Android सुरक्षा बुलेटिन—नवंबर 2019

प्रकाशित नवंबर 4, 2019 | 16 दिसंबर 2019 को अपडेट किया गया

Android सुरक्षा बुलेटिन में Android उपकरणों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण होता है। 2019-11-05 या बाद के सुरक्षा पैच स्तर इन सभी मुद्दों को संबोधित करते हैं। किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपना Android संस्करण जांचें और अपडेट करें देखें.

प्रकाशन से कम से कम एक महीने पहले Android भागीदारों को सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए स्रोत कोड पैच एंड्रॉइड ओपन सोर्स प्रोजेक्ट (एओएसपी) रिपोजिटरी में जारी किए गए हैं और इस बुलेटिन से जुड़े हुए हैं। इस बुलेटिन में एओएसपी के बाहर पैच के लिंक भी शामिल हैं।

इन मुद्दों में सबसे गंभीर सिस्टम घटक में एक महत्वपूर्ण सुरक्षा भेद्यता है जो एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकता है। गंभीरता का आकलन इस प्रभाव पर आधारित है कि भेद्यता का शोषण संभवतः एक प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफॉर्म और सेवा शमन को विकास उद्देश्यों के लिए बंद कर दिया गया है या सफलतापूर्वक बायपास कर दिया गया है।

Android सुरक्षा प्लेटफ़ॉर्म सुरक्षा और Google Play प्रोटेक्ट पर विवरण के लिए Android और Google Play प्रोटेक्ट मिटिगेशन अनुभाग देखें, जो Android प्लेटफ़ॉर्म की सुरक्षा में सुधार करते हैं।

Android और Google सेवा में कमी

यह Android सुरक्षा प्लेटफ़ॉर्म और Google Play Protect जैसी सेवा सुरक्षा द्वारा प्रदान किए गए शमन का सारांश है। ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा कमजोरियों का सफलतापूर्वक शोषण किया जा सकता है।

  • एंड्रॉइड प्लेटफॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा एंड्रॉइड पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
  • एंड्रॉइड सुरक्षा टीम सक्रिय रूप से Google Play Protect के माध्यम से दुरुपयोग की निगरानी करती है और उपयोगकर्ताओं को संभावित रूप से हानिकारक एप्लिकेशन के बारे में चेतावनी देती है। Google Play Protect Google मोबाइल सेवाओं वाले उपकरणों पर डिफ़ॉल्ट रूप से सक्षम होता है, और यह उन उपयोगकर्ताओं के लिए विशेष रूप से महत्वपूर्ण है जो Google Play के बाहर से ऐप्स इंस्टॉल करते हैं।

2019-11-01 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2019-11-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उस घटक के तहत वर्गीकृत किया जाता है जो वे प्रभावित करते हैं। समस्याओं को नीचे दी गई तालिका में वर्णित किया गया है और इसमें सीवीई आईडी, संबद्ध संदर्भ, भेद्यता का प्रकार , गंभीरता और अद्यतन एओएसपी संस्करण (जहां लागू हो) शामिल हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं। Android 10 और बाद के संस्करण वाले डिवाइस सुरक्षा अपडेट के साथ-साथ Google Play सिस्टम अपडेट प्राप्त कर सकते हैं।

रूपरेखा

इस खंड में सबसे गंभीर भेद्यता स्थानीय दुर्भावनापूर्ण एप्लिकेशन को अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए उपयोगकर्ता इंटरैक्शन आवश्यकताओं को बायपास करने में सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2019-2192 ए-138441555 ईओपी उच्च 9, 10
सीवीई-2019-2193 ए-132261064 [ 2 ] ईओपी उच्च 8.0, 8.1, 9, 10
सीवीई-2019-2195 ए-139186193 ईओपी उच्च 8.0, 8.1, 9, 10
सीवीई-2019-2199 ए-138650665 ईओपी उच्च 10
सीवीई-2019-2211 ए-135269669 [ 2 ] पहचान उच्च 8.0, 8.1, 9, 10
सीवीई-2019-2197 ए-138529441 पहचान उच्च 8.0, 8.1, 9, 10

पुस्तकालय

इस खंड में भेद्यता एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक दूरस्थ हमलावर को एक अप्रतिबंधित प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2019-2201 ए-120551338 आरसीई उच्च 8.0, 8.1, 9, 10

मीडिया ढांचा

इस खंड में सबसे गंभीर भेद्यता स्थानीय दुर्भावनापूर्ण एप्लिकेशन को अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए उपयोगकर्ता इंटरैक्शन आवश्यकताओं को बायपास करने में सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2019-2202 ए-137283376 ईओपी उच्च 9, 10
सीवीई-2019-2203 ए-137370777 ईओपी उच्च 8.0, 8.1, 9, 10

व्यवस्था

इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2019-2204 ए-138442295 आरसीई नाजुक 9
सीवीई-2019-2205 ए-139806216 आरसीई नाजुक 8.0, 8.1, 9, 10
सीवीई-2019-2206 ए-139188579 आरसीई नाजुक 8.0, 8.1, 9, 10
सीवीई-2019-2233 ए-140486529 ईओपी उच्च 10
सीवीई-2019-2207 ए-124524315 ईओपी उच्च 8.0, 8.1, 9, 10
सीवीई-2019-2212 ए-139690488 [ 2 ] [ 3 ] पहचान उच्च 8.0, 8.1, 9, 10
सीवीई-2019-2208 ए-138441919 पहचान उच्च 9
सीवीई-2019-2209 ए-139287605 पहचान उच्च 8.0, 8.1, 9, 10

Google Play सिस्टम अपडेट

इस महीने Google Play सिस्टम अपडेट में कोई सुरक्षा समस्या नहीं है।

2019-11-05 सुरक्षा पैच स्तर भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2019-11-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उस घटक के तहत वर्गीकृत किया जाता है जो वे प्रभावित करते हैं और इसमें सीवीई, संबद्ध संदर्भ, भेद्यता के प्रकार , गंभीरता , घटक (जहां लागू हो), और अद्यतन एओएसपी संस्करण (जहां लागू हो) जैसे विवरण शामिल होते हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।

रूपरेखा

इस खंड में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को ऑपरेटिंग सिस्टम सुरक्षा को बायपास करने में सक्षम कर सकती है जो अन्य एप्लिकेशन से एप्लिकेशन डेटा को अलग करती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2019-2196 ए-135269143 [ 2 ] [ 3 ] [ 4 ] पहचान उच्च 8.0, 8.1, 9, 10
सीवीई-2019-2198 ए-135270103 [ 2 ] [ 3 ] [ 4 ] पहचान उच्च 8.0, 8.1, 9, 10

व्यवस्था

इस खंड में भेद्यता अतिरिक्त अनुमतियों तक पहुँच प्राप्त करने के लिए विशेष रूप से तैयार किए गए ट्रांसमिशन का उपयोग करके एक दूरस्थ हमलावर को सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2019-2036 ए-79703832 ईओपी उच्च 8.0, 8.1, 9, 10

कर्नेल घटक

इस खंड में सबसे गंभीर भेद्यता एक स्थानीय हमलावर को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2019-2213 ए-133758011
अपस्ट्रीम कर्नेल
ईओपी उच्च बाइंडर ड्राइवर
सीवीई-2019-2214 ए-136210786
अपस्ट्रीम कर्नेल
ईओपी उच्च बाइंडर ड्राइवर
सीवीई-2019-11833 ए-133041647
अपस्ट्रीम कर्नेल
पहचान संतुलित ext4 फाइल सिस्टम

क्वालकॉम घटक

ये भेद्यताएं क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में और अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2019-2310 ए-78906648
क्यूसी-सीआर#2253243
एन/ए उच्च वाई - फाई
सीवीई-2019-10545 ए-138940225
क्यूसी-सीआर#2353418
एन/ए उच्च रेखाचित्र बनाने वाला
सीवीई-2019-10571 ए-138940226
क्यूसी-सीआर#2363085
एन/ए उच्च रेखाचित्र बनाने वाला

क्वालकॉम बंद-स्रोत घटक

ये कमजोरियां क्वालकॉम के क्लोज्ड-सोर्स घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा अलर्ट में अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2019-10493 ए-132108736 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2019-10511 ए-132097484 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2019-2288 ए-132108853 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2019-2320 ए-132108539 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2019-2321 ए-132108927 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2019-10484 ए-132108752 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2019-10485 ए-132108463 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2019-2319 ए-132107963 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2019-2337 ए-132108895 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2019-2338 ए-132108464 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2019-10559 ए-137030660 * एन/ए उच्च बंद स्रोत घटक

सामान्य प्रश्न और उत्तर

यह खंड उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि इन समस्याओं को दूर करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?

किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपना Android संस्करण जांचें और अपडेट करें देखें.

  • 2019-11-01 या बाद के सुरक्षा पैच स्तर 2019-11-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों को संबोधित करते हैं।
  • 2019-11-05 या बाद के सुरक्षा पैच स्तर 2019-11-05 सुरक्षा पैच स्तर और पिछले सभी पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।

इन अद्यतनों को शामिल करने वाले डिवाइस निर्माताओं को पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[2019-11-01]
  • [ro.build.version.security_patch]:[2019-11-05]

Android 10 या उसके बाद के कुछ उपकरणों के लिए, Google Play सिस्टम अपडेट में दिनांक स्ट्रिंग होगी जो 2019-11-01 सुरक्षा पैच स्तर से मेल खाती है। सुरक्षा अद्यतन स्थापित करने के तरीके के बारे में अधिक विवरण के लिए कृपया यह आलेख देखें।

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि Android भागीदारों के पास कमजोरियों के एक सबसेट को ठीक करने की सुविधा हो जो सभी Android उपकरणों में अधिक तेज़ी से समान हो। Android भागीदारों को इस बुलेटिन में सभी समस्याओं को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

  • 2019-11-01 सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में उस सुरक्षा पैच स्तर से जुड़े सभी मुद्दों के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट की गई सभी समस्याओं के समाधान शामिल होने चाहिए।
  • 2019-11-05 या नए के सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल होने चाहिए।

भागीदारों को उन सभी समस्याओं के समाधान को बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे एक ही अद्यतन में संबोधित कर रहे हैं।

3. टाइप कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के प्रकार कॉलम में प्रविष्टियां सुरक्षा भेद्यता के वर्गीकरण का संदर्भ देती हैं।

संक्षेपाक्षर परिभाषा
आरसीई रिमोट कोड निष्पादन
ईओपी विशेषाधिकार का उन्नयन
पहचान जानकारी प्रकटीकरण
करने योग्य सेवा की मनाई
एन/ए वर्गीकरण उपलब्ध नहीं है

4. सन्दर्भ कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के संदर्भ कॉलम के अंतर्गत प्रविष्टियों में उस संगठन की पहचान करने वाला एक उपसर्ग हो सकता है जिससे संदर्भ मान संबंधित है।

उपसर्ग संदर्भ
ए- एंड्रॉइड बग आईडी
क्यूसी- क्वालकॉम संदर्भ संख्या
एम- मीडियाटेक संदर्भ संख्या
एन- NVIDIA संदर्भ संख्या
बी- ब्रॉडकॉम संदर्भ संख्या

5. संदर्भ कॉलम में Android बग आईडी के आगे * का क्या अर्थ है?

जो समस्याएं सार्वजनिक रूप से उपलब्ध नहीं हैं उनमें संदर्भ कॉलम में Android बग आईडी के आगे एक * होता है। उस समस्या के लिए अद्यतन आम तौर पर Google डेवलपर साइट से उपलब्ध पिक्सेल उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में निहित है।

6. सुरक्षा कमजोरियों को इस बुलेटिन और डिवाइस/पार्टनर सुरक्षा बुलेटिन, जैसे कि Pixel बुलेटिन के बीच क्यों विभाजित किया गया है?

इस सुरक्षा बुलेटिन में प्रलेखित सुरक्षा भेद्यताएं Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। सुरक्षा पैच स्तर घोषित करने के लिए डिवाइस/पार्टनर सुरक्षा बुलेटिन में प्रलेखित अतिरिक्त सुरक्षा भेद्यताएं आवश्यक नहीं हैं। Android डिवाइस और चिपसेट निर्माता अपने उत्पादों के लिए विशिष्ट सुरक्षा भेद्यता विवरण भी प्रकाशित कर सकते हैं, जैसे Google , Huawei , LGE , Motorola , Nokia , या Samsung

संस्करणों

संस्करण दिनांक टिप्पणियाँ
1.0 नवंबर 04, 2019 बुलेटिन प्रकाशित
1.1 नवंबर 5, 2019 AOSP लिंक्स को शामिल करने के लिए संशोधित बुलेटिन
1.2 दिसंबर 16, 2019 संशोधित सीवीई तालिका