Android सुरक्षा बुलेटिन—मार्च 2023

Android सुरक्षा बुलेटिन में Android उपकरणों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण होता है। 2023-03-05 या उसके बाद के सुरक्षा पैच स्तर इन सभी मुद्दों को संबोधित करते हैं। डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपने Android संस्करण की जांच करें और अपडेट करें देखें।

प्रकाशन से कम से कम एक महीने पहले Android भागीदारों को सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए सोर्स कोड पैच Android ओपन सोर्स प्रोजेक्ट (AOSP) रिपॉजिटरी में जारी किए गए हैं और इस बुलेटिन से लिंक किए गए हैं। इस बुलेटिन में AOSP के बाहर के पैच के लिंक भी शामिल हैं।

इन मुद्दों में सबसे गंभीर सिस्टम घटक में एक महत्वपूर्ण सुरक्षा भेद्यता है जो बिना किसी अतिरिक्त निष्पादन विशेषाधिकार के रिमोट कोड निष्पादन का कारण बन सकता है। शोषण के लिए उपयोगकर्ता सहभागिता की आवश्यकता नहीं है। गंभीरता का मूल्यांकन इस प्रभाव पर आधारित है कि भेद्यता का शोषण संभवत: एक प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफॉर्म और सर्विस मिटिगेशन को विकास के उद्देश्यों के लिए बंद कर दिया गया है या सफलतापूर्वक बायपास कर दिया गया है।

Android सुरक्षा प्लेटफ़ॉर्म सुरक्षा और Google Play सुरक्षा पर विवरण के लिए Android और Google Play प्रोटेक्ट मिटिगेशन अनुभाग देखें, जो Android प्लेटफ़ॉर्म की सुरक्षा में सुधार करता है।

Android और Google सेवा शमन

यह Android सुरक्षा प्लेटफ़ॉर्म द्वारा प्रदान की जाने वाली कमियों और Google Play सुरक्षा जैसी सेवा सुरक्षाओं का सारांश है। ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा भेद्यताओं का सफलतापूर्वक दोहन किया जा सकता है।

• Android प्लेटफ़ॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा Android पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। जहां तक ​​संभव हो हम सभी उपयोगकर्ताओं को Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
• एंड्रॉइड सुरक्षा टीम सक्रिय रूप से Google Play प्रोटेक्ट के माध्यम से दुर्व्यवहार की निगरानी करती है और उपयोगकर्ताओं को संभावित रूप से हानिकारक एप्लिकेशन के बारे में चेतावनी देती है। Google Play सुरक्षा Google मोबाइल सेवाओं वाले उपकरणों पर डिफ़ॉल्ट रूप से सक्षम है, और विशेष रूप से उन उपयोगकर्ताओं के लिए महत्वपूर्ण है जो Google Play के बाहर से ऐप्स इंस्टॉल करते हैं।

2023-03-01 सुरक्षा पैच स्तर भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2023-03-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के तहत समूहीकृत किया जाता है। समस्याओं का वर्णन नीचे दी गई तालिका में किया गया है और इसमें सीवीई आईडी, संबंधित संदर्भ, भेद्यता का प्रकार , गंभीरता और अद्यतन एओएसपी संस्करण (जहां लागू हो) शामिल हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को लिंक करते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एकाधिक परिवर्तन एक ही बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्या से जुड़े होते हैं। Android 10 और उसके बाद वाले डिवाइस को सुरक्षा अपडेट के साथ-साथ Google Play सिस्टम अपडेट भी मिल सकते हैं।

रूपरेखा

इस खंड में सबसे गंभीर भेद्यता किसी ऐप को उच्च लक्ष्य एसडीके में अपडेट करने के बाद विशेषाधिकार की स्थानीय वृद्धि का कारण बन सकती है, जिसमें कोई अतिरिक्त निष्पादन विशेषाधिकार की आवश्यकता नहीं है। शोषण के लिए उपयोगकर्ता सहभागिता की आवश्यकता नहीं है।

प्रणाली

इस खंड में सबसे गंभीर भेद्यता किसी अतिरिक्त निष्पादन विशेषाधिकार की आवश्यकता के बिना रिमोट कोड निष्पादन का कारण बन सकती है। शोषण के लिए उपयोगकर्ता सहभागिता की आवश्यकता नहीं है।

Google Play सिस्टम अपडेट

प्रोजेक्ट मेनलाइन घटकों में निम्नलिखित मुद्दे शामिल हैं।

2023-03-05 सुरक्षा पैच स्तर भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2023-03-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के तहत समूहीकृत किया जाता है। समस्याओं का वर्णन नीचे दी गई तालिका में किया गया है और इसमें सीवीई आईडी, संबंधित संदर्भ, भेद्यता का प्रकार , गंभीरता और अद्यतन एओएसपी संस्करण (जहां लागू हो) शामिल हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को लिंक करते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एकाधिक परिवर्तन एक ही बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्या से जुड़े होते हैं।

गुठली

इस खंड में भेद्यता किसी अतिरिक्त निष्पादन विशेषाधिकार की आवश्यकता के बिना स्थानीय सूचना प्रकटीकरण का कारण बन सकती है। शोषण के लिए उपयोगकर्ता सहभागिता की आवश्यकता नहीं है।

मीडियाटेक घटक

ये भेद्यता मीडियाटेक घटकों को प्रभावित करती हैं और अधिक विवरण सीधे मीडियाटेक से उपलब्ध हैं। इन मुद्दों की गंभीरता का मूल्यांकन सीधे मीडियाटेक द्वारा प्रदान किया जाता है।

यूनिसोक घटक

ये भेद्यताएं यूनिसोक घटकों को प्रभावित करती हैं और अधिक विवरण सीधे यूनिसोक से उपलब्ध हैं। इन मुद्दों की गंभीरता का आकलन सीधे यूनिसोक द्वारा प्रदान किया जाता है।

क्वालकॉम घटक

ये भेद्यता क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में आगे विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का मूल्यांकन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

क्वालकॉम बंद-स्रोत घटक

ये भेद्यता क्वालकॉम के बंद-स्रोत घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में आगे विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का मूल्यांकन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सामान्य प्रश्न और उत्तर

इस खंड में उन सामान्य प्रश्नों के उत्तर दिए गए हैं जो इस बुलेटिन को पढ़ने के बाद आ सकते हैं।

1. मैं यह कैसे निर्धारित करूं कि इन समस्याओं को हल करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?

डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपने Android संस्करण की जांच करें और अपडेट करें देखें।

• 2023-03-01 या बाद के सुरक्षा पैच स्तर 2023-03-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों को संबोधित करते हैं।
• 2023-03-05 या बाद के सुरक्षा पैच स्तर 2023-03-05 सुरक्षा पैच स्तर और पिछले सभी पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।

डिवाइस निर्माता जिनमें ये अपडेट शामिल हैं, उन्हें पैच स्ट्रिंग लेवल को इस पर सेट करना चाहिए:

• [ro.build.version.security_patch]:[2023-03-01]
• [ro.build.version.security_patch]:[2023-03-05]

Android 10 या उसके बाद के कुछ उपकरणों के लिए, Google Play सिस्टम अपडेट में एक दिनांक स्ट्रिंग होगी जो 2023-03-01 सुरक्षा पैच स्तर से मेल खाती है। सुरक्षा अद्यतन स्थापित करने के तरीके के बारे में अधिक विवरण के लिए कृपया यह आलेख देखें।

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि Android भागीदारों के पास कमजोरियों के एक सबसेट को ठीक करने का लचीलापन हो जो सभी Android उपकरणों में समान हैं। Android भागीदारों को इस बुलेटिन की सभी समस्याओं को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

• 2023-03-01 सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में उस सुरक्षा पैच स्तर से जुड़े सभी मुद्दों के साथ-साथ पिछले सुरक्षा बुलेटिनों में रिपोर्ट किए गए सभी मुद्दों के समाधान शामिल होने चाहिए।
• 2023-03-05 या नए के सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में इस (और पिछले) सुरक्षा बुलेटिनों में सभी लागू पैच शामिल होने चाहिए।

भागीदारों को प्रोत्साहित किया जाता है कि वे एक ही अपडेट में उन सभी समस्याओं के समाधान को बंडल कर दें जिनका वे समाधान कर रहे हैं।

3. प्रकार कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के प्रकार कॉलम में प्रविष्टियाँ सुरक्षा भेद्यता के वर्गीकरण को संदर्भित करती हैं।

4. संदर्भ कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के संदर्भ कॉलम के अंतर्गत प्रविष्टियों में उस संगठन की पहचान करने वाला एक उपसर्ग हो सकता है जिससे संदर्भ मान संबंधित है।

5. संदर्भ स्तंभ में Android बग आईडी के आगे * का क्या अर्थ है?

जो मुद्दे सार्वजनिक रूप से उपलब्ध नहीं हैं, उनके पास संबंधित संदर्भ आईडी के आगे एक * होता है। उस समस्या के लिए अद्यतन आम तौर पर Google डेवलपर साइट से उपलब्ध पिक्सेल उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में निहित होता है।

6. इस बुलेटिन और डिवाइस/पार्टनर सुरक्षा बुलेटिन, जैसे कि पिक्सेल बुलेटिन, के बीच सुरक्षा भेद्यताएं क्यों बंटी हुई हैं?

इस सुरक्षा बुलेटिन में प्रलेखित सुरक्षा भेद्यताएं Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर की घोषणा करने के लिए आवश्यक हैं। सुरक्षा पैच स्तर घोषित करने के लिए अतिरिक्त सुरक्षा भेद्यताएं जो डिवाइस/पार्टनर सुरक्षा बुलेटिन में प्रलेखित हैं, की आवश्यकता नहीं है। एंड्रॉइड डिवाइस और चिपसेट निर्माता Google , Huawei , LGE , Motorola , Nokia , या Samsung जैसे अपने उत्पादों के लिए विशिष्ट सुरक्षा भेद्यता विवरण भी प्रकाशित कर सकते हैं।

संस्करणों