7 जून, 2021 को पब्लिश किया गया | 8 जून, 2021 को अपडेट किया गया
Android सुरक्षा बुलेटिन में, Android डिवाइसों पर असर डालने वाली सुरक्षा से जुड़े जोखिम की आशंकाओं के बारे में जानकारी होती है. 5 जून, 2021 या इसके बाद के सुरक्षा पैच लेवल में, इन सभी समस्याओं को ठीक किया गया है. किसी डिवाइस के सुरक्षा पैच का लेवल जांचने का तरीका जानने के लिए, अपने डिवाइस का Android वर्शन देखना और उसे अपडेट करना लेख पढ़ें.
Android पार्टनर को सभी समस्याओं के बारे में, पब्लिकेशन से कम से कम एक महीने पहले सूचना दी जाती है. इन समस्याओं को ठीक करने के लिए, सोर्स कोड पैच को Android Open Source Project (AOSP) रिपॉज़िटरी में रिलीज़ कर दिया गया है. साथ ही, इस बुलेटिन में लिंक कर दिया गया है. इस बुलेटिन में, AOSP के बाहर के पैच के लिंक भी शामिल हैं.
इन समस्याओं में सबसे गंभीर समस्या, सिस्टम कॉम्पोनेंट में मौजूद सुरक्षा से जुड़ी गंभीर जोखिम की आशंका है. इसकी वजह से, रिमोट हमलावर खास तौर पर तैयार किए गए ट्रांसमिशन का इस्तेमाल करके, विशेषाधिकार वाली प्रोसेस के कॉन्टेक्स्ट में कोई भी कोड एक्ज़ीक्यूट कर सकता है. गंभीरता का आकलन इस आधार पर किया जाता है कि सुरक्षा से जुड़ी कमज़ोरी का फ़ायदा उठाने से, प्रभावित डिवाइस पर क्या असर पड़ सकता है. यह मान लिया जाता है कि डेवलपमेंट के मकसद से, प्लैटफ़ॉर्म और सेवा से जुड़ी सुरक्षा कम करने वाली सुविधाओं को बंद कर दिया गया है या उन्हें बाईपास कर दिया गया है.
सूचनाएं
- जुलाई के लिए, Android का सार्वजनिक सुरक्षा बुलेटिन 7 जुलाई, 2021 को रिलीज़ किया जाएगा
Android और Google Play Protect से जुड़े सुरक्षा उपायों वाले सेक्शन में जाकर, Android के सुरक्षा प्लैटफ़ॉर्म से जुड़ी सुरक्षा सुविधाओं और Google Play Protect के बारे में ज़्यादा जानें. इनसे Android प्लैटफ़ॉर्म की सुरक्षा को बेहतर बनाया जा सकता है.
Android और Google की सेवा से जुड़ी समस्याएं कम करने के तरीके
यहां Google Play Protect जैसी सेवाओं और Android के सुरक्षा प्लैटफ़ॉर्म से मिलने वाली सुरक्षा सुविधाओं की खास जानकारी दी गई है. इन सुविधाओं की मदद से, Android पर सुरक्षा से जुड़ी कमज़ोरियों का फ़ायदा उठाए जाने की आशंका कम हो जाती है.
- Android प्लैटफ़ॉर्म के नए वर्शन में किए गए सुधारों की वजह से, Android पर कई समस्याओं का फ़ायदा उठाना मुश्किल हो गया है. हम सभी उपयोगकर्ताओं को सलाह देते हैं कि वे Android के नए वर्शन पर अपडेट करें.
- Android की सुरक्षा टीम, Google Play Protect की मदद से, ऐप्लिकेशन के गलत इस्तेमाल पर नज़र रखती है. साथ ही, उपयोगकर्ताओं को नुकसान पहुंचाने की संभावना वाले ऐप्लिकेशन के बारे में चेतावनी देती है. Google Play Protect, Google मोबाइल सेवाएं वाले डिवाइसों पर डिफ़ॉल्ट रूप से चालू होता है. यह उन लोगों के लिए खास तौर पर ज़रूरी है जो Google Play के अलावा किसी और प्लैटफ़ॉर्म से ऐप्लिकेशन इंस्टॉल करते हैं.
2021-06-01 के सुरक्षा पैच लेवल से जुड़ी जोखिम की आशंकाओं की जानकारी
यहां दिए गए सेक्शन में, सुरक्षा से जुड़ी उन सभी कमियों के बारे में जानकारी दी गई है जो 2021-06-01 के पैच लेवल पर लागू होती हैं. जोखिम की आशंकाओं को उस कॉम्पोनेंट के हिसाब से ग्रुप किया जाता है जिस पर उनका असर पड़ता है. नीचे दी गई टेबल में समस्याओं के बारे में बताया गया है. इनमें CVE आईडी, उससे जुड़े रेफ़रंस, जोखिम की आशंका का टाइप, गंभीरता, और अपडेट किए गए एओएसपी वर्शन (जहां लागू हो) शामिल हैं. उपलब्ध होने पर, हम उस सार्वजनिक बदलाव को बग आईडी से लिंक करते हैं जिससे समस्या हल हुई हो. जैसे, एओएसपी की बदलाव सूची. जब किसी एक गड़बड़ी से कई बदलाव जुड़े होते हैं, तो गड़बड़ी के आईडी के बाद दिए गए नंबरों से अतिरिक्त रेफ़रंस लिंक किए जाते हैं. Android 10 और इसके बाद के वर्शन वाले डिवाइसों को सुरक्षा से जुड़े अपडेट के साथ-साथ, Google Play के सिस्टम अपडेट भी मिल सकते हैं.
Android रनटाइम
इस सेक्शन में मौजूद कमज़ोरी की वजह से, स्थानीय हमलावर मनमाना कोड एक्ज़ीक्यूट कर सकता है. साथ ही, अतिरिक्त अनुमतियों का ऐक्सेस पाने के लिए, उपयोगकर्ता के इंटरैक्शन से जुड़ी ज़रूरी शर्तों को बायपास कर सकता है.
| CVE | संदर्भ | प्रकार | गंभीरता | AOSP के अपडेट किए गए वर्शन |
|---|---|---|---|---|
| CVE-2021-0511 | A-178055795 [2] [3] | ईओपी | ज़्यादा | 9, 10, 11 |
Framework
इस सेक्शन में मौजूद जोखिम की आशंका की वजह से, एक से ज़्यादा उपयोगकर्ताओं की अनुमतियों की स्थानीय जानकारी ज़ाहिर हो सकती है. इसके लिए, किसी अन्य प्रोग्राम चलाने के विशेषाधिकार की ज़रूरत नहीं होती.
| CVE | संदर्भ | प्रकार | गंभीरता | AOSP के अपडेट किए गए वर्शन |
|---|---|---|---|---|
| CVE-2021-0521 | A-174661955 | आईडी | ज़्यादा | 8.1, 9, 10, 11 |
मीडिया फ़्रेमवर्क
इस सेक्शन में मौजूद सबसे गंभीर जोखिम की आशंका की वजह से, स्थानीय तौर पर मौजूद कोई नुकसान पहुंचाने वाला ऐप्लिकेशन, उपयोगकर्ता के इंटरैक्शन से जुड़ी ज़रूरी शर्तों को बायपास कर सकता है. ऐसा करके, वह अतिरिक्त अनुमतियां पा सकता है.
| CVE | संदर्भ | प्रकार | गंभीरता | AOSP के अपडेट किए गए वर्शन |
|---|---|---|---|---|
| CVE-2021-0508 | A-176444154 | ईओपी | ज़्यादा | 8.1, 9, 10, 11 |
| CVE-2021-0509 | A-176444161 [2] | ईओपी | ज़्यादा | 8.1, 9, 10, 11 |
| CVE-2021-0510 | A-176444622 | ईओपी | ज़्यादा | 8.1, 9, 10, 11 |
| CVE-2021-0520 | A-176237595 | ईओपी | ज़्यादा | 10, 11 |
सिस्टम
इस सेक्शन में मौजूद सबसे गंभीर जोखिम की आशंका की वजह से, रिमोट हमलावर खास तौर पर तैयार किए गए ट्रांसमिशन का इस्तेमाल करके, किसी खास अधिकारों वाले प्रोसेस के कॉन्टेक्स्ट में आर्बिट्ररी कोड को एक्ज़ीक्यूट कर सकता है.
| CVE | संदर्भ | प्रकार | गंभीरता | AOSP के अपडेट किए गए वर्शन |
|---|---|---|---|---|
| CVE-2021-0507 | A-181860042 | आरसीई | गंभीर | 8.1, 9, 10, 11 |
| CVE-2021-0516 | A-181660448 | ईओपी | गंभीर | 8.1, 9, 10, 11 |
| CVE-2021-0505 | A-179975048 | ईओपी | ज़्यादा | 11 |
| CVE-2021-0506 | A-181962311 | ईओपी | ज़्यादा | 8.1, 9, 10, 11 |
| CVE-2021-0523 | A-174047492 | ईओपी | ज़्यादा | 10, 11 |
| CVE-2021-0504 | A-179162665 | आईडी | ज़्यादा | 11 |
| CVE-2021-0517 | A-179053823 | आईडी | ज़्यादा | 11 |
| CVE-2021-0522 | A-174182139 | आईडी | ज़्यादा | 9, 10, 11 |
Google Play के सिस्टम अपडेट
इस महीने, Google Play के सिस्टम अपडेट (Project Mainline) में सुरक्षा से जुड़ी कोई समस्या ठीक नहीं की गई है.
5 जून, 2021 के सुरक्षा पैच लेवल से जुड़ी जोखिम की आशंका की जानकारी
यहां दिए गए सेक्शन में, सुरक्षा से जुड़ी उन सभी कमियों के बारे में जानकारी दी गई है जो 5 जून, 2021 के पैच लेवल पर लागू होती हैं. जोखिम की आशंकाओं को उस कॉम्पोनेंट के हिसाब से ग्रुप किया जाता है जिस पर उनका असर पड़ता है. नीचे दी गई टेबल में समस्याओं के बारे में बताया गया है. इनमें CVE आईडी, उससे जुड़े रेफ़रंस, जोखिम की आशंका का टाइप, गंभीरता, और अपडेट किए गए एओएसपी वर्शन (जहां लागू हो) शामिल हैं. उपलब्ध होने पर, हम उस सार्वजनिक बदलाव को बग आईडी से लिंक करते हैं जिससे समस्या हल हुई हो. जैसे, एओएसपी की बदलाव सूची. जब किसी एक गड़बड़ी से कई बदलाव जुड़े होते हैं, तो गड़बड़ी के आईडी के बाद दिए गए नंबरों से अतिरिक्त रेफ़रंस लिंक किए जाते हैं.
Framework
इस सेक्शन में मौजूद जोखिम की आशंका की वजह से, स्थानीय तौर पर मौजूद कोई नुकसान पहुंचाने वाला ऐप्लिकेशन, उपयोगकर्ता के इंटरैक्शन से जुड़ी ज़रूरी शर्तों को बायपास कर सकता है. ऐसा करके, वह अतिरिक्त अनुमतियां पा सकता है.
| CVE | संदर्भ | प्रकार | गंभीरता | AOSP के अपडेट किए गए वर्शन |
|---|---|---|---|---|
| CVE-2021-0513 | A-156090809 | ईओपी | ज़्यादा | 8.1, 9, 10, 11 |
सिस्टम
इस सेक्शन में मौजूद सबसे गंभीर जोखिम की आशंका की वजह से, रिमोट हमलावर को खास तौर पर तैयार किए गए ट्रांसमिशन का इस्तेमाल करके, अतिरिक्त अनुमतियों का ऐक्सेस मिल सकता है.
| CVE | संदर्भ | प्रकार | गंभीरता | AOSP के अपडेट किए गए वर्शन |
|---|---|---|---|---|
| CVE-2020-26555 | A-174626251 | ईओपी | ज़्यादा | 8.1, 9, 10, 11 |
| CVE-2020-26558 | A-174886838 | ईओपी | ज़्यादा | 8.1, 9, 10, 11 |
| CVE-2021-0478 | A-169255797 | ईओपी | ज़्यादा | 8.1, 9, 10, 11 |
कर्नेल कॉम्पोनेंट
इस सेक्शन में मौजूद सबसे गंभीर कमज़ोरी की वजह से, स्थानीय स्तर पर विशेषाधिकारों में बढ़ोतरी हो सकती है. इसके लिए, अतिरिक्त विशेषाधिकारों की ज़रूरत नहीं होती.
| CVE | संदर्भ | प्रकार | गंभीरता | कॉम्पोनेंट |
|---|---|---|---|---|
| CVE-2020-14305 | A-174904512
अपस्ट्रीम कर्नेल |
ईओपी | ज़्यादा | वॉइस ओवर आईपी H.323 |
| CVE-2021-0512 | A-173843328
अपस्ट्रीम कर्नेल |
ईओपी | ज़्यादा | HID |
MediaTek कॉम्पोनेंट
इन कमज़ोरियों का असर MediaTek के कॉम्पोनेंट पर पड़ता है. इनके बारे में ज़्यादा जानकारी, सीधे MediaTek से मिल सकती है. इन समस्याओं की गंभीरता का आकलन, सीधे तौर पर MediaTek करता है.
| CVE | संदर्भ | गंभीरता | कॉम्पोनेंट |
|---|---|---|---|
| CVE-2021-0525 | A-185193929
M-ALPS05403499* |
ज़्यादा | मेमोरी मैनेजमेंट ड्राइवर |
| CVE-2021-0526 | A-185195264
M-ALPS05403499* |
ज़्यादा | मेमोरी मैनेजमेंट ड्राइवर |
| CVE-2021-0527 | A-185193931
M-ALPS05403499* |
ज़्यादा | मेमोरी मैनेजमेंट ड्राइवर |
| CVE-2021-0528 | A-185195266
M-ALPS05403499 * |
ज़्यादा | मेमोरी मैनेजमेंट ड्राइवर |
| CVE-2021-0529 | A-185195268
M-ALPS05403499* |
ज़्यादा | मेमोरी मैनेजमेंट ड्राइवर |
| CVE-2021-0530 | A-185196175
M-ALPS05403499 * |
ज़्यादा | मेमोरी मैनेजमेंट ड्राइवर |
| CVE-2021-0531 | A-185195272
M-ALPS05403499* |
ज़्यादा | मेमोरी मैनेजमेंट ड्राइवर |
| CVE-2021-0532 | A-185196177
M-ALPS05403499* |
ज़्यादा | मेमोरी मैनेजमेंट ड्राइवर |
| CVE-2021-0533 | A-185193932
M-ALPS05403499* |
ज़्यादा | मेमोरी मैनेजमेंट ड्राइवर |
Qualcomm कॉम्पोनेंट
इस जोखिम की आशंका का असर Qualcomm के कॉम्पोनेंट पर पड़ता है. इसके बारे में ज़्यादा जानकारी, Qualcomm के सुरक्षा बुलेटिन या सुरक्षा से जुड़ी चेतावनी में दी गई है. इस समस्या की गंभीरता का आकलन, सीधे तौर पर Qualcomm करता है.
| CVE | संदर्भ | गंभीरता | कॉम्पोनेंट |
|---|---|---|---|
| CVE-2020-11267 | A-168918351
QC-CR#2723768 [2] [3] |
ज़्यादा | सुरक्षा |
Qualcomm के क्लोज़्ड सोर्स कॉम्पोनेंट
इन जोखिमों का असर, Qualcomm के क्लोज़्ड-सोर्स कॉम्पोनेंट पर पड़ता है. इनके बारे में ज़्यादा जानकारी, Qualcomm के सुरक्षा बुलेटिन या सुरक्षा से जुड़ी चेतावनी में दी गई है. इन समस्याओं की गंभीरता का आकलन, सीधे तौर पर Qualcomm करता है.
| CVE | संदर्भ | गंभीरता | कॉम्पोनेंट |
|---|---|---|---|
| CVE-2020-11176 | A-175038159* | गंभीर | क्लोज़्ड-सोर्स कॉम्पोनेंट |
| CVE-2020-11291 | A-175038624* | गंभीर | क्लोज़्ड-सोर्स कॉम्पोनेंट |
| CVE-2020-26558 | A-179039983* | गंभीर | क्लोज़्ड-सोर्स कॉम्पोनेंट |
| CVE-2020-11292 | A-171309888* | ज़्यादा | क्लोज़्ड-सोर्स कॉम्पोनेंट |
| CVE-2020-11298 | A-175038385* | ज़्यादा | क्लोज़्ड-सोर्स कॉम्पोनेंट |
| CVE-2020-11304 | A-167567084* | ज़्यादा | क्लोज़्ड-सोर्स कॉम्पोनेंट |
| CVE-2020-11306 | A-175038981* | ज़्यादा | क्लोज़्ड-सोर्स कॉम्पोनेंट |
| CVE-2020-26555 | A-181682537* | ज़्यादा | क्लोज़्ड-सोर्स कॉम्पोनेंट |
| CVE-2021-1900 | A-181682536* | ज़्यादा | क्लोज़्ड-सोर्स कॉम्पोनेंट |
| CVE-2021-1925 | A-179040020* | ज़्यादा | क्लोज़्ड-सोर्स कॉम्पोनेंट |
| CVE-2021-1937 | A-181682513* | ज़्यादा | क्लोज़्ड-सोर्स कॉम्पोनेंट |
आम तौर पर पूछे जाने वाले सवाल और उनके जवाब
इस सेक्शन में, इस बुलेटिन को पढ़ने के बाद आम तौर पर पूछे जाने वाले सवालों के जवाब दिए गए हैं.
1. मुझे कैसे पता चलेगा कि इन समस्याओं को ठीक करने के लिए मेरे डिवाइस को अपडेट किया गया है?
किसी डिवाइस के सुरक्षा पैच का लेवल जांचने का तरीका जानने के लिए, अपने डिवाइस का Android वर्शन देखना और उसे अपडेट करना लेख पढ़ें.
- 1 जून, 2021 या इसके बाद के सुरक्षा पैच लेवल में, इस तारीख के सुरक्षा पैच लेवल से जुड़ी सभी समस्याओं को ठीक किया गया है.
- 5 जून, 2021 या इसके बाद के सुरक्षा पैच लेवल में, इस तारीख और इससे पहले के सभी पैच लेवल से जुड़ी सभी समस्याओं को ठीक किया गया है.
डिवाइस बनाने वाली कंपनियों को, इन अपडेट को शामिल करने के लिए पैच स्ट्रिंग लेवल को इस पर सेट करना चाहिए:
- [ro.build.version.security_patch]:[2021-06-01]
- [ro.build.version.security_patch]:[2021-06-05]
Android 10 या इसके बाद के वर्शन वाले कुछ डिवाइसों के लिए, Google Play सिस्टम अपडेट में तारीख की ऐसी स्ट्रिंग होगी जो 1 जून, 2021 के सुरक्षा पैच लेवल से मेल खाती हो. सुरक्षा से जुड़े अपडेट इंस्टॉल करने के बारे में ज़्यादा जानने के लिए, कृपया यह लेख पढ़ें.
2. इस बुलेटिन में सुरक्षा पैच के दो लेवल क्यों दिए गए हैं?
इस बुलेटिन में सुरक्षा पैच के दो लेवल दिए गए हैं, ताकि Android पार्टनर को उन जोखिम की आशंकाओं को ठीक करने में आसानी हो जो सभी Android डिवाइसों में एक जैसी हैं. Android पार्टनर को इस बुलेटिन में बताई गई सभी समस्याओं को ठीक करने और सुरक्षा पैच के नए लेवल का इस्तेमाल करने का सुझाव दिया जाता है.
- जिन डिवाइसों में 1 जून, 2021 का सुरक्षा पैच लेवल इस्तेमाल किया जाता है उनमें उस सुरक्षा पैच लेवल से जुड़ी सभी समस्याएं शामिल होनी चाहिए. साथ ही, पिछले सुरक्षा बुलेटिन में बताई गई सभी समस्याओं को ठीक करने के तरीके भी शामिल होने चाहिए.
- जिन डिवाइसों में 5 जून, 2021 या इसके बाद का सुरक्षा पैच का लेवल इस्तेमाल किया जाता है उनमें इस और पिछले सुरक्षा बुलेटिन में बताए गए सभी ज़रूरी पैच शामिल होने चाहिए.
हमारा सुझाव है कि पार्टनर, एक ही अपडेट में उन सभी समस्याओं को ठीक करें जिन पर वे काम कर रहे हैं.
3. टाइप कॉलम में मौजूद एंट्री का क्या मतलब है?
जोखिम की आशंका की जानकारी देने वाली टेबल के टाइप कॉलम में मौजूद एंट्री, सुरक्षा से जुड़े जोखिम की आशंकाओं की कैटगरी का रेफ़रंस देती है.
| छोटा रूप | परिभाषा |
|---|---|
| आरसीई | रिमोट कोड एक्ज़ीक्यूशन |
| ईओपी | एलिवेशन ऑफ़ प्रिविलेज |
| आईडी | जानकारी ज़ाहिर करना |
| DoS | सेवा में रुकावट |
| लागू नहीं | क्लासिफ़िकेशन उपलब्ध नहीं है |
4. रेफ़रंस कॉलम में मौजूद एंट्री का क्या मतलब है?
जोखिम की आशंका की जानकारी वाली टेबल के रेफ़रंस कॉलम में मौजूद एंट्री में, ऐसा प्रीफ़िक्स हो सकता है जिससे यह पता चलता हो कि रेफ़रंस वैल्यू किस संगठन से जुड़ी है.
| प्रीफ़िक्स | रेफ़रंस |
|---|---|
| A- | Android में गड़बड़ी का आईडी |
| QC- | Qualcomm का रेफ़रंस नंबर |
| M- | MediaTek का रेफ़रंस नंबर |
| N- | NVIDIA का रेफ़रंस नंबर |
| B- | Broadcom का रेफ़रंस नंबर |
5. रेफ़रंस कॉलम में, Android बग आईडी के बगल में मौजूद * का क्या मतलब है?
जिन समस्याओं की जानकारी सार्वजनिक तौर पर उपलब्ध नहीं है उनके रेफ़रंस आईडी के बगल में * का निशान होता है. इस समस्या से जुड़ा अपडेट, आम तौर पर Pixel डिवाइसों के लिए उपलब्ध नए बाइनरी ड्राइवर में शामिल होता है. ये ड्राइवर, Google की डेवलपर साइट पर उपलब्ध होते हैं.
6. सुरक्षा से जुड़े जोखिम की आशंकाओं को इस बुलेटिन और डिवाइस / पार्टनर के सुरक्षा बुलेटिन के बीच क्यों बांटा गया है? जैसे, Pixel का बुलेटिन?
इस सुरक्षा बुलेटिन में बताई गई सुरक्षा से जुड़ी जोखिम की आशंकाओं के लिए, Android डिवाइसों पर नया 'सुरक्षा पैच का लेवल' दिखाना ज़रूरी है. सुरक्षा पैच का लेवल एलान करने के लिए, सुरक्षा से जुड़े जोखिम की अन्य आशंकाओं के बारे में जानकारी देने की ज़रूरत नहीं है. जैसे कि डिवाइस / पार्टनर के सुरक्षा बुलेटिन में बताया गया है. Android डिवाइस और चिपसेट बनाने वाली कंपनियां भी, अपने प्रॉडक्ट से जुड़ी सुरक्षा की कमज़ोरियों की जानकारी पब्लिश कर सकती हैं. जैसे, Google, Huawei, LGE, Motorola, Nokia या Samsung.
वर्शन
| वर्शन | तारीख | नोट |
|---|---|---|
| 1.0 | 7 जून, 2021 | बुलेटिन पब्लिश किया गया |
| 1.1 | 8 जून, 2021 | AOSP के लिंक शामिल करने के लिए बुलेटिन में बदलाव किया गया |