Android सुरक्षा बुलेटिन—मार्च 2021

पब्लिश करने की तारीख: 1 मार्च, 2021 | अपडेट करने की तारीख: 3 मार्च, 2021

Android सुरक्षा बुलेटिन में, Android डिवाइसों पर असर डालने वाली सुरक्षा से जुड़ी जोखिम की जानकारी होती है. सुरक्षा पैच के लेवल के तौर पर, 05-03-2021 या उसके बाद के लेवल से, इन सभी समस्याओं को हल किया जा सकता है. किसी डिवाइस के सुरक्षा पैच लेवल को देखने का तरीका जानने के लिए, अपना Android वर्शन देखना और उसे अपडेट करना लेख पढ़ें.

पब्लिकेशन से कम से कम एक महीने पहले, Android पार्टनर को सभी समस्याओं की सूचना दी जाती है. इन समस्याओं के लिए सोर्स कोड पैच, Android Open Source Project (AOSP) के डेटा स्टोर में रिलीज़ कर दिए गए हैं. साथ ही, इन्हें इस सूचना से लिंक किया गया है. इस बुलेटिन में, AOSP के बाहर के पैच के लिंक भी शामिल हैं.

इनमें से सबसे गंभीर समस्या, सिस्टम कॉम्पोनेंट में मौजूद सुरक्षा से जुड़ी एक गंभीर समस्या है. इसकी वजह से, रिमोट से हमला करने वाला व्यक्ति, खास तौर पर तैयार किए गए ट्रांसमिशन का इस्तेमाल करके, किसी खास प्रोसेस के संदर्भ में मनमुताबिक कोड चला सकता है. गंभीरता का आकलन इस बात पर आधारित होता है कि इससे, जिस डिवाइस पर असर पड़ा है उस पर इस कमज़ोरी का इस्तेमाल करने से क्या असर पड़ सकता है. यह आकलन इस आधार पर किया जाता है कि डेवलपमेंट के मकसद से, प्लैटफ़ॉर्म और सेवा को कमज़ोरी से बचाने वाली सुविधाएं बंद हैं या नहीं या इन्हें बाईपास कर दिया गया है.

Android सुरक्षा प्लैटफ़ॉर्म की सुरक्षा से जुड़ी सुविधाओं और Google Play Protect के बारे में ज़्यादा जानने के लिए, Android और Google Play Protect से जुड़ी समस्याओं को हल करने के तरीके सेक्शन देखें. इन सुविधाओं से Android प्लैटफ़ॉर्म की सुरक्षा को बेहतर बनाया जाता है.

Android और Google की सेवाओं से जुड़ी समस्याओं को कम करना

इस लेख में, Android सुरक्षा प्लैटफ़ॉर्म और सेवा की सुरक्षा से जुड़ी सुविधाओं, जैसे कि Google Play Protect से मिलने वाले सुरक्षा उपायों के बारे में खास जानकारी दी गई है. इन सुविधाओं की मदद से, Android पर सुरक्षा से जुड़ी कमजोरियों का इस्तेमाल करने की संभावना कम हो जाती है.

  • Android प्लैटफ़ॉर्म के नए वर्शन में किए गए सुधारों की वजह से, Android पर कई समस्याओं का गलत इस्तेमाल करना मुश्किल हो गया है. हमारा सुझाव है कि सभी उपयोगकर्ता, जहां भी हो सके वहां Android के नए वर्शन पर अपडेट करें.
  • Android की सुरक्षा टीम, Google Play Protect की मदद से, ऐप्लिकेशन के गलत इस्तेमाल पर नज़र रखती है. साथ ही, नुकसान पहुंचाने वाले ऐप्लिकेशन के बारे में उपयोगकर्ताओं को चेतावनी देती है. Google Mobile Services वाले डिवाइसों पर, Google Play Protect डिफ़ॉल्ट रूप से चालू रहता है. यह सुविधा, खास तौर पर उन उपयोगकर्ताओं के लिए ज़रूरी है जो Google Play के अलावा किसी और सोर्स से ऐप्लिकेशन इंस्टॉल करते हैं.

01-03-2021 के सुरक्षा पैच लेवल की समस्या की जानकारी

यहां दिए गए सेक्शन में, हम सुरक्षा से जुड़ी हर उस कमजोरी के बारे में जानकारी देते हैं जो 01-03-2021 के पैच लेवल पर लागू होती है. जोखिम, उस कॉम्पोनेंट के हिसाब से ग्रुप में बांट दिए जाते हैं जिस पर उनका असर पड़ता है. समस्याओं के बारे में यहां दी गई टेबल में बताया गया है. इनमें सीवीई आईडी, इससे जुड़े रेफ़रंस, जोखिम की संभावना का टाइप, गंभीरता, और अपडेट किए गए AOSP वर्शन (जहां लागू हो) शामिल हैं. अगर उपलब्ध हो, तो हम समस्या को ठीक करने वाले सार्वजनिक बदलाव को बग आईडी से लिंक करते हैं. जैसे, AOSP में किए गए बदलावों की सूची. जब एक ही गड़बड़ी से जुड़े कई बदलाव होते हैं, तो गड़बड़ी के आईडी के बाद दिए गए नंबरों से अतिरिक्त रेफ़रंस लिंक किए जाते हैं. Android 10 और उसके बाद के वर्शन वाले डिवाइसों को सुरक्षा अपडेट के साथ-साथ, Google Play के सिस्टम अपडेट भी मिल सकते हैं.

Android रनटाइम

इस सेक्शन में मौजूद जोखिम की वजह से, कोई स्थानीय हमलावर किसी खास प्रोसेस के संदर्भ में, मनमुताबिक कोड चला सकता है.

CVE रेफ़रंस टाइप गंभीरता AOSP के अपडेट किए गए वर्शन
CVE-2021-0395 A-170315126 EoP ज़्यादा 11

फ़्रेमवर्क

इस सेक्शन में मौजूद सबसे गंभीर जोखिम की वजह से, किसी स्थानीय हमलावर को संवेदनशील डेटा का ऐक्सेस मिल सकता है.

CVE रेफ़रंस टाइप गंभीरता AOSP के अपडेट किए गए वर्शन
CVE-2021-0391 A-172841550 EoP ज़्यादा 8.1, 9, 10, 11
CVE-2021-0398 A-173516292 EoP ज़्यादा 11

सिस्टम

इस सेक्शन में मौजूद सबसे गंभीर जोखिम की वजह से, रिमोट से हमला करने वाला व्यक्ति, खास तौर पर तैयार किए गए ट्रांसमिशन का इस्तेमाल करके, किसी खास प्रोसेस के संदर्भ में मनमुताबिक कोड चला सकता है.

CVE रेफ़रंस टाइप गंभीरता AOSP के अपडेट किए गए वर्शन
CVE-2021-0397 A-174052148 आरसीई सबसे अहम 8.1, 9, 10, 11
CVE-2017-14491 A-158221622 आरसीई ज़्यादा 8.1, 9, 10, 11
CVE-2021-0393 A-168041375 आरसीई ज़्यादा 8.1, 9, 10, 11
CVE-2021-0396 A-160610106 आरसीई ज़्यादा 8.1, 9, 10, 11
CVE-2021-0390 A-174749461 EoP ज़्यादा 8.1, 9, 10, 11
CVE-2021-0392 A-175124730 EoP ज़्यादा 9, 10, 11
CVE-2021-0394 A-172655291 [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] आईडी ज़्यादा 8.1, 9, 10, 11

Google Play के सिस्टम अपडेट

Project Mainline के कॉम्पोनेंट में ये समस्याएं शामिल हैं.

कॉम्पोनेंट CVE
वाई-फ़ाई CVE-2021-0390

05-03-2021 को जारी किए गए सुरक्षा पैच के लेवल में मौजूद जोखिम की जानकारी

यहां दिए गए सेक्शन में, हम सुरक्षा से जुड़ी हर उस कमजोरी के बारे में जानकारी देते हैं जो 05-03-2021 के पैच लेवल पर लागू होती है. जोखिम, उस कॉम्पोनेंट के हिसाब से ग्रुप में बांट दिए जाते हैं जिस पर उनका असर पड़ता है. समस्याओं के बारे में यहां दी गई टेबल में बताया गया है. इनमें सीवीई आईडी, इससे जुड़े रेफ़रंस, जोखिम की संभावना का टाइप, गंभीरता, और अपडेट किए गए AOSP वर्शन (जहां लागू हो) शामिल हैं. अगर उपलब्ध हो, तो हम समस्या को ठीक करने वाले सार्वजनिक बदलाव को बग आईडी से लिंक करते हैं. जैसे, AOSP में किए गए बदलावों की सूची. जब एक ही गड़बड़ी से जुड़े कई बदलाव होते हैं, तो गड़बड़ी के आईडी के बाद दिए गए नंबरों से अतिरिक्त रेफ़रंस लिंक किए जाते हैं.

Kernel कॉम्पोनेंट

इस सेक्शन में मौजूद जोखिम की वजह से, कोई स्थानीय हमलावर खास तौर पर बनाई गई फ़ाइल का इस्तेमाल करके, ऐक्सेस की अनुमति वाली प्रोसेस के संदर्भ में, मनमुताबिक कोड चला सकता है.

CVE रेफ़रंस टाइप गंभीरता कॉम्पोनेंट
CVE-2021-0399 A-176919394
अपस्ट्रीम कर्नेल [2] [3] [4] [5] [6] [7] [8]		 EoP ज़्यादा xt_qtaguid

Qualcomm के कॉम्पोनेंट

इन समस्याओं का असर Qualcomm के कॉम्पोनेंट पर पड़ता है. इनके बारे में ज़्यादा जानकारी, Qualcomm के सुरक्षा बुलेटिन या सुरक्षा चेतावनी में दी गई है. इन समस्याओं की गंभीरता का आकलन, सीधे तौर पर Qualcomm करता है.

CVE रेफ़रंस गंभीरता कॉम्पोनेंट
CVE-2020-11223
 A-172349026
QC-CR#2721399*		 ज़्यादा कैमरा
CVE-2020-11290 A-168917883
QC-CR#2761634		 ज़्यादा डिसप्ले
CVE-2020-11308 A-175038288
QC-CR#2783331		 ज़्यादा बूटलोडर
CVE-2020-11309 A-175038160
QC-CR#2783659		 ज़्यादा डिसप्ले

Qualcomm के क्लोज़्ड-सोर्स कॉम्पोनेंट

इन कमजोरियों का असर, Qualcomm के क्लोज़्ड-सोर्स कॉम्पोनेंट पर पड़ता है. इनके बारे में ज़्यादा जानकारी, Qualcomm के सुरक्षा बुलेटिन या सुरक्षा चेतावनी में दी गई है. इन समस्याओं की गंभीरता का आकलन, सीधे तौर पर Qualcomm करता है.

CVE रेफ़रंस गंभीरता कॉम्पोनेंट
CVE-2020-11192
 A-168050025* सबसे अहम क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11204 A-162750025* सबसे अहम क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11218 A-168049956* सबसे अहम क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11227 A-168050276* सबसे अहम क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11228 A-168050345* सबसे अहम क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11165 A-160605782* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11166 A-168051733* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11171 A-168050346* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11178 A-160605529* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11186 A-168049957* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11188 A-168050859* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11189 A-168051051* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11190 A-168051033* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11194 A-162756908* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11195 A-162756604* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11198 A-162756735* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11199 A-168050860* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11220 A-168050239* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11221 A-168051035* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11222 A-168050578* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11226 A-168050240* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11299 A-175038625* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट

आम तौर पर पूछे जाने वाले सवाल और उनके जवाब

इस सेक्शन में, इस सूचना को पढ़ने के बाद पूछे जाने वाले आम सवालों के जवाब दिए गए हैं.

1. मुझे कैसे पता चलेगा कि मेरे डिवाइस को इन समस्याओं को ठीक करने के लिए अपडेट किया गया है या नहीं?

किसी डिवाइस के सुरक्षा पैच लेवल को देखने का तरीका जानने के लिए, अपना Android वर्शन देखना और उसे अपडेट करना लेख पढ़ें.

  • 01-03-2021 या उसके बाद के सिक्योरिटी पैच लेवल, 01-03-2021 के सिक्योरिटी पैच लेवल से जुड़ी सभी समस्याओं को ठीक करते हैं.
  • 05-03-2021 या उसके बाद के सिक्योरिटी पैच लेवल, 05-03-2021 के सिक्योरिटी पैच लेवल और सभी पिछले पैच लेवल से जुड़ी सभी समस्याओं को ठीक करते हैं.

जिन डिवाइस मैन्युफ़ैक्चरर ने ये अपडेट शामिल किए हैं उन्हें पैच स्ट्रिंग के लेवल को इन पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[2021-03-01]
  • [ro.build.version.security_patch]:[2021-03-05]

Android 10 या उसके बाद के वर्शन वाले कुछ डिवाइसों के लिए, Google Play के सिस्टम अपडेट में, तारीख की एक स्ट्रिंग होगी. यह स्ट्रिंग, 01-03-2021 के सुरक्षा पैच लेवल से मेल खाएगी. सुरक्षा से जुड़े अपडेट इंस्टॉल करने के तरीके के बारे में ज़्यादा जानकारी के लिए, कृपया यह लेख पढ़ें.

2. इस सूचना में, सुरक्षा पैच के दो लेवल क्यों हैं?

इस बुलेटिन में दो सिक्योरिटी पैच लेवल हैं, ताकि Android पार्टनर, सभी Android डिवाइसों पर मौजूद कमज़ोरियों के सबसेट को तेज़ी से ठीक कर सकें. Android पार्टनर को इस सूचना में बताई गई सभी समस्याओं को ठीक करने और सुरक्षा पैच के नए लेवल का इस्तेमाल करने का सुझाव दिया जाता है.

  • जिन डिवाइसों में 01-03-2021 के सिक्योरिटी पैच लेवल का इस्तेमाल किया जाता है उनमें उस सिक्योरिटी पैच लेवल से जुड़ी सभी समस्याएं शामिल होनी चाहिए. साथ ही, उनमें उन सभी समस्याओं के लिए ठीक किए गए वर्शन भी शामिल होने चाहिए जिनकी शिकायत, पिछले सिक्योरिटी बुलेटिन में की गई थी.
  • जिन डिवाइसों में 05-03-2021 या उसके बाद के सिक्योरिटी पैच लेवल का इस्तेमाल किया जाता है उनमें इस और पिछले सिक्योरिटी बुलेटिन में बताए गए सभी लागू पैच शामिल होने चाहिए.

हमारा सुझाव है कि पार्टनर, एक ही अपडेट में उन सभी समस्याओं को ठीक करने के लिए, सुधारों को बंडल करें जिन पर वे काम कर रहे हैं.

3. टाइप कॉलम में मौजूद एंट्री का क्या मतलब है?

जोखिम की जानकारी वाली टेबल के टाइप कॉलम में मौजूद एंट्री, सुरक्षा से जुड़े जोखिम की कैटगरी के बारे में बताती हैं.

संक्षेपण परिभाषा
आरसीई रिमोट कोड को चलाना
EoP प्रिविलेज एस्कलेशन
आईडी जानकारी ज़ाहिर करना
डीओएस सेवा में रुकावट
लागू नहीं क्लासिफ़िकेशन उपलब्ध नहीं है

4. रेफ़रंस कॉलम में मौजूद एंट्री का क्या मतलब है?

जोखिम की जानकारी वाली टेबल के रेफ़रंस कॉलम में मौजूद एंट्री में, उस संगठन की पहचान करने वाला प्रीफ़िक्स हो सकता है जिससे रेफ़रंस वैल्यू जुड़ी है.

प्रीफ़िक्स रेफ़रंस
A- Android गड़बड़ी का आईडी
QC- Qualcomm का रेफ़रंस नंबर
M- MediaTek का रेफ़रंस नंबर
N- NVIDIA का रेफ़रंस नंबर
B- Broadcom का रेफ़रंस नंबर

5. रेफ़रंस कॉलम में, Android बग आईडी के बगल में मौजूद * का क्या मतलब है?

सार्वजनिक तौर पर उपलब्ध नहीं होने वाली समस्याओं के रेफ़रंस आईडी के बगल में * का निशान होता है. आम तौर पर, उस समस्या का अपडेट, Pixel डिवाइसों के लिए उपलब्ध सबसे नए बिटरी ड्राइवर में होता है. ये ड्राइवर, Google Developer साइट से डाउनलोड किए जा सकते हैं.

6. सुरक्षा से जुड़ी जोखिम की आशंकाओं को, इस बुलेटिन और डिवाइस / पार्टनर के सुरक्षा बुलेटिन, जैसे कि Pixel के बुलेटिन के बीच क्यों बांटा जाता है?

इस सुरक्षा बुलेटिन में दी गई सुरक्षा से जुड़ी जोखिमियों के आधार पर, Android डिवाइसों पर सबसे नए सिक्योरिटी पैच लेवल का एलान किया जाता है. सुरक्षा से जुड़ी जोखिमों की जानकारी, डिवाइस या पार्टनर के सुरक्षा बुलेटिन में दी जाती है. हालांकि, सुरक्षा पैच लेवल का एलान करने के लिए, इन जोखिमों की जानकारी देना ज़रूरी नहीं है. Android डिवाइस और चिपसेट बनाने वाली कंपनियां, अपने प्रॉडक्ट से जुड़ी सुरक्षा से जुड़ी कमजोरियों की जानकारी भी पब्लिश कर सकती हैं. जैसे, Google, Huawei, LGE, Motorola, Nokia या Samsung.

वर्शन

वर्शन तारीख अहम जानकारी
1.0 1 मार्च, 2021 बुलेटिन रिलीज़ किया गया
1.1 3 मार्च, 2021 AOSP लिंक शामिल करने के लिए, बुलेटिन में बदलाव किया गया