Android सुरक्षा बुलेटिन — मार्च 2019

प्रकाशित मार्च 4, 2019 | 5 मार्च 2019 को अपडेट किया गया

Android सुरक्षा बुलेटिन में Android उपकरणों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण होता है। 2019-03-05 या बाद के सुरक्षा पैच स्तर इन सभी मुद्दों को संबोधित करते हैं। किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपना Android संस्करण जांचें और अपडेट करें देखें.

प्रकाशन से कम से कम एक महीने पहले Android भागीदारों को सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए स्रोत कोड पैच अगले 48 घंटों में Android ओपन सोर्स प्रोजेक्ट (AOSP) रिपॉजिटरी में जारी कर दिए जाएंगे। हम इस बुलेटिन को AOSP लिंक के साथ उपलब्ध होने पर संशोधित करेंगे।

इन मुद्दों में सबसे गंभीर मीडिया ढांचे में एक महत्वपूर्ण सुरक्षा भेद्यता है जो एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकता है। गंभीरता का आकलन इस प्रभाव पर आधारित है कि भेद्यता का शोषण संभवतः एक प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफॉर्म और सेवा शमन को विकास उद्देश्यों के लिए बंद कर दिया गया है या सफलतापूर्वक बायपास कर दिया गया है।

हमारे पास इन नए रिपोर्ट किए गए मुद्दों के सक्रिय ग्राहक शोषण या दुरुपयोग की कोई रिपोर्ट नहीं है। Android सुरक्षा प्लेटफ़ॉर्म सुरक्षा और Google Play प्रोटेक्ट पर विवरण के लिए Android और Google Play प्रोटेक्ट मिटिगेशन अनुभाग देखें, जो Android प्लेटफ़ॉर्म की सुरक्षा में सुधार करते हैं।

नोट: Google उपकरणों के लिए नवीनतम ओवर-द-एयर अपडेट (OTA) और फर्मवेयर छवियों की जानकारी मार्च 2019 पिक्सेल अपडेट बुलेटिन में उपलब्ध है।

Android और Google सेवा में कमी

यह Android सुरक्षा प्लेटफ़ॉर्म और Google Play Protect जैसी सेवा सुरक्षा द्वारा प्रदान किए गए शमन का सारांश है। ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा कमजोरियों का सफलतापूर्वक शोषण किया जा सकता है।

  • एंड्रॉइड प्लेटफॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा एंड्रॉइड पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
  • एंड्रॉइड सुरक्षा टीम सक्रिय रूप से Google Play Protect के माध्यम से दुरुपयोग की निगरानी करती है और उपयोगकर्ताओं को संभावित रूप से हानिकारक एप्लिकेशन के बारे में चेतावनी देती है। Google Play Protect Google मोबाइल सेवाओं वाले उपकरणों पर डिफ़ॉल्ट रूप से सक्षम होता है, और यह उन उपयोगकर्ताओं के लिए विशेष रूप से महत्वपूर्ण है जो Google Play के बाहर से ऐप्स इंस्टॉल करते हैं।

2019-03-01 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2019-03-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। समस्या का विवरण और सीवीई, संबंधित संदर्भ, भेद्यता के प्रकार , गंभीरता , और अद्यतन एओएसपी संस्करण (जहां लागू हो) के साथ एक तालिका है। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।

रूपरेखा

इस खंड में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने में सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2018-20346 ए-121156452 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-1985 ए-118694079* ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0
सीवीई-2019-2003 ए-116321860 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2004 ए-115739809 पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2005 ए-68777217 ईओपी संतुलित 8.0, 8.1, 9

मीडिया ढांचा

इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2019-1989 ए-118399205 आरसीई नाजुक 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-1990 ए-118453553 आरसीई नाजुक 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2006 ए-1166665972 ईओपी उच्च 9
सीवीई-2019-2007 ए-120789744 [ 2 ] ईओपी उच्च 8.1, 9
सीवीई-2019-2008 ए-122309228 ईओपी उच्च 8.0, 8.1, 9

व्यवस्था

इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार किए गए ट्रांसमिशन का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2019-2009 ए-120665616 आरसीई नाजुक 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2010 ए-118152591 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2011 ए-120084106 [ 2 ] ईओपी उच्च 8.0, 8.1, 9
सीवीई-2019-2012 ए-120497437 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2013 ए-120497583 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2014 ए-120499324 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2015 ए-120503926 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2016 ए-120664978 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2017 ए-121035711 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2018 ए-110172241 [ 2 ] ईओपी उच्च 8.1, 9
सीवीई-2018-9561 ए-111660010 [ 2 ] पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2018-9563 ए-114237888 [ 2 ] पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2018-9564 ए-114238578 [ 2 ] पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2019 ए-115635871 पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2020 ए-116788646 पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2021 ए-120428041 पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2019-2022 ए-120506143 पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

2019-03-05 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2019-03-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उस घटक के तहत वर्गीकृत किया जाता है जो वे प्रभावित करते हैं और इसमें सीवीई, संबद्ध संदर्भ, भेद्यता के प्रकार , गंभीरता , घटक (जहां लागू हो), और अद्यतन एओएसपी संस्करण (जहां लागू हो) जैसे विवरण शामिल होते हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।

व्यवस्था

इस खंड में भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2019-2023 ए-121035042 [ 2 ] [ 3 ] [ 4 ] [ 5 ] [ 6 ] [ 7 ] ईओपी उच्च 8.0, 8.1, 9

कर्नेल घटक

इस खंड में सबसे गंभीर भेद्यता एक स्थानीय हमलावर को विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2018-10883 ए-117311198
अपस्ट्रीम कर्नेल [ 2 ]
ईओपी उच्च ext4 फाइल सिस्टम
सीवीई-2019-2024 ए-111761954
अपस्ट्रीम कर्नेल
ईओपी उच्च em28xx ड्राइवर
सीवीई-2019-2025 ए-116855682
अपस्ट्रीम कर्नेल
ईओपी उच्च बाइंडर ड्राइवर

क्वालकॉम घटक

ये भेद्यताएं क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में और अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2017-8252 ए-112277630
क्यूसी-सीआर#2106159
एन/ए नाजुक पारिस्थितिकी तंत्र
सीवीई-2017-8252 ए-114041175
क्यूसी-सीआर#2128529
एन/ए नाजुक पारिस्थितिकी तंत्र
सीवीई-2018-11817 ए-114041192
क्यूसी-सीआर#2241830
एन/ए नाजुक डीएसपी_सेवाएं
सीवीई-2018-11817 ए-114041747
क्यूसी-सीआर#2166542
एन/ए नाजुक डीएसपी_सेवाएं
सीवीई-2018-13899 ए-119053086
क्यूसी-सीआर#2295915 [ 2 ]
एन/ए उच्च वीडियो
सीवीई-2018-13917 ए-120487091
क्यूसी-सीआर#2251019
एन/ए उच्च एनएसएस होस्ट जीतें

क्वालकॉम बंद-स्रोत घटक

ये भेद्यताएं क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में और अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2017-8252 ए-79419898 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2017-8252 ए-79420414 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2017-8252 ए-112279542 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2018-11958 ए-114042786 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2018-11966 ए-114042484 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-11970 ए-114042111 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-11971 ए-114042829 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-13918 ए-120486115 * एन/ए उच्च बंद स्रोत घटक

सामान्य प्रश्न और उत्तर

यह खंड उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि इन समस्याओं को दूर करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?

किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपना Android संस्करण जांचें और अपडेट करें देखें.

  • 2019-03-01 या बाद के सुरक्षा पैच स्तर 2019-03-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों को संबोधित करते हैं।
  • 2019-03-05 या बाद के सुरक्षा पैच स्तर 2019-03-05 सुरक्षा पैच स्तर और पिछले सभी पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।

इन अद्यतनों को शामिल करने वाले डिवाइस निर्माताओं को पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[2019-03-01]
  • [ro.build.version.security_patch]:[2019-03-05]

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि Android भागीदारों के पास कमजोरियों के एक सबसेट को ठीक करने की सुविधा हो जो सभी Android उपकरणों में अधिक तेज़ी से समान हो। Android भागीदारों को इस बुलेटिन में सभी समस्याओं को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

  • 2019-03-01 सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में उस सुरक्षा पैच स्तर से जुड़े सभी मुद्दों के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट की गई सभी समस्याओं के समाधान शामिल होने चाहिए।
  • 2019-03-05 या नए के सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल होने चाहिए।

भागीदारों को उन सभी समस्याओं के समाधान को बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे एक ही अद्यतन में संबोधित कर रहे हैं।

3. टाइप कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के प्रकार कॉलम में प्रविष्टियां सुरक्षा भेद्यता के वर्गीकरण का संदर्भ देती हैं।

संक्षेपाक्षर परिभाषा
आरसीई रिमोट कोड निष्पादन
ईओपी विशेषाधिकार का उन्नयन
पहचान जानकारी प्रकटीकरण
करने योग्य सेवा की मनाई
एन/ए वर्गीकरण उपलब्ध नहीं है

4. सन्दर्भ कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के संदर्भ कॉलम के अंतर्गत प्रविष्टियों में उस संगठन की पहचान करने वाला एक उपसर्ग हो सकता है जिससे संदर्भ मान संबंधित है।

उपसर्ग संदर्भ
ए- एंड्रॉइड बग आईडी
क्यूसी- क्वालकॉम संदर्भ संख्या
एम- मीडियाटेक संदर्भ संख्या
एन- NVIDIA संदर्भ संख्या
बी- ब्रॉडकॉम संदर्भ संख्या

5. संदर्भ कॉलम में Android बग आईडी के आगे * का क्या अर्थ है?

जो समस्याएं सार्वजनिक रूप से उपलब्ध नहीं हैं उनमें संदर्भ कॉलम में Android बग आईडी के आगे एक * होता है। उस समस्या के लिए अद्यतन आम तौर पर Google डेवलपर साइट से उपलब्ध पिक्सेल उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में निहित है।

6. सुरक्षा कमजोरियों को इस बुलेटिन और डिवाइस/पार्टनर सुरक्षा बुलेटिन, जैसे कि Pixel बुलेटिन के बीच क्यों विभाजित किया गया है?

इस सुरक्षा बुलेटिन में प्रलेखित सुरक्षा भेद्यताएं Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। सुरक्षा पैच स्तर घोषित करने के लिए डिवाइस/पार्टनर सुरक्षा बुलेटिन में प्रलेखित अतिरिक्त सुरक्षा भेद्यताएं आवश्यक नहीं हैं। एंड्रॉइड डिवाइस और चिपसेट निर्माताओं को सैमसंग , एलजीई , या पिक्सेल अपडेट बुलेटिन जैसी अपनी सुरक्षा वेबसाइटों के माध्यम से अपने उपकरणों पर अन्य सुधारों की उपस्थिति का दस्तावेजीकरण करने के लिए प्रोत्साहित किया जाता है।

संस्करणों

संस्करण दिनांक टिप्पणियाँ
1.0 मार्च 4, 2019 बुलेटिन प्रकाशित
1.1 मार्च 5, 2019 AOSP लिंक्स को शामिल करने के लिए बुलेटिन में संशोधन किया गया।