Android सुरक्षा बुलेटिन—सितंबर 2016

संग्रह की मदद से व्यवस्थित रहें अपनी प्राथमिकताओं के आधार पर, कॉन्टेंट को सेव करें और कैटगरी में बांटें.

डेड

पब्लिश करने की तारीख: 06 सितंबर, 2016 | अपडेट करने की तारीख: 12 सितंबर, 2016

Android सुरक्षा बुलेटिन में, Android डिवाइसों पर असर डालने वाली सुरक्षा से जुड़ी जोखिम की जानकारी होती है. बुलेटिन के साथ-साथ, हमने ओवर-द-एयर (ओटीए) अपडेट के ज़रिए, Nexus डिवाइसों के लिए सुरक्षा से जुड़ा अपडेट रिलीज़ किया है. Nexus फ़र्मवेयर इमेज, Google डेवलपर साइट पर भी रिलीज़ की गई हैं. 06 सितंबर, 2016 या उसके बाद के सुरक्षा पैच के लेवल से, इन समस्याओं को ठीक किया जा सकता है. सिक्योरिटी पैच लेवल देखने का तरीका जानने के लिए, दस्तावेज़ देखें. जिन Nexus डिवाइसों पर यह सुविधा काम करती है उन्हें 06 सितंबर, 2016 के सिक्योरिटी पैच लेवल के साथ एक ओटीए अपडेट मिलेगा.

पार्टनर को 05 अगस्त, 2016 या उससे पहले, बुलेटिन में बताई गई समस्याओं के बारे में सूचना दी गई थी. जहां लागू हो, वहां इन समस्याओं के लिए सोर्स कोड पैच, Android Open Source Project (AOSP) के डेटा स्टोर में रिलीज़ कर दिए गए हैं. इस सूचना में, AOSP के बाहर के पैच के लिंक भी शामिल हैं.

इनमें से सबसे गंभीर समस्या, सुरक्षा से जुड़ी एक गंभीर समस्या है. इसकी वजह से, मीडिया फ़ाइलों को प्रोसेस करते समय, ईमेल, वेब ब्राउज़िंग, और एमएमएस जैसे कई तरीकों से, जिस डिवाइस पर असर पड़ा है उस पर रिमोट कोड को लागू किया जा सकता है. गंभीरता का आकलन इस आधार पर किया जाता है कि कमज़ोरी का फ़ायदा उठाने से, जिस डिवाइस पर असर पड़ा है उस पर क्या असर पड़ सकता है. यह आकलन इस आधार पर किया जाता है कि डेवलपमेंट के मकसद से, प्लैटफ़ॉर्म और सेवा से जुड़ी कमज़ोरियों को कम करने की सुविधाएं बंद हैं या नहीं या उन्हें बाईपास किया जा सकता है या नहीं.

हमें ग्राहकों का शोषण करने या हाल ही में बताई गई इन समस्याओं का गलत इस्तेमाल करने के बारे में कोई शिकायत नहीं मिली है. Android प्लैटफ़ॉर्म की सुरक्षा से जुड़ी सेवाओं और SafetyNet जैसी सेवाओं के बारे में ज़्यादा जानने के लिए, Android और Google की सेवाओं से जुड़ी समस्याओं को कम करने के तरीके सेक्शन देखें. ये सेवाएं, Android प्लैटफ़ॉर्म की सुरक्षा को बेहतर बनाती हैं.

हमारा सुझाव है कि सभी ग्राहक अपने डिवाइसों पर ये अपडेट स्वीकार करें.

सूचनाएं

• इस सूचना में, सिक्योरिटी पैच लेवल की तीन स्ट्रिंग हैं. इनकी मदद से, Android पार्टनर, सभी Android डिवाइसों में मौजूद कमज़ोरियों के सबसेट को तेज़ी से ठीक कर सकते हैं. ज़्यादा जानकारी के लिए, आम तौर पर पूछे जाने वाले सवाल और उनके जवाब देखें:
  • 01-09-2016: सुरक्षा पैच के लेवल की कुछ जानकारी देने वाली स्ट्रिंग. सुरक्षा पैच के इस लेवल की स्ट्रिंग से पता चलता है कि 01-09-2016 (और सुरक्षा पैच के सभी पिछले लेवल की स्ट्रिंग) से जुड़ी सभी समस्याओं को ठीक कर दिया गया है.
  • 2016-09-05: सुरक्षा पैच के लेवल की स्ट्रिंग का कुछ हिस्सा. इस सिक्योरिटी पैच लेवल की स्ट्रिंग से पता चलता है कि 01-09-2016 और 05-09-2016 (और सिक्योरिटी पैच लेवल की सभी पिछली स्ट्रिंग) से जुड़ी सभी समस्याएं हल हो गई हैं.
  • 06-09-2016: सुरक्षा पैच के लेवल की पूरी स्ट्रिंग, जिसमें उन समस्याओं को ठीक किया गया है जो इस सूचना में बताई गई ज़्यादातर समस्याओं के बारे में पार्टनर को सूचना देने के बाद पता चलीं. सुरक्षा पैच के लेवल की इस स्ट्रिंग से पता चलता है कि 01-09-2016, 05-09-2016, और 06-09-2016 (और सुरक्षा पैच के लेवल की सभी पिछली स्ट्रिंग) से जुड़ी सभी समस्याएं हल हो गई हैं.
• जिन Nexus डिवाइसों पर यह सुविधा काम करती है उन्हें 06 सितंबर, 2016 के सिक्योरिटी पैच लेवल के साथ एक ओटीए अपडेट मिलेगा.

Android और Google की सेवाओं से जुड़ी समस्याओं को कम करना

इस लेख में, Android के सुरक्षा प्लैटफ़ॉर्म और SafetyNet जैसी सेवाओं से जुड़ी सुरक्षा से जुड़ी समस्याओं को कम करने के तरीकों के बारे में खास जानकारी दी गई है. इन सुविधाओं की मदद से, Android पर सुरक्षा से जुड़ी कमजोरियों का इस्तेमाल करने की संभावना कम हो जाती है.

• Android प्लैटफ़ॉर्म के नए वर्शन में किए गए सुधारों की वजह से, Android पर कई समस्याओं का गलत इस्तेमाल करना मुश्किल हो गया है. हमारा सुझाव है कि जहां भी हो सके, सभी उपयोगकर्ता अपने डिवाइस को Android के नए वर्शन पर अपडेट करें.
• Android की सुरक्षा टीम, Verify Apps और SafetyNet की मदद से, ऐप्लिकेशन के गलत इस्तेमाल पर लगातार नज़र रखती है. इन सुविधाओं को, उपयोगकर्ताओं को संभावित तौर पर नुकसान पहुंचाने वाले ऐप्लिकेशन के बारे में चेतावनी देने के लिए डिज़ाइन किया गया है. Google Mobile Services वाले डिवाइसों पर, 'ऐप्लिकेशन की पुष्टि करें' सुविधा डिफ़ॉल्ट रूप से चालू होती है. यह सुविधा, खास तौर पर उन उपयोगकर्ताओं के लिए ज़रूरी है जो Google Play से बाहर के ऐप्लिकेशन इंस्टॉल करते हैं. डिवाइस को रूट करने वाले टूल, Google Play पर उपलब्ध नहीं हैं. हालांकि, ऐप्लिकेशन की पुष्टि करने वाली सुविधा, उपयोगकर्ताओं को रूट करने वाले किसी भी ऐप्लिकेशन को इंस्टॉल करने की कोशिश करने पर चेतावनी देती है. इसके अलावा, 'ऐप्लिकेशन की पुष्टि करें' सुविधा, नुकसान पहुंचाने वाले उन ऐप्लिकेशन की पहचान करने और उन्हें इंस्टॉल होने से रोकने की कोशिश करती है जो ऐक्सेस लेवल बढ़ाने की सुविधा के जोखिम का फ़ायदा उठाते हैं. अगर ऐसा कोई ऐप्लिकेशन पहले से इंस्टॉल है, तो 'ऐप्लिकेशन की पुष्टि करें' सुविधा, उपयोगकर्ता को इसकी सूचना देगी और उस ऐप्लिकेशन को हटाने की कोशिश करेगी.
• Google Hangouts और Messenger ऐप्लिकेशन, Mediaserver जैसी प्रोसेस को मीडिया को अपने-आप पास नहीं करते.

आभार

हम इन रिसर्चर का योगदान देने के लिए धन्यवाद करना चाहते हैं:

• कार्नेगी मेलन यूनिवर्सिटी के कोरी प्रूस: CVE-2016-3897
• Gengjia Chen (@chengjia4574) और pjf, IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-3869, CVE-2016-3865, CVE-2016-3866, CVE-2016-3867
• Cheetah Mobile की सुरक्षा रिसर्च लैब के हाओ किन: CVE-2016-3863
• Google Project Zero के जॉन हॉर्न: CVE-2016-3885
• Jianqiang Zhao (@jianqiangzhao) और Qihoo 360 के IceSword Lab के pjf: CVE-2016-3858
• जोशुआ ड्रेक (@jduck): CVE-2016-3861
• सारलैंड यूनिवर्सिटी के CISPA की मधु प्रिया मुरुगन: CVE-2016-3896
• Google के मकोतो ओनुकी: CVE-2016-3876
• Google Project Zero का Mark Brand: CVE-2016-3861
• Android Security के मैक्स स्पेक्टर: CVE-2016-3888
• Android Security के मैक्स स्पेक्टर और क्वान टो: CVE-2016-3889
• C0RE टीम के मिन्गजियन झोउ (@Mingjian_Zhou), चियाची वू (@chiachih_wu), और जूशियन जियांग: CVE-2016-3895
• Tesla Motors की प्रॉडक्ट सुरक्षा टीम के नेथन क्रैंडल (@natecray): CVE-2016-2446 से जुड़ी अन्य समस्याओं का पता चला
• Google के Oleksiy Vyalov: CVE-2016-3890
• Google Chrome की सुरक्षा टीम के ओलिवर चांग: CVE-2016-3880
• Alibaba के मोबाइल सिक्योरिटी ग्रुप के पेंग ज़ियाओ, चेनगमिंग यांग, निंग यू, चाओ यांग, और यांग सॉन्ग: CVE-2016-3859
• रोनाल्ड एल. TEAM Lv51 के Loor Vargas (@loor_rlv): CVE-2016-3886
• सागी केडमी, IBM Security X-Force रिसर्चर: CVE-2016-3873
• स्कॉट बाउर (@ScottyBauer1): CVE-2016-3893, CVE-2016-3868, CVE-2016-3867
• TrendMicro के Seven Shen (@lingtongshen): CVE-2016-3894
• SentinelOne / RedNaga के Tim Strazzere (@timstrazz): CVE-2016-3862
• trotmaster (@trotmaster99): CVE-2016-3883
• Google के विक्टर चैंग: CVE-2016-3887
• Google के विगनेश वेंकटसुब्रमणियन: CVE-2016-3881
• Alibaba Inc के वेईचाओ सुन (@sunblate): CVE-2016-3878
• Wenke Dou, Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu), और C0RE टीम के Xuxian Jiang ने CVE-2016-3870, CVE-2016-3871, और CVE-2016-3872 की जानकारी दी:
• Trend Micro Inc की वश वू (吴潍浠) (@wish_wu): CVE-2016-3892
• Alibaba Inc के ज़िंग्यू हे (何星宇) (@Spid3r_): CVE-2016-3879
• TCA Lab, Institute of Software, चाइनीज़ अकैडमी ऑफ़ साइंसेज़ के Yacong Gu: CVE-2016-3884
• यूनिवर्सिटी ऑफ़ मिशिगन ऐन ऐर्बोर के युरु शाओ: CVE-2016-3898

01-09-2016 का सुरक्षा पैच लेवल—सुरक्षा से जुड़ी जोखिम की जानकारी

नीचे दिए गए सेक्शन में, हम सुरक्षा से जुड़ी उन सभी कमजोरियों के बारे में जानकारी देते हैं जो 01-09-2016 के पैच लेवल पर लागू होती हैं. इसमें समस्या के बारे में जानकारी, गंभीरता की वजह, और एक टेबल दी गई है. इसमें सीवीई, इससे जुड़े रेफ़रंस, गंभीरता, अपडेट किए गए Nexus डिवाइसों, अपडेट किए गए AOSP वर्शन (जहां लागू हो), और रिपोर्ट करने की तारीख शामिल है. जब उपलब्ध होगा, तो हम समस्या को ठीक करने वाले सार्वजनिक बदलाव को बग आईडी से लिंक कर देंगे. जैसे, AOSP में हुए बदलावों की सूची. जब एक ही गड़बड़ी से जुड़े कई बदलाव होते हैं, तो बग आईडी के बाद के नंबर से अतिरिक्त रेफ़रंस लिंक किए जाते हैं.

LibUtils में रिमोट कोड प्रोग्राम चलाने की सुविधा से जुड़ी जोखिम

LibUtils में रिमोट कोड प्रोग्राम चलाए जाने की जोखिम की वजह से, हमलावर किसी खास तौर पर तैयार की गई फ़ाइल का इस्तेमाल करके, विशेषाधिकार वाली प्रोसेस के संदर्भ में मनमुताबिक कोड चला सकता है. इस लाइब्रेरी का इस्तेमाल करने वाले ऐप्लिकेशन में, रिमोट कोड एक्ज़ीक्यूशन की संभावना की वजह से, इस समस्या को गंभीर के तौर पर रेट किया गया है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3861	A-29250543 [2] [3] [4]	सबसे अहम	सभी Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	9 जून, 2016

Mediaserver में रिमोट कोड लागू करने की सुविधा से जुड़ी सुरक्षा से जुड़ी समस्या

Mediaserver में रिमोट कोड प्रोग्राम चलाए जाने की समस्या की वजह से, कोई हैकर खास तौर पर तैयार की गई फ़ाइल का इस्तेमाल करके, मीडिया फ़ाइल और डेटा प्रोसेस करने के दौरान मेमोरी को खराब कर सकता है. Mediaserver प्रोसेस के संदर्भ में, रिमोट कोड को लागू करने की संभावना की वजह से, इस समस्या को गंभीर के तौर पर रेट किया गया है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3862	A-29270469	सबसे अहम	सभी Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	10 जून, 2016

MediaMuxer में, रिमोट कोड लागू करने से जुड़ी सुरक्षा से जुड़ी समस्या

MediaMuxer में रिमोट कोड प्रोग्राम चलाए जाने की समस्या की वजह से, हमलावर किसी खास तौर पर तैयार की गई फ़ाइल का इस्तेमाल करके, बिना अनुमति वाली प्रोसेस के संदर्भ में मनमुताबिक कोड चला सकता है. MediaMuxer का इस्तेमाल करने वाले ऐप्लिकेशन में, रिमोट कोड लागू होने की संभावना की वजह से, इस समस्या को 'गंभीर' के तौर पर रेट किया गया है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3863	A-29161888	ज़्यादा	सभी Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	6 जून, 2016

Mediaserver में प्रिविलेज एस्केलेशन की समस्या

Mediaserver में, विशेषाधिकार बढ़ाने से जुड़ी जोखिम की वजह से, किसी नुकसान पहुंचाने वाले स्थानीय ऐप्लिकेशन को विशेषाधिकार वाली प्रोसेस के संदर्भ में, मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसका इस्तेमाल, ऐडवांस सुविधाओं का स्थानीय ऐक्सेस पाने के लिए किया जा सकता है. आम तौर पर, तीसरे पक्ष के ऐप्लिकेशन के पास इन सुविधाओं का ऐक्सेस नहीं होता.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3870	A-29421804	ज़्यादा	सभी Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	15 जून, 2016
CVE-2016-3871	A-29422022 [2] [3]	ज़्यादा	सभी Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	15 जून, 2016
CVE-2016-3872	A-29421675 [2]	ज़्यादा	सभी Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	15 जून, 2016

डिवाइस के बूट होने के दौरान, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम

बूट सीक्वेंस के दौरान प्रिविलेज एस्कलेशन की वजह से, कोई स्थानीय नुकसान पहुंचाने वाला व्यक्ति, सुरक्षित मोड में बूट कर सकता है. भले ही, यह मोड बंद हो. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि यह डेवलपर या सुरक्षा सेटिंग में बदलाव करने के लिए, उपयोगकर्ता इंटरैक्शन की ज़रूरी शर्तों को स्थानीय तौर पर बायपास करता है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3875	A-26251884	ज़्यादा	कोई नहीं*	6.0, 6.0.1	सिर्फ़ Google के लिए

* Android 7.0 पर काम करने वाले उन Nexus डिवाइसों पर इस समस्या का असर नहीं पड़ेगा जिन पर सभी उपलब्ध अपडेट इंस्टॉल किए गए हैं.

सेटिंग में जाकर, खास सुविधाओं के ऐक्सेस का गलत इस्तेमाल

सेटिंग में जाकर, ऐक्सेस लेवल बढ़ाने पर, कोई स्थानीय नुकसान पहुंचाने वाला व्यक्ति, डिवाइस को सेफ़ मोड में बूट कर सकता है. भले ही, सेफ़ मोड बंद हो. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि यह किसी भी डेवलपर या सुरक्षा सेटिंग में बदलाव करने के लिए, उपयोगकर्ता इंटरैक्शन की ज़रूरी शर्तों को स्थानीय तौर पर बायपास करता है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3876	A-29900345	ज़्यादा	सभी Nexus	6.0, 6.0.1, 7.0	सिर्फ़ Google के लिए

Mediaserver में सेवा में रुकावट की समस्या

Mediaserver में सेवा में रुकावट से जुड़ी समस्या की वजह से, हमलावर किसी खास तरह से तैयार की गई फ़ाइल का इस्तेमाल करके, डिवाइस को हैंग या रीबूट कर सकता है. इस समस्या को 'ज़्यादा' रेटिंग दी गई है, क्योंकि इसकी वजह से सेवा में रुकावट डालने की संभावना है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3899	A-29421811	ज़्यादा	सभी Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	16 जून, 2016
CVE-2016-3878	A-29493002	ज़्यादा	सभी Nexus*	6.0, 6.0.1	17 जून, 2016
CVE-2016-3879	A-29770686	ज़्यादा	सभी Nexus*	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	25 जून, 2016
CVE-2016-3880	A-25747670	ज़्यादा	सभी Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	सिर्फ़ Google के लिए
CVE-2016-3881	A-30013856	ज़्यादा	सभी Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	सिर्फ़ Google के लिए

* Android 7.0 पर काम करने वाले उन Nexus डिवाइसों पर इस समस्या का असर नहीं पड़ेगा जिन पर सभी उपलब्ध अपडेट इंस्टॉल किए गए हैं.

टेलीफ़ोन सेवा में प्रिविलेज एस्केलेशन की समस्या

टेलीफ़ोनी कॉम्पोनेंट में, ऐक्सेस लेवल की बढ़ोतरी की समस्या की वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को बिना अनुमति के प्रीमियम एसएमएस भेजने की अनुमति मिल सकती है. इस समस्या को 'मध्यम' के तौर पर रेट किया गया है, क्योंकि इसका इस्तेमाल उपयोगकर्ता की अनुमति के बिना बेहतर सुविधाएं पाने के लिए किया जा सकता है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3883	A-28557603	काफ़ी हद तक ठीक है	सभी Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	3 मई, 2016

Notification Manager Service में, खास सुविधाओं के ऐक्सेस का गलत इस्तेमाल करने की सुविधा

Notification Manager Service में, ऐक्सेस लेवल की सुविधा से जुड़ी जोखिम की वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को ऑपरेटिंग सिस्टम की सुरक्षा को बायपास करने में मदद मिल सकती है. यह सुरक्षा, ऐप्लिकेशन के डेटा को दूसरे ऐप्लिकेशन से अलग करती है. इस समस्या को 'मध्यम' के तौर पर रेट किया गया है, क्योंकि यह उपयोगकर्ता इंटरैक्शन की ज़रूरी शर्तों को स्थानीय तौर पर बायपास करती है. जैसे, ऐसी सुविधाओं का ऐक्सेस जिनके लिए आम तौर पर उपयोगकर्ता की ओर से शुरू करने या अनुमति देने की ज़रूरत होती है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3884	A-29421441	काफ़ी हद तक ठीक है	सभी Nexus	6.0, 6.0.1, 7.0	15 जून, 2016

Debuggerd में खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम

इंटिग्रेट किए गए Android डीबगर में, ऐक्सेस लेवल बढ़ाने से जुड़ी जोखिम की वजह से, किसी नुकसान पहुंचाने वाले स्थानीय ऐप्लिकेशन को Android डीबगर के कॉन्टेक्स्ट में, मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को 'मध्यम' के तौर पर रेट किया गया है, क्योंकि किसी खास प्रोसेस में स्थानीय कोड को मनमुताबिक चलाया जा सकता है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3885	A-29555636	काफ़ी हद तक ठीक है	सभी Nexus	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	21 जून, 2016

सिस्टम यूज़र इंटरफ़ेस (यूआई) ट्यूनर में, खास सुविधाओं के ऐक्सेस का गलत इस्तेमाल करने की आशंका

System UI Tuner में ऐक्सेस लेवल बढ़ाने पर, कोई स्थानीय नुकसान पहुंचाने वाला उपयोगकर्ता, डिवाइस के लॉक होने पर सुरक्षित सेटिंग में बदलाव कर सकता है. इस समस्या को 'मध्यम' के तौर पर रेट किया गया है, क्योंकि यह उपयोगकर्ता की अनुमतियों को स्थानीय तौर पर बायपास करती है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3886	A-30107438	काफ़ी हद तक ठीक है	सभी Nexus	7.0	23 जून, 2016

सेटिंग में जाकर, खास सुविधाओं के ऐक्सेस का गलत इस्तेमाल

सेटिंग में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम की वजह से, कोई स्थानीय और नुकसान पहुंचाने वाला ऐप्लिकेशन, वीपीएन सेटिंग के लिए ऑपरेटिंग सिस्टम की सुरक्षा को बायपास कर सकता है. इस समस्या को 'मध्यम' के तौर पर रेट किया गया है, क्योंकि इसका इस्तेमाल उस डेटा का ऐक्सेस पाने के लिए किया जा सकता है जो ऐप्लिकेशन के अनुमति लेवल के दायरे में नहीं आता.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3887	A-29899712	काफ़ी हद तक ठीक है	सभी Nexus	7.0	सिर्फ़ Google के लिए

एसएमएस में प्रिविलेज एस्केलेशन की समस्या

एसएमएस में, ऐक्सेस लेवल बढ़ाने की सुविधा से, कोई स्थानीय हमलावर डिवाइस के प्रोविज़न होने से पहले, प्रीमियम एसएमएस भेज सकता है. फ़ैक्ट्री रीसेट की सुरक्षा को बायपास करने की संभावना की वजह से, इसे मध्यम के तौर पर रेट किया गया है. इस सुरक्षा की वजह से, डिवाइस को सेट अप किए बिना इस्तेमाल नहीं किया जा सकता.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3888	A-29420123	काफ़ी हद तक ठीक है	सभी Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	सिर्फ़ Google के लिए

सेटिंग में जाकर, खास सुविधाओं के ऐक्सेस का गलत इस्तेमाल

सेटिंग में मौजूद, ऐक्सेस लेवल बढ़ाने की सुविधा से, स्थानीय हमलावर फ़ैक्ट्री रीसेट सुरक्षा को बायपास करके, डिवाइस का ऐक्सेस हासिल कर सकता है. फ़ैक्ट्री रीसेट की सुरक्षा को बायपास करने की संभावना की वजह से, इसे मध्यम के तौर पर रेट किया गया है. इससे डिवाइस को रीसेट किया जा सकता है और उसका सारा डेटा मिटाया जा सकता है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3889	A-29194585 [2]	काफ़ी हद तक ठीक है	सभी Nexus	6.0, 6.0.1, 7.0	सिर्फ़ Google के लिए

Java Debug Wire Protocol में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम की आशंका

Java Debug Wire Protocol में, ऐक्सेस लेवल बढ़ाने से जुड़ी जोखिम की वजह से, किसी नुकसान पहुंचाने वाले स्थानीय ऐप्लिकेशन को ऐक्सेस लेवल बढ़ाए गए सिस्टम ऐप्लिकेशन के संदर्भ में, मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को 'मध्यम' के तौर पर रेट किया गया है, क्योंकि इसके लिए डिवाइस का एक असामान्य कॉन्फ़िगरेशन ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3890	A-28347842 [2]	काफ़ी हद तक ठीक है	कोई नहीं*	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	सिर्फ़ Google के लिए

* Android 7.0 पर काम करने वाले उन Nexus डिवाइसों पर इस समस्या का असर नहीं पड़ेगा जिन पर सभी उपलब्ध अपडेट इंस्टॉल किए गए हैं.

Mediaserver में जानकारी ज़ाहिर करने से जुड़ी समस्या

Mediaserver में जानकारी ज़ाहिर करने की समस्या की वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को अनुमति के लेवल से बाहर का डेटा ऐक्सेस करने की अनुमति मिल सकती है. इस समस्या को 'मध्यम' के तौर पर रेट किया गया है, क्योंकि इसका इस्तेमाल अनुमति के बिना संवेदनशील डेटा को ऐक्सेस करने के लिए किया जा सकता है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3895	A-29983260	काफ़ी हद तक ठीक है	सभी Nexus	6.0, 6.0.1, 7.0	4 जुलाई, 2016

AOSP Mail में, जानकारी ज़ाहिर होने से जुड़ी जोखिम की आशंका

AOSP Mail में जानकारी ज़ाहिर करने से जुड़ी एक समस्या की वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को उपयोगकर्ता की निजी जानकारी का ऐक्सेस मिल सकता है. इस समस्या को 'मध्यम' के तौर पर रेट किया गया है, क्योंकि इसका इस्तेमाल अनुमति के बिना डेटा को गलत तरीके से ऐक्सेस करने के लिए किया जा सकता है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3896	A-29767043	काफ़ी हद तक ठीक है	कोई नहीं*	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	24 जुलाई, 2016

* Android 7.0 पर काम करने वाले उन Nexus डिवाइसों पर इस समस्या का असर नहीं पड़ेगा जिन पर सभी उपलब्ध अपडेट इंस्टॉल किए गए हैं.

वाई-फ़ाई में जानकारी ज़ाहिर करने से जुड़ी जोखिम

वाई-फ़ाई कॉन्फ़िगरेशन में, जानकारी ज़ाहिर करने से जुड़ी किसी कमज़ोरी की वजह से, ऐप्लिकेशन को संवेदनशील जानकारी ऐक्सेस करने की अनुमति मिल सकती है. इस समस्या को 'मध्यम' के तौर पर रेट किया गया है, क्योंकि इसका इस्तेमाल अनुमति के बिना डेटा ऐक्सेस करने के लिए किया जा सकता है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3897	A-25624963 [2]	काफ़ी हद तक ठीक है	कोई नहीं*	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	5 नवंबर, 2015

* Android 7.0 पर काम करने वाले उन Nexus डिवाइसों पर इस समस्या का असर नहीं पड़ेगा जिन पर सभी उपलब्ध अपडेट इंस्टॉल किए गए हैं.

टेलीफ़ोन सेवा में, सेवा में रुकावट की समस्या

टेलीफ़ोनी कॉम्पोनेंट में, सेवा के अस्वीकार होने की समस्या की वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को, लॉक की गई स्क्रीन से 911 टीटीवाई कॉल को रोकने की अनुमति मिल सकती है. इस समस्या को 'मध्यम' रेटिंग दी गई है, क्योंकि इससे किसी अहम फ़ंक्शन पर सेवा में रुकावट आ सकती है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	AOSP के अपडेट किए गए वर्शन	रिपोर्ट तारीख
CVE-2016-3898	A-29832693	काफ़ी हद तक ठीक है	सभी Nexus	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	28 जून, 2016

05-09-2016 का सुरक्षा पैच लेवल—सुरक्षा से जुड़ी समस्या की जानकारी

यहां दिए गए सेक्शन में, हम सुरक्षा से जुड़ी हर उस कमजोरी के बारे में जानकारी देते हैं जो 05-09-2016 के पैच लेवल पर लागू होती है. इसमें समस्या के बारे में जानकारी, गंभीरता की वजह, और एक टेबल दी गई है. इसमें सीवीई, इससे जुड़े रेफ़रंस, गंभीरता, अपडेट किए गए Nexus डिवाइसों, अपडेट किए गए AOSP वर्शन (जहां लागू हो), और रिपोर्ट करने की तारीख शामिल है. जब उपलब्ध होगा, तो हम समस्या को ठीक करने वाले सार्वजनिक बदलाव को बग आईडी से लिंक कर देंगे. जैसे, AOSP में हुए बदलावों की सूची. जब एक ही गड़बड़ी से जुड़े कई बदलाव होते हैं, तो बग आईडी के बाद के नंबर से अतिरिक्त रेफ़रंस लिंक किए जाते हैं.

kernel security सबसिस्टम में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम की आशंका

कर्नेल सिक्योरिटी सबसिस्टम में, विशेषाधिकार बढ़ाने से जुड़ी कमज़ोरी की वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को कर्नेल के संदर्भ में, मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को गंभीर माना गया है, क्योंकि इससे डिवाइस के साथ हमेशा के लिए छेड़छाड़ की जा सकती है. डिवाइस को ठीक करने के लिए, ऑपरेटिंग सिस्टम को फिर से फ़्लैश करना पड़ सकता है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2014-9529	A-29510361 अपस्ट्रीम कर्नल	सबसे अहम	Nexus 5, Nexus 6, Nexus 9, Nexus Player, Android One	6 जनवरी, 2015
CVE-2016-4470	A-29823941 अपस्ट्रीम कर्नल	सबसे अहम	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player	15 जून, 2016

कर्नेल नेटवर्किंग सबसिस्टम में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम

कर्नेल नेटवर्किंग सबसिस्टम में, विशेषाधिकार के ऐक्सेस से जुड़ी कमज़ोरी की वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को कर्नेल के संदर्भ में, मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को गंभीर माना गया है, क्योंकि इससे डिवाइस के साथ हमेशा के लिए छेड़छाड़ की जा सकती है. डिवाइस को ठीक करने के लिए, ऑपरेटिंग सिस्टम को फिर से फ़्लैश करना पड़ सकता है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2013-7446	A-29119002 अपस्ट्रीम कर्नल	सबसे अहम	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One	18 नवंबर, 2015

कर्नेल नेटफ़िल्टर सबसिस्टम में, खास सुविधाओं के ऐक्सेस की जोखिम

कर्नेल नेटफ़िल्टर सबसिस्टम में, विशेषाधिकार हासिल करने से जुड़ी कमज़ोरी की वजह से, कोई स्थानीय नुकसान पहुंचाने वाला ऐप्लिकेशन, कर्नेल के संदर्भ में मनमुताबिक कोड चला सकता है. इस समस्या को गंभीर माना गया है, क्योंकि इससे डिवाइस के साथ हमेशा के लिए छेड़छाड़ की जा सकती है. डिवाइस को ठीक करने के लिए, ऑपरेटिंग सिस्टम को फिर से फ़्लैश करना पड़ सकता है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3134	A-28940694 अपस्ट्रीम कर्नल	सबसे अहम	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One	9 मार्च, 2016

कर्नेल यूएसबी ड्राइवर में, खास सुविधाओं के ऐक्सेस से जुड़ी समस्या

कर्नेल यूएसबी ड्राइवर में, विशेषाधिकार बढ़ाने से जुड़ी कमज़ोरी की वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को कर्नेल के संदर्भ में, मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को गंभीर माना गया है, क्योंकि इससे डिवाइस के साथ हमेशा के लिए छेड़छाड़ की जा सकती है. डिवाइस को ठीक करने के लिए, ऑपरेटिंग सिस्टम को फिर से फ़्लैश करना पड़ सकता है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3951	A-28744625 अपस्ट्रीम कर्नेल [2]	सबसे अहम	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One	6 अप्रैल, 2016

कर्नेल साउंड सबसिस्टम में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम की आशंका

कर्नेल साउंड सबसिस्टम में, खास सुविधाओं के ऐक्सेस से जुड़ी कमज़ोरी की वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को कर्नेल के संदर्भ में मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले, किसी खास प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2014-4655	A-29916012 अपस्ट्रीम कर्नल	ज़्यादा	Nexus 5, Nexus 6, Nexus 9, Nexus Player	26 जून, 2014

kernel ASN.1 decoder में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम

कर्नेल ASN.1 डिकोडर में, विशेषाधिकार बढ़ाने से जुड़ी जोखिम की वजह से, किसी नुकसान पहुंचाने वाले स्थानीय ऐप्लिकेशन को कर्नेल के संदर्भ में मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले किसी विशेष प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-2053	A-28751627 अपस्ट्रीम कर्नल	ज़्यादा	Nexus 5X, Nexus 6P	25 जनवरी, 2016

Qualcomm रेडियो इंटरफ़ेस लेयर में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम की आशंका

Qualcomm रेडियो इंटरफ़ेस लेयर में, विशेषाधिकार बढ़ाने की जोखिम की वजह से, कोई नुकसान पहुंचाने वाला लोकल ऐप्लिकेशन, कर्नेल के संदर्भ में मनमुताबिक कोड चला सकता है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले, किसी खास प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3864	A-28823714* QC-CR#913117	ज़्यादा	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One	29 अप्रैल, 2016

* इस समस्या का पैच सार्वजनिक तौर पर उपलब्ध नहीं है. यह अपडेट, Google Developer साइट पर उपलब्ध Nexus डिवाइसों के लिए, नए बाइनरी ड्राइवर में शामिल है.

Qualcomm सबसिस्टम ड्राइवर में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम

Qualcomm सबसिस्टम ड्राइवर में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम की वजह से, किसी नुकसान पहुंचाने वाले स्थानीय ऐप्लिकेशन को कर्नेल के संदर्भ में, मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले, किसी खास प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3858	A-28675151 QC-CR#1022641	ज़्यादा	Nexus 5X, Nexus 6P	9 मई, 2016

कर्नेल नेटवर्किंग ड्राइवर में, खास सुविधाओं के ऐक्सेस की सुविधा का गलत इस्तेमाल करने की आशंका

कर्नेल नेटवर्किंग ड्राइवर में, विशेषाधिकार बढ़ाने से जुड़ी कमज़ोरी की वजह से, कोई स्थानीय नुकसान पहुंचाने वाला ऐप्लिकेशन, कर्नेल के संदर्भ में मनमुताबिक कोड चला सकता है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले, किसी खास प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-4805	A-28979703 अपस्ट्रीम कर्नल	ज़्यादा	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9	15 मई, 2016

Synaptics टचस्क्रीन ड्राइवर में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम की आशंका

Synaptics टचस्क्रीन ड्राइवर में, ऐक्सेस लेवल बढ़ाने से जुड़ी जोखिम की वजह से, कोई स्थानीय नुकसान पहुंचाने वाला ऐप्लिकेशन, कर्नेल के संदर्भ में मनमुताबिक कोड चला सकता है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले, किसी खास प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3865	A-28799389*	ज़्यादा	Nexus 5X, Nexus 9	16 मई, 2016

* इस समस्या का पैच सार्वजनिक तौर पर उपलब्ध नहीं है. यह अपडेट, Google Developer साइट पर उपलब्ध, Nexus डिवाइसों के लिए नए बाइनरी ड्राइवर में शामिल है.

Qualcomm कैमरा ड्राइवर में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम

Qualcomm कैमरा ड्राइवर में, विशेषाधिकार बढ़ाने से जुड़ी जोखिम की वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को कर्नेल के संदर्भ में, मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले, किसी खास प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3859	A-28815326* QC-CR#1034641	ज़्यादा	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P	17 मई, 2016

* इस समस्या का पैच सार्वजनिक तौर पर उपलब्ध नहीं है. यह अपडेट, Google Developer साइट पर उपलब्ध Nexus डिवाइसों के लिए, नए बाइनरी ड्राइवर में शामिल है.

Qualcomm साउंड ड्राइवर में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम

Qualcomm साउंड ड्राइवर में, विशेषाधिकार बढ़ाने से जुड़ी जोखिम की वजह से, कोई नुकसान पहुंचाने वाला स्थानीय ऐप्लिकेशन, कर्नेल के संदर्भ में मनमुताबिक कोड चला सकता है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले, किसी खास प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3866	A-28868303* QC-CR#1032820	ज़्यादा	Nexus 5X, Nexus 6, Nexus 6P	18 मई, 2016

* इस समस्या का पैच सार्वजनिक तौर पर उपलब्ध नहीं है. यह अपडेट, Google Developer साइट पर उपलब्ध, Nexus डिवाइसों के लिए नए बाइनरी ड्राइवर में शामिल है.

Qualcomm IPA ड्राइवर में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम की आशंका

Qualcomm IPA ड्राइवर में, विशेषाधिकार बढ़ाने से जुड़ी जोखिम की वजह से, किसी नुकसान पहुंचाने वाले लोकल ऐप्लिकेशन को कर्नेल के संदर्भ में, मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले किसी विशेष प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3867	A-28919863* QC-CR#1037897	ज़्यादा	Nexus 5X, Nexus 6P	21 मई, 2016

* इस समस्या का पैच सार्वजनिक तौर पर उपलब्ध नहीं है. यह अपडेट, Google Developer साइट पर उपलब्ध Nexus डिवाइसों के लिए, नए बाइनरी ड्राइवर में शामिल है.

Qualcomm पावर ड्राइवर में, खास सुविधाओं के ऐक्सेस से जुड़ी समस्या

Qualcomm पावर ड्राइवर में, विशेषाधिकार बढ़ाने से जुड़ी जोखिम की वजह से, किसी नुकसान पहुंचाने वाले स्थानीय ऐप्लिकेशन को कर्नेल के संदर्भ में, मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले, किसी खास प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3868	A-28967028* QC-CR#1032875	ज़्यादा	Nexus 5X, Nexus 6P	25 मई, 2016

* इस समस्या का पैच सार्वजनिक तौर पर उपलब्ध नहीं है. यह अपडेट, Google Developer साइट पर उपलब्ध Nexus डिवाइसों के लिए, नए बाइनरी ड्राइवर में शामिल है.

Broadcom Wi-Fi ड्राइवर में, खास सुविधाओं के ऐक्सेस से जुड़ी समस्या

Broadcom Wi-Fi ड्राइवर में, विशेषाधिकार बढ़ाने से जुड़ी जोखिम की वजह से, किसी नुकसान पहुंचाने वाले स्थानीय ऐप्लिकेशन को कर्नेल के संदर्भ में, मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले, किसी खास प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3869	A-29009982* B-RB#96070	ज़्यादा	Nexus 5, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C	27 मई, 2016

* इस समस्या का पैच सार्वजनिक तौर पर उपलब्ध नहीं है. यह अपडेट, Google Developer साइट पर उपलब्ध Nexus डिवाइसों के लिए, नए बाइनरी ड्राइवर में शामिल है.

kernel eCryptfs फ़ाइल सिस्टम में, खास सुविधाओं के ऐक्सेस के गलत इस्तेमाल से जुड़ी जोखिम की आशंका

कर्नेल eCryptfs फ़ाइल सिस्टम में, ऐक्सेस लेवल बढ़ाने से जुड़ी जोखिम की वजह से, किसी नुकसान पहुंचाने वाले लोकल ऐप्लिकेशन को कर्नेल के संदर्भ में, मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले, किसी खास प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-1583	A-29444228 अपस्ट्रीम कर्नेल	ज़्यादा	Pixel C	1 जून, 2016

NVIDIA कर्नेल में, खास सुविधाओं के ऐक्सेस से जुड़ी समस्या

NVIDIA कर्नेल में, विशेषाधिकार बढ़ाने से जुड़ी कमज़ोरी की वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को कर्नेल के संदर्भ में मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले, किसी खास प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3873	A-29518457* N-CVE-2016-3873	ज़्यादा	Nexus 9	20 जून, 2016

* इस समस्या का पैच सार्वजनिक तौर पर उपलब्ध नहीं है. यह अपडेट, Google Developer साइट पर उपलब्ध, Nexus डिवाइसों के लिए नए बाइनरी ड्राइवर में शामिल है.

Qualcomm वाई-फ़ाई ड्राइवर में, खास सुविधाओं के ऐक्सेस से जुड़ी समस्या

Qualcomm वाई-फ़ाई ड्राइवर में, विशेषाधिकार बढ़ाने से जुड़ी जोखिम की वजह से, किसी नुकसान पहुंचाने वाले स्थानीय ऐप्लिकेशन को कर्नेल के संदर्भ में, मनमुताबिक कोड चलाने की अनुमति मिल सकती है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले, किसी खास प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3874	A-29944562 QC-CR#997797 [2]	ज़्यादा	Nexus 5X	1 जुलाई, 2016

कर्नेल नेटवर्किंग सबसिस्टम में, सेवा में रुकावट की आशंका

कर्नेल नेटवर्किंग सबसिस्टम में, सेवा अस्वीकार करने से जुड़ी कमज़ोरी की वजह से, हमलावर डिवाइस को हैंग या रीबूट कर सकता है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसकी वजह से कुछ समय के लिए, रिमोट से सेवा में रुकावट आ सकती है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2015-1465	A-29506807 अपस्ट्रीम कर्नल	ज़्यादा	Nexus 5, Nexus 6, Nexus 9, Nexus Player, Pixel C, Android One	3 फ़रवरी, 2015
CVE-2015-5364	A-29507402 अपस्ट्रीम कर्नल	ज़्यादा	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One	30 जून, 2015

kernel ext4 फ़ाइल सिस्टम में, सेवा में रुकावट की आशंका

कर्नेल ext4 फ़ाइल सिस्टम में, सेवा अस्वीकार करने की समस्या की वजह से हमलावर, डिवाइस पर सेवा अस्वीकार करने की समस्या को हमेशा के लिए चालू कर सकता है. डिवाइस को ठीक करने के लिए, ऑपरेटिंग सिस्टम को फिर से फ़्लैश करना पड़ सकता है. इस समस्या को 'ज़्यादा' रेटिंग दी गई है, क्योंकि हो सकता है कि स्थानीय स्तर पर सेवा को हमेशा के लिए बंद कर दिया जाए.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2015-8839	A-28760453*	ज़्यादा	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One	4 अप्रैल, 2016

* इस समस्या का पैच सार्वजनिक तौर पर उपलब्ध नहीं है. यह अपडेट, Google Developer साइट पर उपलब्ध, Nexus डिवाइसों के लिए नए बाइनरी ड्राइवर में शामिल है.

Qualcomm SPMI ड्राइवर में, जानकारी ज़ाहिर करने से जुड़ी जोखिम की आशंका

Qualcomm SPMI ड्राइवर में, जानकारी ज़ाहिर करने से जुड़ी एक जोखिम वाली स्थिति है. इसकी वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को अनुमति के लेवल से बाहर का डेटा ऐक्सेस करने की अनुमति मिल सकती है. इस समस्या को 'मध्यम' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले किसी विशेष प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3892	A-28760543* QC-CR#1024197	काफ़ी हद तक ठीक है	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P	13 मई, 2016

* इस समस्या का पैच सार्वजनिक तौर पर उपलब्ध नहीं है. यह अपडेट, Google Developer साइट पर उपलब्ध, Nexus डिवाइसों के लिए नए बाइनरी ड्राइवर में शामिल है.

Qualcomm साउंड कोडेक में, जानकारी ज़ाहिर होने की समस्या

Qualcomm साउंड कोडेक में, जानकारी ज़ाहिर करने से जुड़ी एक जोखिम वाली स्थिति है. इसकी वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को अनुमति के लेवल से बाहर का डेटा ऐक्सेस करने की अनुमति मिल सकती है. इस समस्या को 'मध्यम' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले किसी विशेष प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3893	A-29512527 QC-CR#856400	काफ़ी हद तक ठीक है	Nexus 6P	20 जून, 2016

Qualcomm डीएमए कॉम्पोनेंट में, जानकारी ज़ाहिर करने से जुड़ी जोखिम

Qualcomm डीएमए कॉम्पोनेंट में, जानकारी ज़ाहिर करने से जुड़ी जोखिम की वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को अनुमति के लेवल से बाहर का डेटा ऐक्सेस करने की अनुमति मिल सकती है. इस समस्या को 'मध्यम' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले किसी विशेष प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-3894	A-29618014* QC-CR#1042033	काफ़ी हद तक ठीक है	Nexus 6	23 जून, 2016

* इस समस्या का पैच सार्वजनिक तौर पर उपलब्ध नहीं है. यह अपडेट, Google Developer साइट पर उपलब्ध, Nexus डिवाइसों के लिए नए बाइनरी ड्राइवर में शामिल है.

कर्नेल नेटवर्किंग सबसिस्टम में, जानकारी ज़ाहिर करने से जुड़ी जोखिम की आशंका

कर्नेल नेटवर्किंग सबसिस्टम में जानकारी ज़ाहिर करने की जोखिम की वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को अनुमति के लेवल से बाहर का डेटा ऐक्सेस करने की अनुमति मिल सकती है. इस समस्या को 'मध्यम' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले किसी विशेष प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-4998	A-29637687 अपस्ट्रीम कर्नेल [2]	काफ़ी हद तक ठीक है	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One	24 जून, 2016

कर्नेल नेटवर्किंग सबसिस्टम में, सेवा में रुकावट की आशंका

कर्नेल नेटवर्किंग सबसिस्टम में, सेवा में रुकावट डालने से जुड़ी जोखिम की वजह से, हमलावर वाई-फ़ाई की सुविधाओं के ऐक्सेस को ब्लॉक कर सकता है.वाई-फ़ाई की सुविधाओं के ऐक्सेस को कुछ समय के लिए, रिमोट से ब्लॉक किए जाने की संभावना की वजह से, इस समस्या को मध्यम के तौर पर रेटिंग दी गई है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2015-2922	A-29409847 अपस्ट्रीम कर्नल	काफ़ी हद तक ठीक है	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One	4 अप्रैल, 2015

Qualcomm के कॉम्पोनेंट में जोखिम की आशंकाएं

नीचे दी गई टेबल में, सुरक्षा से जुड़ी ऐसी समस्याएं दी गई हैं जिनका असर Qualcomm के कॉम्पोनेंट पर पड़ता है. इनमें, बूटलोडर, कैमरा ड्राइवर, कैरेक्टर ड्राइवर, नेटवर्किंग, साउंड ड्राइवर, और वीडियो ड्राइवर शामिल हो सकते हैं.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-2469	QC-CR#997025	ज़्यादा	कोई नहीं	जून 2016
CVE-2016-2469	QC-CR#997015	काफ़ी हद तक ठीक है	कोई नहीं	जून 2016

06-09-2016 का सुरक्षा पैच लेवल—सुरक्षा से जुड़ी समस्या की जानकारी

यहां दिए गए सेक्शन में, हम सुरक्षा से जुड़ी हर उस कमजोरी के बारे में जानकारी देते हैं जो 06-09-2016 के पैच लेवल पर लागू होती है. इसमें समस्या के बारे में जानकारी, गंभीरता की वजह, और एक टेबल दी गई है. इसमें सीवीई, इससे जुड़े रेफ़रंस, गंभीरता, अपडेट किए गए Nexus डिवाइसों, अपडेट किए गए AOSP वर्शन (जहां लागू हो), और रिपोर्ट करने की तारीख शामिल है. जब उपलब्ध होगा, तो हम समस्या को ठीक करने वाले सार्वजनिक बदलाव को बग आईडी से लिंक कर देंगे. जैसे, AOSP में हुए बदलावों की सूची. जब एक ही गड़बड़ी से जुड़े कई बदलाव होते हैं, तो बग आईडी के बाद के नंबर से अतिरिक्त रेफ़रंस लिंक किए जाते हैं.

कर्नेल के शेयर किए गए मेमोरी सबसिस्टम में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम

कर्नेल के शेयर किए गए मेमोरी सबसिस्टम में, विशेषाधिकार की बढ़ोतरी की समस्या की वजह से, कोई स्थानीय नुकसान पहुंचाने वाला ऐप्लिकेशन, कर्नेल के संदर्भ में मनमुताबिक कोड चला सकता है. इस समस्या को गंभीर माना गया है, क्योंकि इससे डिवाइस के साथ हमेशा के लिए छेड़छाड़ की जा सकती है. डिवाइस को ठीक करने के लिए, ऑपरेटिंग सिस्टम को फिर से फ़्लैश करना पड़ सकता है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-5340	A-30652312 QC-CR#1008948	सबसे अहम	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One	26 जुलाई, 2016

Qualcomm नेटवर्किंग कॉम्पोनेंट में, खास सुविधाओं के ऐक्सेस से जुड़ी जोखिम की आशंका

Qualcomm नेटवर्किंग कॉम्पोनेंट में, विशेषाधिकार बढ़ाने की समस्या की वजह से, कोई नुकसान पहुंचाने वाला स्थानीय ऐप्लिकेशन, कर्नेल के संदर्भ में मनमुताबिक कोड चला सकता है. इस समस्या को 'गंभीर' के तौर पर रेट किया गया है, क्योंकि इसके लिए पहले, किसी खास प्रोसेस को कमज़ोर करना ज़रूरी है.

CVE	रेफ़रंस	गंभीरता	अपडेट किए गए Nexus डिवाइस	रिपोर्ट तारीख
CVE-2016-2059	A-27045580 QC-CR#974577	ज़्यादा	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One	4 फ़रवरी, 2016

अक्सर पूछे जाने वाले सवाल और उनके जवाब

इस सेक्शन में, इस सूचना को पढ़ने के बाद पूछे जाने वाले आम सवालों के जवाब दिए गए हैं.

1. मुझे कैसे पता चलेगा कि मेरे डिवाइस को इन समस्याओं को ठीक करने के लिए अपडेट किया गया है या नहीं?

01-09-2016 या उसके बाद के सिक्योरिटी पैच लेवल, 01-09-2016 के सिक्योरिटी पैच स्ट्रिंग लेवल से जुड़ी सभी समस्याओं को हल करते हैं. 05-09-2016 या उसके बाद के सिक्योरिटी पैच लेवल, 05-09-2016 के सिक्योरिटी पैच स्ट्रिंग लेवल से जुड़ी सभी समस्याओं को हल करते हैं. 06-09-2016 या उसके बाद के सिक्योरिटी पैच लेवल, 06-09-2016 के सिक्योरिटी पैच स्ट्रिंग लेवल से जुड़ी सभी समस्याओं को हल करते हैं. सुरक्षा पैच के लेवल की जांच करने का तरीका जानने के लिए, सहायता केंद्र पर जाएं. डिवाइस बनाने वाली जिन कंपनियों ने ये अपडेट शामिल किए हैं उन्हें पैच स्ट्रिंग लेवल को इन पर सेट करना चाहिए: [ro.build.version.security_patch]:[2016-09-01], [ro.build.version.security_patch]:[2016-09-05] या [ro.build.version.security_patch]:[2016-09-06].

2. इस सूचना में, सुरक्षा पैच के तीन लेवल की स्ट्रिंग क्यों हैं?

इस बुलेटिन में, सिक्योरिटी पैच के तीन लेवल की स्ट्रिंग हैं, ताकि Android पार्टनर, सभी Android डिवाइसों पर एक जैसी सुरक्षा से जुड़ी समस्याओं के सबसेट को तेज़ी से ठीक कर सकें. Android पार्टनर को इस सूचना में बताई गई सभी समस्याओं को ठीक करने और सुरक्षा पैच के सबसे नए लेवल की स्ट्रिंग का इस्तेमाल करने का सुझाव दिया जाता है.

जिन डिवाइसों में 6 सितंबर, 2016 या उसके बाद के सिक्योरिटी पैच लेवल का इस्तेमाल किया जाता है उनमें, इस और पिछले सिक्योरिटी बुलेटिन में बताए गए सभी लागू पैच शामिल होने चाहिए. इस पैच लेवल को उन समस्याओं को हल करने के लिए बनाया गया था जो इस बुलेटिन में बताई गई ज़्यादातर समस्याओं के बारे में पार्टनर को सूचना देने के बाद पता चलीं.

जिन डिवाइसों में 5 सितंबर, 2016 के सिक्योरिटी पैच लेवल का इस्तेमाल किया जाता है उनमें उस सिक्योरिटी पैच लेवल से जुड़ी सभी समस्याएं, 1 सितंबर, 2016 के सिक्योरिटी पैच लेवल से जुड़ी सभी समस्याएं, और पिछले सिक्योरिटी बुलेटिन में बताई गई सभी समस्याओं के लिए किए गए सुधार शामिल होने चाहिए. ऐसे डिवाइसों में, 5 सितंबर, 2016 के सुरक्षा पैच लेवल के साथ-साथ, 6 सितंबर, 2016 के सुरक्षा पैच लेवल से जुड़े सुधारों का सबसेट भी शामिल हो सकता है.

जिन डिवाइसों में 1 सितंबर, 2016 के सिक्योरिटी पैच लेवल का इस्तेमाल किया जाता है उनमें उस सिक्योरिटी पैच लेवल से जुड़ी सभी समस्याओं के साथ-साथ, पिछले सिक्योरिटी बुलेटिन में बताई गई सभी समस्याओं के लिए ठीक किए गए वर्शन शामिल होने चाहिए. ऐसे डिवाइसों में 1 सितंबर, 2016 के सिक्योरिटी पैच लेवल के साथ-साथ, 5 सितंबर, 2016 और 6 सितंबर, 2016 के सिक्योरिटी पैच लेवल से जुड़े सुधारों का सबसेट भी शामिल हो सकता है.

3. मैं कैसे पता लगाऊं कि हर समस्या का असर किन Nexus डिवाइसों पर पड़ता है?

01-09-2016, 05-09-2016, और 06-09-2016 को लेकर सुरक्षा से जुड़ी जोखिम की जानकारी वाले सेक्शन में, हर टेबल में एक अपडेट किए गए Nexus डिवाइस कॉलम होता है. इसमें, हर समस्या के लिए अपडेट किए गए उन Nexus डिवाइसों की जानकारी होती है जिन पर असर पड़ा है. इस कॉलम में कुछ विकल्प होते हैं:

• सभी Nexus डिवाइस: अगर किसी समस्या का असर सभी Nexus डिवाइसों पर पड़ता है, तो टेबल में अपडेट किए गए Nexus डिवाइस कॉलम में “सभी Nexus” दिखेगा. “सभी Nexus” में ये डिवाइस शामिल हैं: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player, और Pixel C.
• कुछ Nexus डिवाइस: अगर किसी समस्या का असर सभी Nexus डिवाइसों पर नहीं पड़ता है, तो जिन डिवाइसों पर असर पड़ा है उनकी सूची अपडेट किए गए Nexus डिवाइस कॉलम में दी गई है.
• कोई Nexus डिवाइस नहीं: अगर Android 7.0 पर काम करने वाले किसी भी Nexus डिवाइस पर इस समस्या का असर नहीं पड़ा है, तो टेबल में अपडेट किए गए Nexus डिवाइस कॉलम में “कोई नहीं” दिखेगा.

4. रेफ़रंस कॉलम में मौजूद एंट्री किससे मैप होती हैं?

जोखिम की जानकारी वाली टेबल के रेफ़रंस कॉलम में मौजूद एंट्री में, उस संगठन की पहचान करने वाला प्रीफ़िक्स शामिल हो सकता है जिससे रेफ़रंस वैल्यू जुड़ी है. ये प्रीफ़िक्स इस तरह मैप होते हैं:

प्रीफ़िक्स	रेफ़रंस
A-	Android गड़बड़ी का आईडी
QC-	Qualcomm का रेफ़रंस नंबर
M-	MediaTek का रेफ़रंस नंबर
N-	NVIDIA का रेफ़रंस नंबर
B-	Broadcom का रेफ़रंस नंबर

संशोधन

• 6 सितंबर, 2016: बुलेटिन पब्लिश किया गया.
• 07 सितंबर, 2016: AOSP लिंक शामिल करने के लिए, बुलेटिन में बदलाव किया गया.
• 12 सितंबर, 2016: CVE-2016-3861 के एट्रिब्यूशन को अपडेट करने और CVE-2016-3877 को हटाने के लिए, सूचना में बदलाव किया गया.