Android सुरक्षा बुलेटिन — फरवरी 2019

प्रकाशित फ़रवरी 4, 2019

Android सुरक्षा बुलेटिन में Android उपकरणों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण होता है। 2019-02-05 या बाद के सुरक्षा पैच स्तर इन सभी मुद्दों को संबोधित करते हैं। किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपना Android संस्करण जांचें और अपडेट करें देखें.

प्रकाशन से कम से कम एक महीने पहले Android भागीदारों को सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए स्रोत कोड पैच एंड्रॉइड ओपन सोर्स प्रोजेक्ट (एओएसपी) रिपोजिटरी में जारी किए गए हैं और इस बुलेटिन से जुड़े हुए हैं। इस बुलेटिन में एओएसपी के बाहर पैच के लिंक भी शामिल हैं।

इन मुद्दों में सबसे गंभीर है फ्रेमवर्क में एक महत्वपूर्ण सुरक्षा भेद्यता जो एक विशेष रूप से तैयार की गई पीएनजी फ़ाइल का उपयोग करके एक दूरस्थ हमलावर को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमानी कोड निष्पादित करने की अनुमति दे सकती है। गंभीरता का आकलन इस प्रभाव पर आधारित है कि भेद्यता का शोषण संभवतः एक प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफॉर्म और सेवा शमन को विकास उद्देश्यों के लिए बंद कर दिया गया है या सफलतापूर्वक बायपास कर दिया गया है।

हमारे पास इन नए रिपोर्ट किए गए मुद्दों के सक्रिय ग्राहक शोषण या दुरुपयोग की कोई रिपोर्ट नहीं है। Android सुरक्षा प्लेटफ़ॉर्म सुरक्षा और Google Play प्रोटेक्ट पर विवरण के लिए Android और Google Play प्रोटेक्ट मिटिगेशन अनुभाग देखें, जो Android प्लेटफ़ॉर्म की सुरक्षा में सुधार करते हैं।

नोट: Google उपकरणों के लिए नवीनतम ओवर-द-एयर अपडेट (OTA) और फर्मवेयर छवियों की जानकारी फरवरी 2019 पिक्सेल अपडेट बुलेटिन में उपलब्ध है।

Android और Google सेवा में कमी

यह Android सुरक्षा प्लेटफ़ॉर्म और Google Play Protect जैसी सेवा सुरक्षा द्वारा प्रदान किए गए शमन का सारांश है। ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा कमजोरियों का सफलतापूर्वक शोषण किया जा सकता है।

  • एंड्रॉइड प्लेटफॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा एंड्रॉइड पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
  • एंड्रॉइड सुरक्षा टीम सक्रिय रूप से Google Play Protect के माध्यम से दुरुपयोग की निगरानी करती है और उपयोगकर्ताओं को संभावित रूप से हानिकारक एप्लिकेशन के बारे में चेतावनी देती है। Google Play Protect Google मोबाइल सेवाओं वाले उपकरणों पर डिफ़ॉल्ट रूप से सक्षम होता है, और यह उन उपयोगकर्ताओं के लिए विशेष रूप से महत्वपूर्ण है जो Google Play के बाहर से ऐप्स इंस्टॉल करते हैं।

2019-02-01 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2019-02-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। समस्या का विवरण और सीवीई, संबंधित संदर्भ, भेद्यता के प्रकार , गंभीरता , और अद्यतन एओएसपी संस्करण (जहां लागू हो) के साथ एक तालिका है। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।

रूपरेखा

इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार की गई पीएनजी फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2019-1986 ए-117838472 [ 2 ] आरसीई नाजुक 9
सीवीई-2019-1987 ए-118143775 [ 2 ] आरसीई नाजुक 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-1988 ए-118372692 आरसीई नाजुक 8.0, 8.1, 9

पुस्तकालय

इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक दूरस्थ हमलावर को एक गैर-विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2017-17760 ए-78029030 * आरसीई उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2018-5268 ए-78029634 * आरसीई उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2018-5269 ए-78029727 * आरसीई उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2017-18009 ए-78026242 * पहचान संतुलित 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

व्यवस्था

इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार किए गए ट्रांसमिशन का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2019-1991 ए-110166268 आरसीई नाजुक 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-1992 ए-116222069 आरसीई नाजुक 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-1993 ए-119819889 ईओपी उच्च 8.0, 8.1, 9
सीवीई-2019-1994 ए-117770924 ईओपी उच्च 8.0, 8.1, 9
सीवीई-2019-1995 ए-32589229 [ 2 ] पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-1996 ए-111451066 पहचान उच्च 8.0, 8.1, 9
सीवीई-2019-1997 ए-117508900 पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-1998 ए-116055338 [ 2 ] करने योग्य उच्च 9

2019-02-05 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2019-02-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उस घटक के तहत वर्गीकृत किया जाता है जो वे प्रभावित करते हैं और इसमें सीवीई, संबद्ध संदर्भ, भेद्यता के प्रकार , गंभीरता , घटक (जहां लागू हो), और अद्यतन एओएसपी संस्करण (जहां लागू हो) जैसे विवरण शामिल होते हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।

कर्नेल घटक

इस खंड में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने में सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2018-10879 ए-116406063
अपस्ट्रीम कर्नेल
ईओपी उच्च ext4 फाइल सिस्टम
सीवीई-2019-1999 ए-120025196 * ईओपी उच्च बाइंडर ड्राइवर
सीवीई-2019-2000 ए-120025789 * ईओपी उच्च बाइंडर ड्राइवर
सीवीई-2019-2001 ए-117422211 * पहचान उच्च आयोमेम

एनवीआईडीआईए घटक

इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2018-6271 ए-80198474 * आरसीई नाजुक libnvomx
सीवीई-2018-6267 ए-70857947 * ईओपी उच्च libnvomx
सीवीई-2018-6268 ए-80433161 * ईओपी उच्च libnvomx
सीवीई-2016-6684 ए-117423758 * पहचान उच्च कर्नेल लॉग

क्वालकॉम घटक

ये भेद्यताएं क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में और अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2018-11262 ए-76424945
क्यूसी-सीआर#2221192
एन/ए नाजुक बूटलोडर
सीवीई-2018-11280 ए-109741776
क्यूसी-सीआर#2185061
एन/ए उच्च मोडम
सीवीई-2018-11275 ए-74409078
क्यूसी-सीआर#2221256 [ 2 ]
एन/ए उच्च बूटलोडर
सीवीई-2018-13900 ए-119052051
क्यूसी-सीआर#2287499
एन/ए उच्च मोडम
सीवीई-2018-13905 ए-119052050
क्यूसी-सीआर#2225202
एन/ए उच्च ग्राफिक्स

क्वालकॉम बंद-स्रोत घटक

ये भेद्यताएं क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में और अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2018-11289 ए-109678453 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2018-11820 ए-111089815 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2018-11938 ए-112279482 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2018-11945 ए-112278875 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2018-11268 ए-109678259 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-11845 ए-111088838 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-11864 ए-111092944 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-11921 ए-112278972 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-11931 ए-112279521 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-11932 ए-112279426 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-11935 ए-112279483 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-11948 ए-112279144 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-5839 ए-112279544 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-13904 ए-119050566 * एन/ए उच्च बंद स्रोत घटक

सामान्य प्रश्न और उत्तर

यह खंड उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि इन समस्याओं को दूर करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?

किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपना Android संस्करण जांचें और अपडेट करें देखें.

  • 2019-02-01 या बाद के सुरक्षा पैच स्तर 2019-02-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों को संबोधित करते हैं।
  • 2019-02-05 या बाद के सुरक्षा पैच स्तर 2019-02-05 सुरक्षा पैच स्तर और पिछले सभी पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।

इन अद्यतनों को शामिल करने वाले डिवाइस निर्माताओं को पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[2019-02-01]
  • [ro.build.version.security_patch]:[2019-02-05]

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि Android भागीदारों के पास कमजोरियों के एक सबसेट को ठीक करने की सुविधा हो जो सभी Android उपकरणों में अधिक तेज़ी से समान हो। Android भागीदारों को इस बुलेटिन में सभी समस्याओं को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

  • 2019-02-01 सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में उस सुरक्षा पैच स्तर से जुड़े सभी मुद्दों के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट की गई सभी समस्याओं के समाधान शामिल होने चाहिए।
  • 2019-02-05 या नए के सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल होने चाहिए।

भागीदारों को उन सभी समस्याओं के समाधान को बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे एक ही अद्यतन में संबोधित कर रहे हैं।

3. टाइप कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के प्रकार कॉलम में प्रविष्टियां सुरक्षा भेद्यता के वर्गीकरण का संदर्भ देती हैं।

संक्षेपाक्षर परिभाषा
आरसीई रिमोट कोड निष्पादन
ईओपी विशेषाधिकार का उन्नयन
पहचान जानकारी प्रकटीकरण
करने योग्य सेवा की मनाई
एन/ए वर्गीकरण उपलब्ध नहीं है

4. सन्दर्भ कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के संदर्भ कॉलम के अंतर्गत प्रविष्टियों में उस संगठन की पहचान करने वाला एक उपसर्ग हो सकता है जिससे संदर्भ मान संबंधित है।

उपसर्ग संदर्भ
ए- एंड्रॉइड बग आईडी
क्यूसी- क्वालकॉम संदर्भ संख्या
एम- मीडियाटेक संदर्भ संख्या
एन- NVIDIA संदर्भ संख्या
बी- ब्रॉडकॉम संदर्भ संख्या

5. संदर्भ कॉलम में Android बग आईडी के आगे * का क्या अर्थ है?

जो समस्याएं सार्वजनिक रूप से उपलब्ध नहीं हैं उनमें संदर्भ कॉलम में Android बग आईडी के आगे एक * होता है। उस समस्या के लिए अद्यतन आम तौर पर Google डेवलपर साइट से उपलब्ध पिक्सेल उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में निहित है।

6. सुरक्षा कमजोरियों को इस बुलेटिन और डिवाइस/पार्टनर सुरक्षा बुलेटिन, जैसे कि Pixel बुलेटिन के बीच क्यों विभाजित किया गया है?

इस सुरक्षा बुलेटिन में प्रलेखित सुरक्षा भेद्यताएं Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। सुरक्षा पैच स्तर घोषित करने के लिए डिवाइस/पार्टनर सुरक्षा बुलेटिन में प्रलेखित अतिरिक्त सुरक्षा भेद्यताएं आवश्यक नहीं हैं। एंड्रॉइड डिवाइस और चिपसेट निर्माताओं को सैमसंग , एलजीई , या पिक्सेल सुरक्षा बुलेटिन जैसी अपनी सुरक्षा वेबसाइटों के माध्यम से अपने उपकरणों पर अन्य सुधारों की उपस्थिति का दस्तावेजीकरण करने के लिए प्रोत्साहित किया जाता है।

संस्करणों

संस्करण दिनांक टिप्पणियाँ
1.0 फरवरी 4, 2019 बुलेटिन प्रकाशित