Android सुरक्षा बुलेटिन—अगस्त 2021

2 अगस्त 2021 को प्रकाशित | 4 अगस्त 2021 को अपडेट किया गया

Android सुरक्षा बुलेटिन में Android उपकरणों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण होता है। 2021-08-05 या बाद के सुरक्षा पैच स्तर इन सभी मुद्दों को संबोधित करते हैं। किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपना Android संस्करण जांचें और अपडेट करें देखें.

प्रकाशन से कम से कम एक महीने पहले Android भागीदारों को सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए स्रोत कोड पैच एंड्रॉइड ओपन सोर्स प्रोजेक्ट (एओएसपी) रिपोजिटरी में जारी किए गए हैं और इस बुलेटिन से जुड़े हुए हैं। इस बुलेटिन में एओएसपी के बाहर पैच के लिंक भी शामिल हैं।

इन मुद्दों में सबसे गंभीर मीडिया फ्रेमवर्क घटक में एक उच्च सुरक्षा भेद्यता है जो एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को ऑपरेटिंग सिस्टम सुरक्षा को बायपास करने में सक्षम कर सकती है जो अन्य एप्लिकेशन से एप्लिकेशन डेटा को अलग करती है। गंभीरता का आकलन इस प्रभाव पर आधारित है कि भेद्यता का शोषण संभवतः एक प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफॉर्म और सेवा शमन को विकास उद्देश्यों के लिए बंद कर दिया गया है या सफलतापूर्वक बायपास कर दिया गया है।

Android सुरक्षा प्लेटफ़ॉर्म सुरक्षा और Google Play प्रोटेक्ट पर विवरण के लिए Android और Google Play प्रोटेक्ट मिटिगेशन अनुभाग देखें, जो Android प्लेटफ़ॉर्म की सुरक्षा में सुधार करते हैं।

Android और Google सेवा में कमी

यह Android सुरक्षा प्लेटफ़ॉर्म और Google Play Protect जैसी सेवा सुरक्षा द्वारा प्रदान किए गए शमन का सारांश है। ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा कमजोरियों का सफलतापूर्वक शोषण किया जा सकता है।

  • एंड्रॉइड प्लेटफॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा एंड्रॉइड पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
  • एंड्रॉइड सुरक्षा टीम सक्रिय रूप से Google Play Protect के माध्यम से दुरुपयोग की निगरानी करती है और उपयोगकर्ताओं को संभावित रूप से हानिकारक एप्लिकेशन के बारे में चेतावनी देती है। Google Play Protect Google मोबाइल सेवाओं वाले उपकरणों पर डिफ़ॉल्ट रूप से सक्षम होता है, और यह उन उपयोगकर्ताओं के लिए विशेष रूप से महत्वपूर्ण है जो Google Play के बाहर से ऐप्स इंस्टॉल करते हैं।

2021-08-01 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2021-08-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। समस्याओं को नीचे दी गई तालिका में वर्णित किया गया है और इसमें सीवीई आईडी, संबद्ध संदर्भ, भेद्यता का प्रकार , गंभीरता और अद्यतन एओएसपी संस्करण (जहां लागू हो) शामिल हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं। Android 10 और बाद के संस्करण वाले डिवाइस सुरक्षा अपडेट के साथ-साथ Google Play सिस्टम अपडेट प्राप्त कर सकते हैं।

रूपरेखा

इस खंड में सबसे गंभीर भेद्यता स्थानीय दुर्भावनापूर्ण एप्लिकेशन को अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए उपयोगकर्ता इंटरैक्शन आवश्यकताओं को बायपास करने में सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0640 ए-187957589 ईओपी उच्च 9, 10, 11
सीवीई-2021-0645 ए-157320644 ईओपी उच्च 1 1
सीवीई-2021-0646 ए-153352319 ईओपी उच्च 8.1, 9, 10, 11

मीडिया फ्रेमवर्क

इस खंड में भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को ऑपरेटिंग सिस्टम सुरक्षा को बायपास करने में सक्षम कर सकती है जो अन्य एप्लिकेशन से एप्लिकेशन डेटा को अलग करती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0519 ए-176533109 पहचान उच्च 10, 11
ईओपी उच्च 8.1, 9

व्यवस्था

इस खंड में सबसे गंभीर भेद्यता अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए विशेष रूप से तैयार किए गए ट्रांसमिशन का उपयोग कर स्थानीय हमलावर को सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0591 ए-179386960 [ 2 ] ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0593 ए-179386068 [ 2 ] ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0584 ए-179289794 पहचान उच्च 8.1, 9, 10, 11
सीवीई-2021-0641 ए-185235454 पहचान उच्च 8.1, 9, 10, 11
सीवीई-2021-0642 ए-185126149 पहचान उच्च 8.1, 9, 10, 11

Google Play सिस्टम अपडेट

निम्नलिखित मुद्दे प्रोजेक्ट मेनलाइन घटकों में शामिल हैं।

अवयव सीवीई
Statsd सीवीई-2021-0640
मीडिया कोडेक सीवीई-2021-0519
मीडिया कोडेक्स, मीडिया फ्रेमवर्क घटक सीवीई-2021-0584

2021-08-05 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2021-08-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। समस्याओं को नीचे दी गई तालिका में वर्णित किया गया है और इसमें सीवीई आईडी, संबद्ध संदर्भ, भेद्यता का प्रकार , गंभीरता और अद्यतन एओएसपी संस्करण (जहां लागू हो) शामिल हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।

कर्नेल घटक

इस खंड में सबसे गंभीर भेद्यता मुफ्त के बाद उपयोग के कारण मनमाने ढंग से कर्नेल कोड निष्पादन में परिणाम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2020-14381 ए-175193031
अपस्ट्रीम कर्नेल
ईओपी उच्च फ्यूटेक्स
सीवीई-2021-3347 ए-171705902
अपस्ट्रीम कर्नेल
ईओपी उच्च फ्यूटेक्स
सीवीई-2021-28375 ए-183188047
अपस्ट्रीम कर्नेल
ईओपी उच्च फास्टआरपीसी

मीडियाटेक घटक

ये कमजोरियां मीडियाटेक घटकों को प्रभावित करती हैं और आगे के विवरण सीधे मीडियाटेक से उपलब्ध हैं। इन मुद्दों की गंभीरता का आकलन सीधे मीडियाटेक द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2021-0573
ए-187231635
एम-एएलपीएस05489195 *
उच्च एएसएफ एक्सट्रैक्टर
सीवीई-2021-0574
ए-187234876
एम-एएलपीएस05561346 *
उच्च एएसएफ एक्सट्रैक्टर
सीवीई-2021-0576
ए-187236084
एम-एएलपीएस05517392 *
उच्च एफएलवी एक्सट्रैक्टर
सीवीई-2021-0578
ए-187161772
एम-एएलपीएस05551422 *
उच्च वाईफाई चालक
सीवीई-2021-0579
ए-187231636
एम-एएलपीएस05551426 *
उच्च वाईफाई चालक
सीवीई-2021-0580
ए-187231637
एम-एएलपीएस05560223 *
उच्च वाईफाई चालक
सीवीई-2021-0581
ए-187231638
एम-एएलपीएस05560246 *
उच्च वाईफाई चालक
सीवीई-2021-0582
ए-187149601
एम-एएलपीएस05560246 *
उच्च वाईफाई चालक

वाइडवाइन डीआरएम

यह भेद्यता वाइडवाइन डीआरएम घटकों को प्रभावित करती है और अधिक विवरण सीधे वाइडवाइन डीआरएम से उपलब्ध हैं। इस मुद्दे की गंभीरता का आकलन सीधे वाइडवाइन डीआरएम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2021-0639
ए-190724551 * उच्च वाइडवाइन

क्वालकॉम घटक

ये भेद्यताएं क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में और अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2021-1972
ए-187073198
क्यूसी-सीआर#2823861
नाजुक WLAN
सीवीई-2021-1976
ए-187074482
क्यूसी-सीआर#2857392
नाजुक WLAN
सीवीई-2021-1904
ए-175037520
क्यूसी-सीआर#2778197
क्यूसी-सीआर#2835930
उच्च गुठली
सीवीई-2021-1939
ए-187073199
क्यूसी-सीआर#2826994
उच्च दिखाना
सीवीई-2021-1947
ए-187074483
क्यूसी-सीआर#2840102 [ 2 ] [ 3 ] [ 4 ]
उच्च दिखाना
सीवीई-2021-1978
ए-187074565
क्यूसी-सीआर#2859124
उच्च WLAN

क्वालकॉम बंद-स्रोत घटक

ये कमजोरियां क्वालकॉम के क्लोज्ड-सोर्स घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा अलर्ट में अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2021-1916
ए-179040380 * नाजुक बंद स्रोत घटक
सीवीई-2021-1919
ए-179040019 * नाजुक बंद स्रोत घटक
सीवीई-2021-1920
ए-179040550 * नाजुक बंद स्रोत घटक
सीवीई-2021-1914
ए-179040552 * उच्च बंद स्रोत घटक
सीवीई-2021-30260
ए-187073203 * उच्च बंद स्रोत घटक
सीवीई-2021-30261
ए-187073202 * उच्च बंद स्रोत घटक

सामान्य प्रश्न और उत्तर

यह खंड उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि इन समस्याओं को दूर करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?

किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपना Android संस्करण जांचें और अपडेट करें देखें.

  • 2021-08-01 या बाद के सुरक्षा पैच स्तर 2021-08-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों को संबोधित करते हैं।
  • 2021-08-05 या बाद के सुरक्षा पैच स्तर 2021-08-05 सुरक्षा पैच स्तर और पिछले सभी पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।

इन अद्यतनों को शामिल करने वाले डिवाइस निर्माताओं को पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[2021-08-01]
  • [ro.build.version.security_patch]:[2021-08-05]

Android 10 या उसके बाद के कुछ उपकरणों के लिए, Google Play सिस्टम अपडेट में एक दिनांक स्ट्रिंग होगी जो 2021-08-01 सुरक्षा पैच स्तर से मेल खाती है। सुरक्षा अद्यतन स्थापित करने के तरीके के बारे में अधिक विवरण के लिए कृपया यह आलेख देखें।

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि Android भागीदारों के पास कमजोरियों के एक सबसेट को ठीक करने की सुविधा हो जो सभी Android उपकरणों में अधिक तेज़ी से समान हो। Android भागीदारों को इस बुलेटिन में सभी समस्याओं को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

  • 2021-08-01 सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में उस सुरक्षा पैच स्तर से संबंधित सभी समस्याओं के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट की गई सभी समस्याओं के समाधान शामिल होने चाहिए।
  • जो डिवाइस 2021-08-05 या नए के सुरक्षा पैच स्तर का उपयोग करते हैं, उनमें इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल होने चाहिए।

भागीदारों को उन सभी समस्याओं के समाधान को बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे एक ही अद्यतन में संबोधित कर रहे हैं।

3. टाइप कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के प्रकार कॉलम में प्रविष्टियां सुरक्षा भेद्यता के वर्गीकरण का संदर्भ देती हैं।

संक्षेपाक्षर परिभाषा
आरसीई रिमोट कोड निष्पादन
ईओपी विशेषाधिकार का उन्नयन
पहचान जानकारी प्रकटीकरण
करने योग्य सेवा की मनाई
एन/ए वर्गीकरण उपलब्ध नहीं है

4. सन्दर्भ कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के संदर्भ कॉलम के अंतर्गत प्रविष्टियों में उस संगठन की पहचान करने वाला एक उपसर्ग हो सकता है जिससे संदर्भ मान संबंधित है।

उपसर्ग संदर्भ
ए- एंड्रॉइड बग आईडी
क्यूसी- क्वालकॉम संदर्भ संख्या
एम- मीडियाटेक संदर्भ संख्या
एन- NVIDIA संदर्भ संख्या
बी- ब्रॉडकॉम संदर्भ संख्या

5. संदर्भ कॉलम में Android बग आईडी के आगे * का क्या अर्थ है?

जो समस्याएं सार्वजनिक रूप से उपलब्ध नहीं हैं उनमें संबंधित संदर्भ आईडी के आगे एक * होता है। उस समस्या के लिए अद्यतन आम तौर पर Google डेवलपर साइट से उपलब्ध पिक्सेल उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में निहित है।

6. सुरक्षा कमजोरियों को इस बुलेटिन और डिवाइस/पार्टनर सुरक्षा बुलेटिन, जैसे कि Pixel बुलेटिन के बीच क्यों विभाजित किया गया है?

इस सुरक्षा बुलेटिन में प्रलेखित सुरक्षा भेद्यताएं Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। सुरक्षा पैच स्तर घोषित करने के लिए डिवाइस/पार्टनर सुरक्षा बुलेटिन में प्रलेखित अतिरिक्त सुरक्षा भेद्यताएं आवश्यक नहीं हैं। Android डिवाइस और चिपसेट निर्माता अपने उत्पादों के लिए विशिष्ट सुरक्षा भेद्यता विवरण भी प्रकाशित कर सकते हैं, जैसे Google , Huawei , LGE , Motorola , Nokia , या Samsung

संस्करणों

संस्करण दिनांक टिप्पणियाँ
1.0 2 अगस्त 2021 बुलेटिन प्रकाशित
1.1 4 अगस्त 2021 AOSP लिंक्स को शामिल करने के लिए संशोधित बुलेटिन