Android सुरक्षा बुलेटिन - मार्च 2019

4 मार्च 2019 को प्रकाशित | 5 मार्च 2019 को अपडेट किया गया

एंड्रॉइड सुरक्षा बुलेटिन में एंड्रॉइड डिवाइसों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण शामिल है। 2019-03-05 या उसके बाद के सुरक्षा पैच स्तर इन सभी मुद्दों का समाधान करते हैं। किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपने Android संस्करण की जांच करें और अपडेट करें देखें।

एंड्रॉइड भागीदारों को प्रकाशन से कम से कम एक महीने पहले सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए सोर्स कोड पैच अगले 48 घंटों में एंड्रॉइड ओपन सोर्स प्रोजेक्ट (एओएसपी) रिपॉजिटरी में जारी किए जाएंगे। जब AOSP लिंक उपलब्ध होंगे तो हम इस बुलेटिन को AOSP लिंक के साथ संशोधित करेंगे।

इन मुद्दों में सबसे गंभीर मीडिया ढांचे में एक महत्वपूर्ण सुरक्षा भेद्यता है जो एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक दूरस्थ हमलावर को एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। गंभीरता का मूल्यांकन उस प्रभाव पर आधारित है जो भेद्यता का शोषण संभवतः प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफ़ॉर्म और सेवा शमन को विकास उद्देश्यों के लिए बंद कर दिया गया है या यदि सफलतापूर्वक बायपास किया गया है।

हमारे पास सक्रिय ग्राहक शोषण या इन नए रिपोर्ट किए गए मुद्दों के दुरुपयोग की कोई रिपोर्ट नहीं है। एंड्रॉइड सुरक्षा प्लेटफ़ॉर्म सुरक्षा और Google Play प्रोटेक्ट पर विवरण के लिए एंड्रॉइड और Google Play प्रोटेक्ट शमन अनुभाग देखें, जो एंड्रॉइड प्लेटफ़ॉर्म की सुरक्षा में सुधार करते हैं।

नोट: Google उपकरणों के लिए नवीनतम ओवर-द-एयर अपडेट (OTA) और फ़र्मवेयर छवियों की जानकारी मार्च 2019 पिक्सेल अपडेट बुलेटिन में उपलब्ध है।

Android और Google सेवा शमन

यह एंड्रॉइड सुरक्षा प्लेटफ़ॉर्म और Google Play प्रोटेक्ट जैसी सेवा सुरक्षा द्वारा प्रदान किए गए शमन का सारांश है। ये क्षमताएं इस संभावना को कम कर देती हैं कि एंड्रॉइड पर सुरक्षा कमजोरियों का सफलतापूर्वक फायदा उठाया जा सकता है।

  • एंड्रॉइड प्लेटफ़ॉर्म के नए संस्करणों में संवर्द्धन द्वारा एंड्रॉइड पर कई मुद्दों का शोषण और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, एंड्रॉइड के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
  • एंड्रॉइड सुरक्षा टीम सक्रिय रूप से Google Play प्रोटेक्ट के माध्यम से दुरुपयोग की निगरानी करती है और उपयोगकर्ताओं को संभावित रूप से हानिकारक एप्लिकेशन के बारे में चेतावनी देती है। Google Play प्रोटेक्ट Google मोबाइल सेवाओं वाले उपकरणों पर डिफ़ॉल्ट रूप से सक्षम है, और यह उन उपयोगकर्ताओं के लिए विशेष रूप से महत्वपूर्ण है जो Google Play के बाहर से ऐप्स इंस्टॉल करते हैं।

2019-03-01 सुरक्षा पैच स्तर भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2019-03-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा कमजोरियों का विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत समूहीकृत किया जाता है। इसमें समस्या का विवरण और सीवीई, संबंधित संदर्भ, भेद्यता का प्रकार , गंभीरता और अद्यतन एओएसपी संस्करण (जहां लागू हो) के साथ एक तालिका है। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को लिंक करते हैं जिसने समस्या को बग आईडी से संबोधित किया है, जैसे कि एओएसपी परिवर्तन सूची। जब एकाधिक परिवर्तन एक ही बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद वाले नंबरों से जुड़े होते हैं।

रूपरेखा

इस अनुभाग में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अद्यतन AOSP संस्करण
सीवीई-2018-20346 ए-121156452 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-1985 ए-118694079* ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0
सीवीई-2019-2003 ए-116321860 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2004 ए-115739809 पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2005 ए-68777217 ईओपी मध्यम 8.0, 8.1, 9

मीडिया ढाँचा

इस अनुभाग में सबसे गंभीर भेद्यता एक दूरस्थ हमलावर को एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने के लिए विशेष रूप से तैयार की गई फ़ाइल का उपयोग करने में सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अद्यतन AOSP संस्करण
सीवीई-2019-1989 ए-118399205 आरसीई गंभीर 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-1990 ए-118453553 आरसीई गंभीर 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2006 ए-116665972 ईओपी उच्च 9
सीवीई-2019-2007 ए-120789744 [ 2 ] ईओपी उच्च 8.1, 9
सीवीई-2019-2008 ए-122309228 ईओपी उच्च 8.0, 8.1, 9

प्रणाली

इस अनुभाग में सबसे गंभीर भेद्यता एक दूरस्थ हमलावर को एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए विशेष रूप से तैयार किए गए ट्रांसमिशन का उपयोग करने में सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अद्यतन AOSP संस्करण
सीवीई-2019-2009 ए-120665616 आरसीई गंभीर 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2010 ए-118152591 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2011 ए-120084106 [ 2 ] ईओपी उच्च 8.0, 8.1, 9
सीवीई-2019-2012 ए-120497437 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2013 ए-120497583 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2014 ए-120499324 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2015 ए-120503926 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2016 ए-120664978 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2017 ए-121035711 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2018 ए-110172241 [ 2 ] ईओपी उच्च 8.1, 9
सीवीई-2018-9561 ए-111660010 [ 2 ] पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2018-9563 ए-114237888 [ 2 ] पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2018-9564 ए-114238578 [ 2 ] पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2019 ए-115635871 पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2020 ए-116788646 पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2021 ए-120428041 पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2022 ए-120506143 पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

2019-03-05 सुरक्षा पैच स्तर भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2019-03-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा कमजोरियों का विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत समूहीकृत किया जाता है और इसमें सीवीई, संबंधित संदर्भ, भेद्यता का प्रकार , गंभीरता , घटक (जहां लागू हो), और अद्यतन एओएसपी संस्करण (जहां लागू हो) जैसे विवरण शामिल होते हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को लिंक करते हैं जिसने समस्या को बग आईडी से संबोधित किया है, जैसे कि एओएसपी परिवर्तन सूची। जब एकाधिक परिवर्तन एक ही बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद वाले नंबरों से जुड़े होते हैं।

प्रणाली

इस अनुभाग में भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अद्यतन AOSP संस्करण
सीवीई-2019-2023 ए-121035042 [ 2 ] [ 3 ] [ 4 ] [ 5 ] [ 6 ] [ 7 ] ईओपी उच्च 8.0, 8.1, 9

कर्नेल घटक

इस अनुभाग में सबसे गंभीर भेद्यता एक स्थानीय हमलावर को एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने के लिए विशेष रूप से तैयार की गई फ़ाइल का उपयोग करने में सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अवयव
सीवीई-2018-10883 ए-117311198
अपस्ट्रीम कर्नेल [ 2 ]
ईओपी उच्च ext4 फ़ाइल सिस्टम
सीवीई-2019-2024 ए-111761954
अपस्ट्रीम कर्नेल
ईओपी उच्च em28xx ड्राइवर
सीवीई-2019-2025 ए-116855682
अपस्ट्रीम कर्नेल
ईओपी उच्च बाइंडर ड्राइवर

क्वालकॉम घटक

ये कमजोरियाँ क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में आगे विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ प्रकार तीव्रता अवयव
सीवीई-2017-8252 ए-112277630
क्यूसी-सीआर#2106159
एन/ए गंभीर पारिस्थितिकी तंत्र
सीवीई-2017-8252 ए-114041175
क्यूसी-सीआर#2128529
एन/ए गंभीर पारिस्थितिकी तंत्र
सीवीई-2018-11817 ए-114041192
क्यूसी-सीआर#2241830
एन/ए गंभीर डीएसपी_सेवाएँ
सीवीई-2018-11817 ए-114041747
क्यूसी-सीआर#2166542
एन/ए गंभीर डीएसपी_सेवाएँ
सीवीई-2018-13899 ए-119053086
क्यूसी-सीआर#2295915 [ 2 ]
एन/ए उच्च वीडियो
सीवीई-2018-13917 ए-120487091
क्यूसी-सीआर#2251019
एन/ए उच्च एनएसएस होस्ट जीतें

क्वालकॉम बंद-स्रोत घटक

ये कमजोरियाँ क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में आगे विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ प्रकार तीव्रता अवयव
सीवीई-2017-8252 ए-79419898 * एन/ए गंभीर बंद-स्रोत घटक
सीवीई-2017-8252 ए-79420414 * एन/ए गंभीर बंद-स्रोत घटक
सीवीई-2017-8252 ए-112279542 * एन/ए गंभीर बंद-स्रोत घटक
सीवीई-2018-11958 ए-114042786 * एन/ए गंभीर बंद-स्रोत घटक
सीवीई-2018-11966 ए-114042484 * एन/ए उच्च बंद-स्रोत घटक
सीवीई-2018-11970 ए-114042111 * एन/ए उच्च बंद-स्रोत घटक
सीवीई-2018-11971 ए-114042829 * एन/ए उच्च बंद-स्रोत घटक
सीवीई-2018-13918 ए-120486115 * एन/ए उच्च बंद-स्रोत घटक

सामान्य प्रश्न और उत्तर

यह अनुभाग उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि मेरा डिवाइस इन समस्याओं के समाधान के लिए अपडेट किया गया है या नहीं?

किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपने Android संस्करण की जांच करें और अपडेट करें देखें।

  • 2019-03-01 या बाद के सुरक्षा पैच स्तर 2019-03-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों का समाधान करते हैं।
  • 2019-03-05 या बाद के सुरक्षा पैच स्तर 2019-03-05 सुरक्षा पैच स्तर और सभी पिछले पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।

जिन डिवाइस निर्माताओं में ये अपडेट शामिल हैं, उन्हें पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[2019-03-01]
  • [ro.build.version.security_patch]:[2019-03-05]

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि एंड्रॉइड भागीदारों के पास सभी एंड्रॉइड डिवाइसों में समान कमजोरियों के एक उपसमूह को अधिक तेज़ी से ठीक करने की सुविधा हो। एंड्रॉइड भागीदारों को इस बुलेटिन में सभी मुद्दों को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

  • जो डिवाइस 2019-03-01 सुरक्षा पैच स्तर का उपयोग करते हैं, उनमें उस सुरक्षा पैच स्तर से जुड़े सभी मुद्दों के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट किए गए सभी मुद्दों के समाधान भी शामिल होने चाहिए।
  • जो डिवाइस 2019-03-05 या नए सुरक्षा पैच स्तर का उपयोग करते हैं, उन्हें इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल करने होंगे।

साझेदारों को उन सभी समस्याओं के समाधान को एक ही अपडेट में बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे संबोधित कर रहे हैं।

3. प्रकार कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के प्रकार कॉलम में प्रविष्टियाँ सुरक्षा भेद्यता के वर्गीकरण का संदर्भ देती हैं।

संक्षेपाक्षर परिभाषा
आरसीई रिमोट कोड निष्पादन
ईओपी विशेषाधिकार का उन्नयन
पहचान जानकारी प्रकटीकरण
करने योग्य सेवा की मनाई
एन/ए वर्गीकरण उपलब्ध नहीं है

4. संदर्भ कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के संदर्भ कॉलम के अंतर्गत प्रविष्टियों में उस संगठन की पहचान करने वाला एक उपसर्ग हो सकता है जिससे संदर्भ मान संबंधित है।

उपसर्ग संदर्भ
ए- एंड्रॉइड बग आईडी
QC- क्वालकॉम संदर्भ संख्या
एम- मीडियाटेक संदर्भ संख्या
एन- NVIDIA संदर्भ संख्या
बी- ब्रॉडकॉम संदर्भ संख्या

5. संदर्भ कॉलम में एंड्रॉइड बग आईडी के आगे * का क्या मतलब है?

जो मुद्दे सार्वजनिक रूप से उपलब्ध नहीं हैं, उनके संदर्भ कॉलम में एंड्रॉइड बग आईडी के आगे * है। उस समस्या का अद्यतन आम तौर पर Google डेवलपर साइट पर उपलब्ध पिक्सेल उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में शामिल होता है।

6. सुरक्षा कमजोरियाँ इस बुलेटिन और डिवाइस/साझेदार सुरक्षा बुलेटिन, जैसे कि पिक्सेल बुलेटिन, के बीच विभाजित क्यों हैं?

इस सुरक्षा बुलेटिन में दर्ज की गई सुरक्षा कमजोरियाँ Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। डिवाइस/साझेदार सुरक्षा बुलेटिन में दर्ज अतिरिक्त सुरक्षा कमजोरियाँ सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक नहीं हैं। एंड्रॉइड डिवाइस और चिपसेट निर्माताओं को सैमसंग , एलजीई या पिक्सेल अपडेट बुलेटिन जैसी अपनी सुरक्षा वेबसाइटों के माध्यम से अपने डिवाइस पर अन्य सुधारों की उपस्थिति का दस्तावेजीकरण करने के लिए प्रोत्साहित किया जाता है।

संस्करणों

संस्करण तारीख टिप्पणियाँ
1.0 4 मार्च 2019 बुलेटिन प्रकाशित
1.1 5 मार्च 2019 एओएसपी लिंक को शामिल करने के लिए बुलेटिन को संशोधित किया गया।