ডিভাইসের সীমাবদ্ধতা যেমন ব্যবহারকারীর সীমাবদ্ধতাগুলিকে বাইপাস করতে সক্ষম করতে পারে। এই সমস্যাটিকে মধ্যপন্থী হিসাবে রেট করা হয়েছে কারণ এটি ব্যবহারকারীর অনুমতিগুলির একটি স্থানীয় বাইপাস।

OpenSSL-এ তথ্য প্রকাশের দুর্বলতা

OpenSSL-এ একটি তথ্য প্রকাশের দুর্বলতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে তার অনুমতি স্তরের বাইরে ডেটা অ্যাক্সেস করার অনুমতি দিতে পারে। এই সমস্যাটিকে মধ্যপন্থী হিসাবে রেট করা হয়েছে কারণ এটি অনুমতি ছাড়াই সংবেদনশীল ডেটা অ্যাক্সেস করতে ব্যবহার করা যেতে পারে।

* সমর্থিত Nexus ডিভাইসগুলি যে সমস্ত উপলব্ধ আপডেটগুলি ইনস্টল করেছে সেগুলি এই দুর্বলতার দ্বারা প্রভাবিত হয় না৷

ক্যামেরা API-তে তথ্য প্রকাশের দুর্বলতা

ক্যামেরা API-তে তথ্য প্রকাশের দুর্বলতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে অনুমতির মাত্রার বাইরে ডেটা স্ট্রাকচার অ্যাক্সেস করার অনুমতি দিতে পারে। এই সমস্যাটিকে মধ্যপন্থী হিসাবে রেট করা হয়েছে কারণ এটি অনুমতি ছাড়াই সংবেদনশীল ডেটা অ্যাক্সেস করতে ব্যবহার করা যেতে পারে।

মিডিয়া সার্ভারে তথ্য প্রকাশের দুর্বলতা

মিডিয়াসার্ভারে একটি তথ্য প্রকাশের দুর্বলতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে তার অনুমতি স্তরের বাইরে ডেটা অ্যাক্সেস করার অনুমতি দিতে পারে। এই সমস্যাটিকে মধ্যপন্থী হিসাবে রেট করা হয়েছে কারণ এটি অনুমতি ছাড়াই সংবেদনশীল ডেটা অ্যাক্সেস করতে ব্যবহার করা যেতে পারে।

SurfaceFlinger-এ তথ্য প্রকাশের দুর্বলতা

SurfaceFlinger পরিষেবাতে একটি তথ্য প্রকাশের দুর্বলতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে তার অনুমতি স্তরের বাইরে ডেটা অ্যাক্সেস করতে সক্ষম করতে পারে। এই সমস্যাটিকে মধ্যপন্থী হিসাবে রেট করা হয়েছে কারণ এটি ব্যবহারকারীর স্পষ্ট অনুমতি ছাড়াই সংবেদনশীল ডেটা অ্যাক্সেস করতে ব্যবহার করা যেতে পারে।

Wi-Fi-এ তথ্য প্রকাশের দুর্বলতা

Wi-Fi-এ একটি তথ্য প্রকাশের দুর্বলতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে তার অনুমতি স্তরের বাইরে ডেটা অ্যাক্সেস করার অনুমতি দিতে পারে। এই সমস্যাটিকে মাঝারি রেট দেওয়া হয়েছে কারণ এটি অনুমতি ছাড়াই সংবেদনশীল ডেটা অ্যাক্সেস করতে ব্যবহার করা যেতে পারে।

সিস্টেম UI-তে পরিষেবার দুর্বলতা অস্বীকার করা

সিস্টেম UI-তে পরিষেবার দুর্বলতা অস্বীকার করা একটি লক করা স্ক্রীন থেকে 911 কল প্রতিরোধ করতে একটি স্থানীয় দূষিত অ্যাপ্লিকেশন সক্ষম করতে পারে৷ একটি গুরুত্বপূর্ণ ফাংশনে পরিষেবা অস্বীকার করার সম্ভাবনার কারণে এই সমস্যাটিকে মধ্যপন্থী হিসাবে রেট করা হয়েছে৷

ব্লুটুথে পরিষেবার দুর্বলতা অস্বীকার করা

ব্লুটুথের পরিষেবার দুর্বলতা অস্বীকার করলে একটি স্থানীয় দূষিত অ্যাপ্লিকেশন একটি ব্লুটুথ ডিভাইস থেকে 911টি কল প্রতিরোধ করতে সক্ষম হতে পারে। একটি গুরুত্বপূর্ণ ফাংশনে পরিষেবা অস্বীকার করার সম্ভাবনার কারণে এই সমস্যাটিকে মধ্যপন্থী হিসাবে রেট করা হয়েছে৷

2016-08-05 নিরাপত্তা প্যাচ লেভেল—ভালনারেবিলিটি বিশদ

নীচের বিভাগগুলিতে, আমরা 2016-08-05 প্যাচ স্তরে প্রযোজ্য প্রতিটি নিরাপত্তা দুর্বলতার জন্য বিশদ প্রদান করি। সমস্যাটির একটি বিবরণ, একটি তীব্রতার যুক্তি, এবং CVE সহ একটি টেবিল, সংশ্লিষ্ট রেফারেন্স, তীব্রতা, আপডেট করা নেক্সাস ডিভাইস, আপডেট করা AOSP সংস্করণ (যেখানে প্রযোজ্য), এবং রিপোর্ট করা তারিখ রয়েছে। উপলব্ধ হলে, আমরা AOSP পরিবর্তনের তালিকার মতো বাগ আইডিতে সমস্যাটির সমাধানকারী সর্বজনীন পরিবর্তনকে লিঙ্ক করব। যখন একাধিক পরিবর্তন একটি একক বাগের সাথে সম্পর্কিত হয়, তখন বাগ আইডি অনুসরণকারী সংখ্যার সাথে অতিরিক্ত উল্লেখ সংযুক্ত করা হয়।

Qualcomm Wi-Fi ড্রাইভারে রিমোট কোড এক্সিকিউশন দুর্বলতা

Qualcomm Wi-Fi ড্রাইভারের একটি দূরবর্তী কোড কার্যকর করার দুর্বলতা একটি দূরবর্তী আক্রমণকারীকে কার্নেলের প্রসঙ্গে নির্বিচারে কোড কার্যকর করতে সক্ষম করতে পারে। স্থানীয় স্থায়ী ডিভাইস আপস হওয়ার সম্ভাবনার কারণে এই সমস্যাটিকে জটিল হিসাবে রেট করা হয়েছে৷

কনস্ক্রিপ্টে রিমোট কোড এক্সিকিউশন দুর্বলতা

কনস্ক্রিপ্টে রিমোট কোড এক্সিকিউশন দুর্বলতা একজন রিমোট অ্যাটাকারকে সুবিধাপ্রাপ্ত প্রক্রিয়ার প্রেক্ষাপটে নির্বিচারে কোড চালাতে সক্ষম করতে পারে। দূরবর্তী কোড কার্যকর করার সম্ভাবনার কারণে এই সমস্যাটিকে জটিল হিসাবে রেট করা হয়েছে।

Qualcomm উপাদানগুলিতে বিশেষাধিকার দুর্বলতার উচ্চতা

নীচের সারণীতে নিরাপত্তা দুর্বলতা রয়েছে যা Qualcomm উপাদানগুলিকে প্রভাবিত করে, সম্ভাব্য বুটলোডার, ক্যামেরা ড্রাইভার, ক্যারেক্টার ড্রাইভ, নেটওয়ার্কিং, সাউন্ড ড্রাইভার এবং ভিডিও ড্রাইভার সহ।

এই সমস্যাগুলির মধ্যে সবচেয়ে গুরুতর সমস্যাটিকে সমালোচনামূলক হিসাবে রেট করা হয়েছে কারণ একটি স্থানীয় দূষিত অ্যাপ্লিকেশন কার্নেলের প্রেক্ষাপটে স্বেচ্ছাচারী কোড কার্যকর করতে পারে যা একটি স্থানীয় স্থায়ী ডিভাইস আপস করতে পারে, যার জন্য ডিভাইসটি মেরামত করার জন্য অপারেটিং সিস্টেমকে রিফ্ল্যাশ করার প্রয়োজন হতে পারে।

কার্নেল নেটওয়ার্কিং উপাদানে বিশেষাধিকার দুর্বলতার উচ্চতা

কার্নেল নেটওয়ার্কিং উপাদানে বিশেষাধিকার দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে কার্নেলের প্রসঙ্গে নির্বিচারে কোড কার্যকর করতে সক্ষম করতে পারে। স্থানীয় স্থায়ী ডিভাইস সমঝোতার সম্ভাবনার কারণে এই সমস্যাটিকে জটিল হিসাবে রেট করা হয়েছে, যার জন্য ডিভাইসটি মেরামত করার জন্য অপারেটিং সিস্টেমকে রিফ্ল্যাশ করার প্রয়োজন হতে পারে।

কোয়ালকম জিপিইউ ড্রাইভারে বিশেষাধিকার দুর্বলতার উচ্চতা

Qualcomm GPU ড্রাইভারে বিশেষাধিকার দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে কার্নেলের প্রেক্ষাপটে নির্বিচারে কোড কার্যকর করতে সক্ষম করতে পারে। স্থানীয় স্থায়ী ডিভাইস সমঝোতার সম্ভাবনার কারণে এই সমস্যাটিকে জটিল হিসাবে রেট করা হয়েছে, যার জন্য ডিভাইসটি মেরামত করার জন্য অপারেটিং সিস্টেমকে রিফ্ল্যাশ করার প্রয়োজন হতে পারে।

* এই সমস্যার জন্য প্যাচ সর্বজনীনভাবে উপলব্ধ নয়। আপডেটটি গুগল ডেভেলপার সাইট থেকে উপলব্ধ Nexus ডিভাইসগুলির জন্য সর্বশেষ বাইনারি ড্রাইভারগুলিতে রয়েছে৷

Qualcomm পারফরম্যান্স কম্পোনেন্টে বিশেষাধিকার দুর্বলতার উচ্চতা

কোয়ালকম পারফরম্যান্স কম্পোনেন্টে বিশেষাধিকার দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে কার্নেলের প্রসঙ্গে স্বেচ্ছাচারী কোড কার্যকর করতে সক্ষম করতে পারে। স্থানীয় স্থায়ী ডিভাইস সমঝোতার সম্ভাবনার কারণে এই সমস্যাটিকে জটিল হিসাবে রেট করা হয়েছে, যার জন্য ডিভাইসটি মেরামত করার জন্য অপারেটিং সিস্টেমকে রিফ্ল্যাশ করার প্রয়োজন হতে পারে।

দ্রষ্টব্য: A-29119870-এর অধীনে এই বুলেটিনে একটি প্ল্যাটফর্ম-স্তরের আপডেট রয়েছে যা এই শ্রেণীর দুর্বলতাগুলি প্রশমিত করার জন্য ডিজাইন করা হয়েছে৷

* এই সমস্যার জন্য প্যাচ সর্বজনীনভাবে উপলব্ধ নয়। আপডেটটি গুগল ডেভেলপার সাইট থেকে উপলব্ধ Nexus ডিভাইসগুলির জন্য সর্বশেষ বাইনারি ড্রাইভারগুলিতে রয়েছে৷

কার্নেলে বিশেষাধিকার দুর্বলতার উচ্চতা

কার্নেলে বিশেষাধিকার দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে কার্নেলের প্রসঙ্গে স্বেচ্ছাচারী কোড কার্যকর করতে সক্ষম করতে পারে। স্থানীয় স্থায়ী ডিভাইস সমঝোতার সম্ভাবনার কারণে এই সমস্যাটিকে জটিল হিসাবে রেট করা হয়েছে, যার জন্য ডিভাইসটি মেরামত করার জন্য অপারেটিং সিস্টেমকে রিফ্ল্যাশ করার প্রয়োজন হতে পারে।

* এই সমস্যার জন্য প্যাচ সর্বজনীনভাবে উপলব্ধ নয়। আপডেটটি গুগল ডেভেলপার সাইট থেকে উপলব্ধ Nexus ডিভাইসগুলির জন্য সর্বশেষ বাইনারি ড্রাইভারগুলিতে রয়েছে৷

কার্নেল মেমরি সিস্টেমে বিশেষাধিকার দুর্বলতার উচ্চতা

কার্নেল মেমরি সিস্টেমে বিশেষাধিকার দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে কার্নেলের প্রসঙ্গে নির্বিচারে কোড কার্যকর করতে সক্ষম করতে পারে। এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে কারণ এটির জন্য প্রথমে একটি বিশেষ সুবিধাপ্রাপ্ত প্রক্রিয়ার সাথে আপস করা প্রয়োজন৷

কার্নেল সাউন্ড কম্পোনেন্টে বিশেষাধিকার দুর্বলতার উচ্চতা

কার্নেল সাউন্ড কম্পোনেন্টে বিশেষাধিকার দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে কার্নেলের প্রসঙ্গে নির্বিচারে কোড কার্যকর করতে সক্ষম করতে পারে। এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে কারণ এটির জন্য প্রথমে একটি বিশেষ সুবিধাপ্রাপ্ত প্রক্রিয়ার সাথে আপস করা প্রয়োজন৷

কার্নেল ফাইল সিস্টেমে বিশেষাধিকার দুর্বলতার উচ্চতা

কার্নেল ফাইল সিস্টেমে বিশেষাধিকার দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে কার্নেলের প্রসঙ্গে স্বেচ্ছাচারী কোড কার্যকর করতে সক্ষম করতে পারে। এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে কারণ এটির জন্য প্রথমে একটি বিশেষ সুবিধাপ্রাপ্ত প্রক্রিয়ার সাথে আপস করা প্রয়োজন৷

মিডিয়াসার্ভারে বিশেষাধিকার দুর্বলতার উচ্চতা

মিডিয়াসার্ভারে বিশেষাধিকারের দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে একটি সুবিধাপ্রাপ্ত প্রক্রিয়ার প্রেক্ষাপটে নির্বিচারে কোড চালানোর জন্য সক্ষম করতে পারে। এই সমস্যাটি উচ্চ হিসাবে রেট করা হয়েছে কারণ এটি উচ্চতর ক্ষমতাগুলিতে স্থানীয় অ্যাক্সেস পেতে ব্যবহার করা যেতে পারে, যা তৃতীয় পক্ষের অ্যাপ্লিকেশনে অ্যাক্সেসযোগ্য নয়।

* এই সমস্যার জন্য প্যাচ সর্বজনীনভাবে উপলব্ধ নয়। আপডেটটি গুগল ডেভেলপার সাইট থেকে উপলব্ধ Nexus ডিভাইসগুলির জন্য সর্বশেষ বাইনারি ড্রাইভারগুলিতে রয়েছে৷

কার্নেল ভিডিও ড্রাইভারে বিশেষাধিকার দুর্বলতার উচ্চতা

কার্নেল ভিডিও ড্রাইভারে বিশেষাধিকার দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে কার্নেলের প্রসঙ্গে নির্বিচারে কোড কার্যকর করতে সক্ষম করতে পারে। এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে কারণ এটির জন্য প্রথমে একটি বিশেষ সুবিধাপ্রাপ্ত প্রক্রিয়ার সাথে আপস করা প্রয়োজন৷

* এই সমস্যার জন্য প্যাচ সর্বজনীনভাবে উপলব্ধ নয়। আপডেটটি গুগল ডেভেলপার সাইট থেকে উপলব্ধ Nexus ডিভাইসগুলির জন্য সর্বশেষ বাইনারি ড্রাইভারগুলিতে রয়েছে৷

সিরিয়াল পেরিফেরাল ইন্টারফেস ড্রাইভারে বিশেষাধিকার দুর্বলতার উচ্চতা

সিরিয়াল পেরিফেরাল ইন্টারফেস ড্রাইভারে বিশেষাধিকার দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে কার্নেলের প্রসঙ্গে নির্বিচারে কোড কার্যকর করতে সক্ষম করতে পারে। এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে কারণ এটির জন্য প্রথমে একটি বিশেষ সুবিধাপ্রাপ্ত প্রক্রিয়ার সাথে আপস করা প্রয়োজন৷

* এই সমস্যার জন্য প্যাচ সর্বজনীনভাবে উপলব্ধ নয়। আপডেটটি গুগল ডেভেলপার সাইট থেকে উপলব্ধ Nexus ডিভাইসগুলির জন্য সর্বশেষ বাইনারি ড্রাইভারগুলিতে রয়েছে৷

এনভিআইডিআইএ মিডিয়া ড্রাইভারে বিশেষাধিকার দুর্বলতার উচ্চতা

NVIDIA মিডিয়া ড্রাইভারে বিশেষাধিকারের দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে কার্নেলের প্রসঙ্গে নির্বিচারে কোড চালানোর জন্য সক্ষম করতে পারে। এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে কারণ এটির জন্য প্রথমে একটি বিশেষ সুবিধাপ্রাপ্ত প্রক্রিয়ার সাথে আপস করা প্রয়োজন৷

* এই সমস্যার জন্য প্যাচ সর্বজনীনভাবে উপলব্ধ নয়। আপডেটটি গুগল ডেভেলপার সাইট থেকে উপলব্ধ Nexus ডিভাইসগুলির জন্য সর্বশেষ বাইনারি ড্রাইভারগুলিতে রয়েছে৷

আইওন ড্রাইভারে বিশেষাধিকার দুর্বলতার উচ্চতা

ION ড্রাইভারে বিশেষাধিকারের দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে কার্নেলের প্রসঙ্গে নির্বিচারে কোড চালানোর জন্য সক্ষম করতে পারে। এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে কারণ এটির জন্য প্রথমে একটি বিশেষ সুবিধাপ্রাপ্ত প্রক্রিয়ার সাথে আপস করা প্রয়োজন৷

* এই সমস্যার জন্য প্যাচ সর্বজনীনভাবে উপলব্ধ নয়। আপডেটটি গুগল ডেভেলপার সাইট থেকে উপলব্ধ Nexus ডিভাইসগুলির জন্য সর্বশেষ বাইনারি ড্রাইভারগুলিতে রয়েছে৷

Qualcomm বুটলোডারে বিশেষাধিকার দুর্বলতার উচ্চতা

Qualcomm বুটলোডারে বিশেষাধিকার দুর্বলতার একটি উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে কার্নেলের প্রসঙ্গে নির্বিচারে কোড কার্যকর করতে সক্ষম করতে পারে। এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে কারণ এটির জন্য প্রথমে একটি বিশেষ সুবিধাপ্রাপ্ত প্রক্রিয়ার সাথে আপস করা প্রয়োজন৷

কার্নেল কর্মক্ষমতা সাবসিস্টেমে বিশেষাধিকার দুর্বলতার উচ্চতা

কার্নেল পারফরম্যান্স সাবসিস্টেমে বিশেষাধিকার দুর্বলতাগুলির উচ্চতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে কার্নেলের প্রসঙ্গে নির্বিচারে কোড কার্যকর করতে সক্ষম করতে পারে। আক্রমণকারীদের শোষণের জন্য কার্নেল আক্রমণের পৃষ্ঠ উপলব্ধ থাকার কারণে এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে।

দ্রষ্টব্য: এটি একটি প্ল্যাটফর্ম স্তরের আপডেট যা একটি শ্রেণির দুর্বলতা যেমন CVE-2016-3843 (A-28086229) প্রশমিত করার জন্য ডিজাইন করা হয়েছে।

* এই সমস্যার জন্য একটি প্যাচ সর্বজনীনভাবে উপলব্ধ নয়। আপডেটটি গুগল ডেভেলপার সাইট থেকে উপলব্ধ Nexus ডিভাইসগুলির জন্য সর্বশেষ বাইনারি ড্রাইভারগুলিতে রয়েছে৷

এলজি ইলেকট্রনিক্স বুটলোডারে বিশেষাধিকারের দুর্বলতার উচ্চতা

এলজি ইলেক্ট্রনিক্স বুটলোডারে বিশেষাধিকারের দুর্বলতার একটি উচ্চতা একজন আক্রমণকারীকে কার্নেলের প্রসঙ্গে নির্বিচারে কোড কার্যকর করতে সক্ষম করতে পারে। এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে কারণ এটির জন্য প্রথমে একটি বিশেষ সুবিধাপ্রাপ্ত প্রক্রিয়ার সাথে আপস করা প্রয়োজন৷

* এই সমস্যার জন্য প্যাচ সর্বজনীনভাবে উপলব্ধ নয়। আপডেটটি গুগল ডেভেলপার সাইট থেকে উপলব্ধ Nexus ডিভাইসগুলির জন্য সর্বশেষ বাইনারি ড্রাইভারগুলিতে রয়েছে৷

Qualcomm উপাদানে তথ্য প্রকাশের দুর্বলতা

নীচের সারণীতে নিরাপত্তা দুর্বলতা রয়েছে যা Qualcomm উপাদানগুলিকে প্রভাবিত করে, সম্ভাব্যভাবে বুটলোডার, ক্যামেরা ড্রাইভার, ক্যারেক্টার ড্রাইভার, নেটওয়ার্কিং, সাউন্ড ড্রাইভার এবং ভিডিও ড্রাইভার সহ।

একটি স্থানীয় দূষিত অ্যাপ্লিকেশন তার অনুমতি স্তরের বাইরে ডেটা অ্যাক্সেস করতে পারে যেমন ব্যবহারকারীর স্পষ্ট অনুমতি ছাড়াই সংবেদনশীল ডেটা অ্যাক্সেস করতে পারে এই সম্ভাবনার কারণে এই সমস্যাগুলির মধ্যে সবচেয়ে গুরুতর সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে৷

কার্নেল শিডিউলারে তথ্য প্রকাশের দুর্বলতা

কার্নেল শিডিউলারের একটি তথ্য প্রকাশের দুর্বলতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে তার অনুমতি স্তরের বাইরে ডেটা অ্যাক্সেস করতে সক্ষম করতে পারে। এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে কারণ এটি ব্যবহারকারীর স্পষ্ট অনুমতি ছাড়াই সংবেদনশীল ডেটা অ্যাক্সেস করতে ব্যবহার করা যেতে পারে।

মিডিয়াটেক ওয়াই-ফাই ড্রাইভারে তথ্য প্রকাশের দুর্বলতা (ডিভাইস নির্দিষ্ট)

মিডিয়াটেক ওয়াই-ফাই ড্রাইভারে তথ্য প্রকাশের দুর্বলতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে অনুমতির মাত্রার বাইরে ডেটা অ্যাক্সেস করতে সক্ষম করতে পারে। এই সমস্যাটিকে উচ্চ হিসাবে রেট করা হয়েছে কারণ এটি ব্যবহারকারীর স্পষ্ট অনুমতি ছাড়াই সংবেদনশীল ডেটা অ্যাক্সেস করতে ব্যবহার করা যেতে পারে।

* এই সমস্যার জন্য প্যাচ সর্বজনীনভাবে উপলব্ধ নয়। আপডেটটি গুগল ডেভেলপার সাইট থেকে উপলব্ধ Nexus ডিভাইসগুলির জন্য সর্বশেষ বাইনারি ড্রাইভারগুলিতে রয়েছে৷

USB ড্রাইভারে তথ্য প্রকাশের দুর্বলতা

An information disclosure vulnerability in the USB driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as High because it could be used to access sensitive data without explicit user permission.

Denial of service vulnerability in Qualcomm components

The table below contains security vulnerabilities affecting Qualcomm components, potentially including the Wi-Fi driver.

The most severe of these issues is rated as High due to the possibility that an attacker could cause a temporary remote denial of service resulting in a device hang or reboot.

Elevation of privilege vulnerability in Google Play services

An elevation of privilege vulnerability in Google Play services could allow a local attacker to bypass the Factory Reset Protection and gain access to the device. This is rated as Moderate due to the possibility of bypassing Factory Reset Protection, which could lead to successfully resetting the device and erasing all its data.

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Elevation of privilege vulnerability in Framework APIs

An elevation of privilege vulnerability in the framework APIs could enable a pre-installed application to increase its intent filter priority when the application is being updated without the user being notified. This issue is rated as Moderate because it could be used to gain elevated capabilities without explicit user permission.

Information disclosure vulnerability in kernel networking component

An information disclosure vulnerability in the kernel networking component could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

Information disclosure vulnerability in kernel sound component

An information disclosure vulnerability in the kernel sound component could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

Vulnerabilities in Qualcomm components

The table below contains security vulnerabilities affecting Qualcomm components, potentially including the bootloader, camera driver, character driver, networking, sound driver, and video driver.

Common Questions and Answers

This section answers common questions that may occur after reading this bulletin.

1. How do I determine if my device is updated to address these issues?

Security Patch Levels of 2016-08-01 or later address all issues associated with the 2016-08-01 security patch string level. Security Patch Levels of 2016-08-05 or later address all issues associated with the 2016-08-05 security patch string level. Refer to the help center for instructions on how to check the security patch level. Device manufacturers that include these updates should set the patch string level to: [ro.build.version.security_patch]:[2016-08-01] or [ro.build.version.security_patch]:[2016-08-05].

2. Why does this bulletin have two security patch level strings?

This bulletin has two security patch level strings in order to provide Android partners with the flexibility to move more quickly to fix a subset of vulnerabilities that are similar across all Android devices. Android partners are encouraged to fix all issues in this bulletin and use the latest security patch level string.

Devices that use the security patch level of August 5, 2016 or newer must include all applicable patches in this (and previous) security bulletins.

Devices that use the August 1, 2016 security patch level must include all issues associated with that security patch level, as well as fixes for all issues reported in previous security bulletins. Devices that use August 1, 2016 security patch level may also include a subset of fixes associated with the August 5, 2016 security patch level.

3 . How do I determine which Nexus devices are affected by each issue?

In the 2016-08-01 and 2016-08-05 security vulnerability details sections, each table has an Updated Nexus devices column that covers the range of affected Nexus devices updated for each issue. This column has a few options:

• All Nexus devices : If an issue affects all Nexus devices, the table will have “All Nexus” in the Updated Nexus devices column. “All Nexus” encapsulates the following supported devices : Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player, and Pixel C.
• Some Nexus devices : If an issue doesn't affect all Nexus devices, the affected Nexus devices are listed in the Updated Nexus devices column.
• No Nexus devices : If no Nexus devices are affected by the issue, the table will have “None” in the Updated Nexus devices column.

4. What do the entries in the references column map to?

Entries under the References column of the vulnerability details table may contain a prefix identifying the organization to which the reference value belongs. These prefixes map as follows:

Revisions

• August 01, 2016: Bulletin published.
• August 02, 2016: Bulletin revised to include AOSP links.
• August 16, 2016: CVE-2016-3856 corrected to CVE-2016-2060 and updated the reference URL.
• October 21, 2016: Corrected typo in CVE-2016-4486.