Android सुरक्षा बुलेटिन—जनवरी 2023

3 जनवरी, 2023 को पब्लिश किया गया | 10 जनवरी, 2023 को अपडेट किया गया

Android सुरक्षा बुलेटिन में, Android डिवाइसों पर असर डालने वाली सुरक्षा से जुड़ी जोखिम की जानकारी होती है. सुरक्षा पैच के लेवल 05-01-2023 या उसके बाद के वर्शन में, इन सभी समस्याओं को ठीक किया गया है. किसी डिवाइस के सुरक्षा पैच लेवल को देखने का तरीका जानने के लिए, अपना Android वर्शन देखना और उसे अपडेट करना लेख पढ़ें.

Android पार्टनर को पब्लिकेशन से कम से कम एक महीने पहले, सभी समस्याओं की सूचना दी जाती है. इन समस्याओं के लिए सोर्स कोड पैच, अगले 48 घंटों में Android Open Source Project (AOSP) के डेटा स्टोर में रिलीज़ कर दिए जाएंगे. AOSP के लिंक उपलब्ध होने पर, हम इस सूचना में बदलाव करेंगे.

इनमें से सबसे गंभीर समस्या, फ़्रेमवर्क कॉम्पोनेंट में सुरक्षा से जुड़ी गंभीर समस्या है. इसकी वजह से, स्थानीय स्तर पर विशेषाधिकार बढ़ सकते हैं. इसके लिए, अतिरिक्त विशेषाधिकारों की ज़रूरत नहीं होती. गंभीर समस्या का आकलन, इस बात पर आधारित होता है कि किसी डिवाइस पर, कमज़ोरी का फ़ायदा उठाने से क्या असर पड़ सकता है. यह आकलन इस आधार पर किया जाता है कि डेवलपमेंट के मकसद से, प्लैटफ़ॉर्म और सेवा को कमज़ोरी से बचाने वाली सुविधाएं बंद हैं या नहीं या उन्हें बाईपास कर दिया गया है.

Android सुरक्षा प्लैटफ़ॉर्म की सुरक्षा से जुड़ी सुविधाओं और Google Play Protect के बारे में ज़्यादा जानने के लिए, Android और Google Play Protect के ज़रिए खतरों को कम करने के तरीके सेक्शन देखें. इन सुविधाओं से Android प्लैटफ़ॉर्म की सुरक्षा को बेहतर बनाया जाता है.

Android और Google की सेवाओं से जुड़ी समस्याओं को कम करने के तरीके

इस लेख में, Android सुरक्षा प्लैटफ़ॉर्म और सेवाओं को सुरक्षित रखने के तरीकों के बारे में बताया गया है. जैसे, Google Play Protect. इन सुविधाओं की मदद से, Android पर सुरक्षा से जुड़ी कमजोरियों का इस्तेमाल करने की संभावना कम हो जाती है.

  • Android प्लैटफ़ॉर्म के नए वर्शन में किए गए सुधारों की वजह से, Android पर कई समस्याओं का गलत इस्तेमाल करना मुश्किल हो गया है. हमारा सुझाव है कि सभी उपयोगकर्ता, जहां भी हो सके वहां Android के नए वर्शन पर अपडेट करें.
  • Android की सुरक्षा टीम, Google Play Protect की मदद से, ऐप्लिकेशन के गलत इस्तेमाल पर नज़र रखती है. साथ ही, उपयोगकर्ताओं को नुकसान पहुंचा सकने वाले ऐप्लिकेशन के बारे में चेतावनी देती है. Google मोबाइल सेवाओं वाले डिवाइसों पर, Google Play Protect डिफ़ॉल्ट रूप से चालू होता है. यह सुविधा, खास तौर पर उन उपयोगकर्ताओं के लिए ज़रूरी है जो Google Play के अलावा, किसी और से ऐप्लिकेशन इंस्टॉल करते हैं.

01-01-2023 सुरक्षा पैच के लेवल पर मौजूद जोखिम की जानकारी

यहां दिए गए सेक्शन में, हम सुरक्षा से जुड़ी उन सभी कमजोरियों के बारे में जानकारी देते हैं जो 01-01-2023 के पैच लेवल पर लागू होती हैं. जोखिम, उस कॉम्पोनेंट के हिसाब से ग्रुप में बांट दिए जाते हैं जिस पर उनका असर पड़ता है. समस्याओं के बारे में यहां दी गई टेबल में बताया गया है. इनमें सीवीई आईडी, इससे जुड़े रेफ़रंस, जोखिम की संभावना का टाइप, गंभीरता, और अपडेट किए गए AOSP वर्शन (जहां लागू हो) शामिल हैं. अगर उपलब्ध हो, तो हम समस्या को हल करने वाले सार्वजनिक बदलाव को बग आईडी से लिंक करते हैं. जैसे, AOSP में किए गए बदलावों की सूची. जब एक ही गड़बड़ी से जुड़े कई बदलाव होते हैं, तो गड़बड़ी के आईडी के बाद के नंबरों से अतिरिक्त रेफ़रंस लिंक किए जाते हैं. Android 10 और उसके बाद के वर्शन वाले डिवाइसों को सुरक्षा अपडेट के साथ-साथ, Google Play के सिस्टम अपडेट भी मिल सकते हैं.

फ़्रेमवर्क

इस सेक्शन में मौजूद सबसे गंभीर जोखिम की वजह से, स्थानीय स्तर पर ऐक्सेस लेवल बढ़ सकता है. इसके लिए, ऐक्सेस करने की अतिरिक्त अनुमतियों की ज़रूरत नहीं होती.

CVE रेफ़रंस टाइप गंभीरता AOSP के अपडेट किए गए वर्शन
CVE-2022-20456 A-242703780 EoP ज़्यादा 10, 11, 12, 12L, 13
CVE-2022-20489 A-242703460 EoP ज़्यादा 10, 11, 12, 12L, 13
CVE-2022-20490 A-242703505 EoP ज़्यादा 10, 11, 12, 12L, 13
CVE-2022-20492 A-242704043 EoP ज़्यादा 10, 11, 12, 12L, 13
CVE-2022-20493 A-242846316 EoP ज़्यादा 10, 11, 12, 12L, 13
CVE-2023-20912 A-246301995 EoP ज़्यादा 13
CVE-2023-20916 A-229256049 EoP ज़्यादा 12, 12L
CVE-2023-20919 A-252663068 EoP ज़्यादा 13
CVE-2023-20920 A-204584366 EoP ज़्यादा 10, 11, 12, 12L, 13
CVE-2023-20921 A-243378132 EoP ज़्यादा 10, 11, 12, 12L, 13
CVE-2022-20494 A-243794204 डीओएस ज़्यादा 10, 11, 12, 12L, 13
CVE-2023-20922 A-237291548 डीओएस ज़्यादा 11, 12, 12L, 13

सिस्टम

इस सेक्शन में मौजूद सबसे गंभीर जोखिम की वजह से, BLE की अनुमति को स्थानीय तौर पर बढ़ाया जा सकता है. इसके लिए, किसी और अनुमति की ज़रूरत नहीं होती.

CVE रेफ़रंस टाइप गंभीरता AOSP के अपडेट किए गए वर्शन
CVE-2022-20461 A-228602963 EoP ज़्यादा 10, 11, 12, 12L, 13
CVE-2023-20904 A-246300272 EoP ज़्यादा 12L, 13
CVE-2023-20905 A-241387741 EoP ज़्यादा 10
CVE-2023-20913 A-246933785 EoP ज़्यादा 10, 11, 12, 12L, 13
CVE-2023-20915 A-246930197 EoP ज़्यादा 10, 11, 12, 12L, 13

Google Play के सिस्टम अपडेट

Project Mainline के कॉम्पोनेंट में ये समस्याएं शामिल हैं.

सब-कॉम्पोनेंट CVE
MediaProvider CVE-2023-20912

05-01-2023 सुरक्षा पैच के लेवल की कमज़ोरी की जानकारी

यहां दिए गए सेक्शन में, हम सुरक्षा से जुड़ी उन सभी कमजोरियों के बारे में जानकारी देते हैं जो 05-01-2023 के पैच लेवल पर लागू होती हैं. जोखिम, उस कॉम्पोनेंट के हिसाब से ग्रुप में बांट दिए जाते हैं जिस पर उनका असर पड़ता है. समस्याओं के बारे में यहां दी गई टेबल में बताया गया है. इनमें सीवीई आईडी, इससे जुड़े रेफ़रंस, जोखिम की संभावना का टाइप, गंभीरता, और अपडेट किए गए AOSP वर्शन (जहां लागू हो) शामिल हैं. अगर उपलब्ध हो, तो हम समस्या को हल करने वाले सार्वजनिक बदलाव को बग आईडी से लिंक करते हैं. जैसे, AOSP में किए गए बदलावों की सूची. जब एक ही गड़बड़ी से जुड़े कई बदलाव होते हैं, तो गड़बड़ी के आईडी के बाद के नंबरों से अतिरिक्त रेफ़रंस लिंक किए जाते हैं.

कर्नेल

इस सेक्शन में मौजूद सबसे गंभीर जोखिम की वजह से, रिमोट कोड प्रोग्राम चलाया जा सकता है. इसके लिए, प्रोग्राम चलाने की अतिरिक्त अनुमतियों की ज़रूरत नहीं होती.

CVE रेफ़रंस टाइप गंभीरता सब-कॉम्पोनेंट
CVE-2022-42719 A-253642087
अपस्ट्रीम कर्नेल [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14]
आरसीई सबसे अहम mac80211
CVE-2022-42720 A-253642015
अपस्ट्रीम कर्नेल [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14]
आरसीई सबसे अहम वाई-फ़ाई
CVE-2022-42721 A-253642088
अपस्ट्रीम कर्नेल [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14]
आरसीई सबसे अहम एक से ज़्यादा मॉड्यूल
CVE-2022-2959 A-244395411
अपस्ट्रीम कर्नेल
EoP ज़्यादा पाइप

Kernel कॉम्पोनेंट

इस सेक्शन में मौजूद सबसे गंभीर जोखिम की वजह से, रिमोट कोड प्रोग्राम चलाया जा सकता है. इसके लिए, प्रोग्राम चलाने की अतिरिक्त अनुमतियों की ज़रूरत नहीं होती.

CVE रेफ़रंस टाइप गंभीरता सब-कॉम्पोनेंट
CVE-2022-41674 A-253641805
अपस्ट्रीम कर्नेल [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14]
आरसीई सबसे अहम वाई-फ़ाई
CVE-2023-20928 A-254837884
अपस्ट्रीम कर्नेल
EoP ज़्यादा बाइंडर ड्राइवर

Kernel LTS

इन कर्नेल वर्शन को अपडेट कर दिया गया है. कर्नेल वर्शन के अपडेट, डिवाइस के लॉन्च के समय Android OS के वर्शन पर निर्भर करते हैं.

रेफ़रंस Android का लॉन्च वर्शन कम से कम कर्नेल वर्शन
A-224575820 12 5.10.101

Imagination Technologies

इस समस्या का असर Imagination Technologies के कॉम्पोनेंट पर पड़ता है. ज़्यादा जानकारी के लिए, सीधे Imagination Technologies से संपर्क करें. इस समस्या की गंभीरता का आकलन, सीधे Imagination Technologies करता है.

CVE रेफ़रंस गंभीरता सब-कॉम्पोनेंट
CVE-2022-20235
A-259967780 * ज़्यादा PowerVR-GPU

MediaTek के कॉम्पोनेंट

इन कमजोरियों का असर MediaTek के कॉम्पोनेंट पर पड़ता है. ज़्यादा जानकारी के लिए, सीधे MediaTek से संपर्क करें. इन समस्याओं की गंभीरता का आकलन, सीधे MediaTek करता है.

CVE रेफ़रंस गंभीरता सब-कॉम्पोनेंट
CVE-2022-32635
A-257714327
M-ALPS07573237 *
ज़्यादा जीपीएस
CVE-2022-32636
A-257846591
M-ALPS07510064 *
ज़्यादा keyinstall
CVE-2022-32637
A-257860658
M-ALPS07491374 *
ज़्यादा hevc डिकोडर

Unisoc के कॉम्पोनेंट

इन कमजोरियों का असर Unisoc के कॉम्पोनेंट पर पड़ता है. ज़्यादा जानकारी के लिए, सीधे Unisoc से संपर्क करें. इन समस्याओं की गंभीरता का आकलन, Unisoc सीधे तौर पर करता है.

CVE रेफ़रंस गंभीरता सब-कॉम्पोनेंट
CVE-2022-44425
A-258731891
U-2028856 *
ज़्यादा कर्नेल
CVE-2022-44426
A-258728978
U-2028856 *
ज़्यादा कर्नेल
CVE-2022-44427
A-258736883
U-1888565 *
ज़्यादा कर्नेल
CVE-2022-44428
A-258741356
U-1888565 *
ज़्यादा कर्नेल
CVE-2022-44429
A-258743555
U-1981296 *
ज़्यादा कर्नेल
CVE-2022-44430
A-258749708
U-1888565 *
ज़्यादा कर्नेल
CVE-2022-44431
A-258741360
U-1981296 *
ज़्यादा कर्नेल
CVE-2022-44432
A-258743558
U-1981296 *
ज़्यादा कर्नेल
CVE-2022-44434
A-258760518
U-2064988 *
ज़्यादा Android
CVE-2022-44435
A-258759189
U-2064988 *
ज़्यादा Android
CVE-2022-44436
A-258760519
U-2064988 *
ज़्यादा Android
CVE-2022-44437
A-258759192
U-2064988 *
ज़्यादा Android
CVE-2022-44438
A-258760781
U-2064988 *
ज़्यादा Android

Qualcomm के कॉम्पोनेंट

इन समस्याओं का असर Qualcomm के कॉम्पोनेंट पर पड़ता है. इनके बारे में ज़्यादा जानकारी, Qualcomm के सुरक्षा बुलेटिन या सुरक्षा चेतावनी में दी गई है. इन समस्याओं की गंभीरता का आकलन, सीधे तौर पर Qualcomm करता है.

CVE रेफ़रंस गंभीरता सब-कॉम्पोनेंट
CVE-2022-22088
A-231156521
QC-CR#3052411
सबसे अहम ब्लूटूथ
CVE-2022-33255
A-250627529
QC-CR#3212699
ज़्यादा ब्लूटूथ

Qualcomm के क्लोज़्ड-सोर्स कॉम्पोनेंट

इन कमजोरियों का असर, Qualcomm के क्लोज़्ड-सोर्स कॉम्पोनेंट पर पड़ता है. इनके बारे में ज़्यादा जानकारी, Qualcomm के सुरक्षा बुलेटिन या सुरक्षा चेतावनी में दी गई है. इन समस्याओं की गंभीरता का आकलन, सीधे तौर पर Qualcomm करता है.

CVE रेफ़रंस गंभीरता सब-कॉम्पोनेंट
CVE-2021-35097
A-209469821 * सबसे अहम क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2021-35113
A-209469998 * सबसे अहम क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2021-35134
A-213239776 * सबसे अहम क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2022-23960
A-238203772 * ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2022-25725
A-238101314 * ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2022-25746
A-238106983 * ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2022-33252
A-250627159 * ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2022-33253
A-250627591 * ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2022-33266
A-250627569 * ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2022-33274
A-250627236 * ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2022-33276
A-250627271 * ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2022-33283
A-250627602 * ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2022-33284
A-250627218 * ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2022-33285
A-250627435 * ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2022-33286
A-250627240 * ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट

आम तौर पर पूछे जाने वाले सवाल और उनके जवाब

इस सेक्शन में, इस सूचना को पढ़ने के बाद पूछे जाने वाले आम सवालों के जवाब दिए गए हैं.

1. मुझे कैसे पता चलेगा कि मेरे डिवाइस को इन समस्याओं को ठीक करने के लिए अपडेट किया गया है या नहीं?

किसी डिवाइस के सुरक्षा पैच लेवल को देखने का तरीका जानने के लिए, अपना Android वर्शन देखना और उसे अपडेट करना लेख पढ़ें.

  • 01-01-2023 या उसके बाद के सुरक्षा पैच लेवल, 01-01-2023 के सुरक्षा पैच लेवल से जुड़ी सभी समस्याओं को ठीक करते हैं.
  • 05-01-2023 या उसके बाद के सिक्योरिटी पैच लेवल, 05-01-2023 के सिक्योरिटी पैच लेवल और सभी पिछले पैच लेवल से जुड़ी सभी समस्याओं को ठीक करते हैं.

जिन डिवाइस मैन्युफ़ैक्चरर ने ये अपडेट शामिल किए हैं उन्हें पैच स्ट्रिंग के लेवल को इन पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[2023-01-01]
  • [ro.build.version.security_patch]:[2023-01-05]

Android 10 या उसके बाद के वर्शन वाले कुछ डिवाइसों के लिए, Google Play के सिस्टम अपडेट में तारीख की एक स्ट्रिंग होगी. यह स्ट्रिंग, 01-01-2023 के सुरक्षा पैच लेवल से मेल खाएगी. सुरक्षा से जुड़े अपडेट इंस्टॉल करने के तरीके के बारे में ज़्यादा जानने के लिए, कृपया यह लेख पढ़ें.

2. इस सूचना में, सुरक्षा पैच के दो लेवल क्यों हैं?

इस बुलेटिन में सुरक्षा पैच के दो लेवल हैं, ताकि Android पार्टनर, सभी Android डिवाइसों पर एक जैसी कमज़ोरियों के सबसेट को तेज़ी से ठीक कर सकें. Android पार्टनर को इस सूचना में बताई गई सभी समस्याओं को ठीक करने और सुरक्षा पैच के नए लेवल का इस्तेमाल करने का सुझाव दिया जाता है.

  • जिन डिवाइसों में 01-01-2023 के सिक्योरिटी पैच लेवल का इस्तेमाल किया जाता है उनमें, उस सिक्योरिटी पैच लेवल से जुड़ी सभी समस्याएं शामिल होनी चाहिए. साथ ही, उनमें उन सभी समस्याओं के लिए ठीक किए गए वर्शन भी शामिल होने चाहिए जिनकी शिकायत, पिछले सिक्योरिटी बुलेटिन में की गई थी.
  • जिन डिवाइसों में 05-01-2023 या उसके बाद का सिक्योरिटी पैच लेवल इस्तेमाल किया जाता है उनमें इस और पिछले सिक्योरिटी बुलेटिन में बताए गए सभी लागू पैच शामिल होने चाहिए.

हमारा सुझाव है कि पार्टनर, एक ही अपडेट में उन सभी समस्याओं को ठीक करने के लिए सुधारों को बंडल करें जिन्हें वे ठीक कर रहे हैं.

3. टाइप कॉलम में मौजूद एंट्री का क्या मतलब है?

जोखिम की जानकारी वाली टेबल के टाइप कॉलम में मौजूद एंट्री, सुरक्षा से जुड़े जोखिम की कैटगरी के बारे में बताती हैं.

संक्षेपण परिभाषा
आरसीई रिमोट कोड को चलाना
EoP प्रिविलेज एस्कलेशन
आईडी जानकारी ज़ाहिर करना
डीओएस सेवा में रुकावट
लागू नहीं क्लासिफ़िकेशन उपलब्ध नहीं है

4. रेफ़रंस कॉलम में मौजूद एंट्री का क्या मतलब है?

जोखिम की जानकारी वाली टेबल के रेफ़रंस कॉलम में मौजूद एंट्री में, उस संगठन की पहचान करने वाला प्रीफ़िक्स शामिल हो सकता है जिससे रेफ़रंस वैल्यू जुड़ी है.

प्रीफ़िक्स रेफ़रंस
A- Android गड़बड़ी का आईडी
QC- Qualcomm का रेफ़रंस नंबर
M- MediaTek का रेफ़रंस नंबर
N- NVIDIA का रेफ़रंस नंबर
B- Broadcom का रेफ़रंस नंबर
U- UNISOC का रेफ़रंस नंबर

5. रेफ़रंस कॉलम में, Android बग आईडी के बगल में मौजूद * का क्या मतलब है?

सार्वजनिक तौर पर उपलब्ध नहीं होने वाली समस्याओं के रेफ़रंस आईडी के बगल में * का निशान होता है. आम तौर पर, उस समस्या का अपडेट, Pixel डिवाइसों के लिए उपलब्ध सबसे नए बाइनरी ड्राइवर में होता है. ये ड्राइवर, Google डेवलपर साइट से डाउनलोड किए जा सकते हैं.

6. सुरक्षा से जुड़ी जोखिम की आशंकाओं को इस बुलेटिन और डिवाइस / पार्टनर के सुरक्षा बुलेटिन, जैसे कि Pixel के बुलेटिन के बीच क्यों बांटा जाता है?

इस सुरक्षा बुलेटिन में दी गई सुरक्षा से जुड़ी जोखिमियों के आधार पर, Android डिवाइसों पर सबसे नए सिक्योरिटी पैच लेवल का एलान किया जाता है. सुरक्षा से जुड़ी अतिरिक्त जोखिमों को, डिवाइस या पार्टनर के सुरक्षा बुलेटिन में दर्ज किया जाता है. हालांकि, सुरक्षा पैच लेवल का एलान करने के लिए, इन जोखिमों की जानकारी देना ज़रूरी नहीं है. Android डिवाइस और चिपसेट बनाने वाली कंपनियां, अपने प्रॉडक्ट से जुड़ी सुरक्षा से जुड़ी कमजोरियों की जानकारी भी पब्लिश कर सकती हैं. जैसे, Google, Huawei, LGE, Motorola, Nokia या Samsung.

वर्शन

वर्शन तारीख नोट
1.0 3 जनवरी, 2023 बुलेटिन पब्लिश किया गया
2.0 10 जनवरी, 2023 बदली गई सीवीई टेबल
2.1 1 फ़रवरी, 2023 बदली गई सीवीई टेबल