অ্যান্ড্রয়েড নিরাপত্তা বুলেটিন—আগস্ট 2024

অ্যান্ড্রয়েড সিকিউরিটি বুলেটিনে অ্যান্ড্রয়েড ডিভাইসগুলোকে প্রভাবিত করে এমন নিরাপত্তা দুর্বলতাগুলোর বিবরণ রয়েছে। ২০২৪-০৮-০৫ বা তার পরবর্তী সিকিউরিটি প্যাচ লেভেলগুলো এই সমস্ত সমস্যার সমাধান করে। কোনো ডিভাইসের সিকিউরিটি প্যাচ লেভেল কীভাবে পরীক্ষা করতে হয় তা জানতে, “আপনার অ্যান্ড্রয়েড সংস্করণ পরীক্ষা ও আপডেট করুন” দেখুন।

প্রকাশের অন্তত এক মাস আগে অ্যান্ড্রয়েড পার্টনারদের সমস্ত সমস্যা সম্পর্কে অবহিত করা হয়। এই সমস্যাগুলোর জন্য সোর্স কোড প্যাচ আগামী ৪৮ ঘণ্টার মধ্যে অ্যান্ড্রয়েড ওপেন সোর্স প্রজেক্ট (AOSP) রিপোজিটরিতে প্রকাশ করা হবে। AOSP লিঙ্কগুলো উপলব্ধ হলে আমরা এই বুলেটিনটি সংশোধন করে তা যুক্ত করব।

এই সমস্যাগুলোর মধ্যে সবচেয়ে গুরুতর হলো ফ্রেমওয়ার্ক কম্পোনেন্টের একটি উচ্চ-নিরাপত্তাজনিত দুর্বলতা, যার ফলে কোনো অতিরিক্ত এক্সিকিউশন প্রিভিলেজ ছাড়াই স্থানীয়ভাবে প্রিভিলেজ বৃদ্ধি ঘটতে পারে। এই দুর্বলতা কাজে লাগানোর ফলে একটি প্রভাবিত ডিভাইসে কী ধরনের সম্ভাব্য প্রভাব পড়তে পারে, তার উপর ভিত্তি করেই এর তীব্রতা নির্ধারণ করা হয় ; এক্ষেত্রে ধরে নেওয়া হয় যে ডেভেলপমেন্টের উদ্দেশ্যে প্ল্যাটফর্ম এবং সার্ভিসের প্রতিরোধমূলক ব্যবস্থাগুলো বন্ধ রাখা হয়েছে অথবা সফলভাবে বাইপাস করা হয়েছে।

অ্যান্ড্রয়েড প্ল্যাটফর্মের সুরক্ষা ব্যবস্থা এবং গুগল প্লে প্রোটেক্ট, যা অ্যান্ড্রয়েড প্ল্যাটফর্মের নিরাপত্তা উন্নত করে, সে সম্পর্কে বিস্তারিত জানতে অ্যান্ড্রয়েড এবং গুগল প্লে প্রোটেক্ট প্রশমন বিভাগটি দেখুন।

অ্যান্ড্রয়েড এবং গুগল পরিষেবা প্রশমন

এটি অ্যান্ড্রয়েড নিরাপত্তা প্ল্যাটফর্ম এবং গুগল প্লে প্রোটেক্ট- এর মতো পরিষেবা সুরক্ষা দ্বারা প্রদত্ত ঝুঁকি প্রশমনের একটি সারসংক্ষেপ। এই সক্ষমতাগুলো অ্যান্ড্রয়েডে নিরাপত্তা দুর্বলতা সফলভাবে কাজে লাগানোর সম্ভাবনা হ্রাস করে।

• অ্যান্ড্রয়েড প্ল্যাটফর্মের নতুন সংস্করণগুলিতে করা উন্নতির ফলে অ্যান্ড্রয়েডের অনেক সমস্যার অপব্যবহার করা আরও কঠিন হয়ে পড়েছে। আমরা সকল ব্যবহারকারীকে, যেখানে সম্ভব, অ্যান্ড্রয়েডের সর্বশেষ সংস্করণে আপডেট করার জন্য উৎসাহিত করি।
• অ্যান্ড্রয়েড নিরাপত্তা দল গুগল প্লে প্রোটেক্ট-এর মাধ্যমে অপব্যবহারের উপর সক্রিয়ভাবে নজর রাখে এবং সম্ভাব্য ক্ষতিকারক অ্যাপ্লিকেশন (Potentially Harmful Applications) সম্পর্কে ব্যবহারকারীদের সতর্ক করে। গুগল মোবাইল সার্ভিসেস (Google Mobile Services) থাকা ডিভাইসগুলিতে গুগল প্লে প্রোটেক্ট ডিফল্টরূপে সক্রিয় থাকে এবং যারা গুগল প্লে-এর বাইরে থেকে অ্যাপ ইনস্টল করেন, তাদের জন্য এটি বিশেষভাবে গুরুত্বপূর্ণ।

২০২৪-০৮-০১ নিরাপত্তা প্যাচ স্তরের দুর্বলতার বিবরণ

নিচের বিভাগগুলিতে, আমরা 2024-08-01 প্যাচ লেভেলের জন্য প্রযোজ্য প্রতিটি নিরাপত্তা দুর্বলতার বিবরণ প্রদান করেছি। দুর্বলতাগুলিকে তাদের দ্বারা প্রভাবিত উপাদানের অধীনে গোষ্ঠীভুক্ত করা হয়েছে। সমস্যাগুলি নীচের সারণীগুলিতে বর্ণনা করা হয়েছে এবং এতে CVE ID, সংশ্লিষ্ট রেফারেন্স, দুর্বলতার ধরণ , তীব্রতা এবং আপডেট করা AOSP সংস্করণ (যেখানে প্রযোজ্য) অন্তর্ভুক্ত রয়েছে। যখন উপলব্ধ থাকে, আমরা AOSP পরিবর্তন তালিকার মতো বাগ আইডির সাথে সমস্যাটির সমাধানকারী পাবলিক পরিবর্তনটি লিঙ্ক করি। যখন একাধিক পরিবর্তন একটি একক বাগের সাথে সম্পর্কিত হয়, তখন অতিরিক্ত রেফারেন্সগুলি বাগ আইডির পরের সংখ্যাগুলির সাথে লিঙ্ক করা হয়। Android 10 এবং তার পরবর্তী সংস্করণযুক্ত ডিভাইসগুলি নিরাপত্তা আপডেটের পাশাপাশি Google Play সিস্টেম আপডেটও পেতে পারে।

কাঠামো

এই অংশের সবচেয়ে গুরুতর দুর্বলতার ফলে কোনো অতিরিক্ত এক্সিকিউশন প্রিভিলেজ ছাড়াই স্থানীয়ভাবে প্রিভিলেজ বৃদ্ধি করা সম্ভব হতে পারে।

সিস্টেম

এই অংশের দুর্বলতার কারণে কোনো অতিরিক্ত নির্বাহ অনুমতির প্রয়োজন ছাড়াই দূরবর্তী তথ্য ফাঁস হতে পারে।

গুগল প্লে সিস্টেম আপডেট

এই মাসের গুগল প্লে সিস্টেম আপডেটে (প্রজেক্ট মেইনলাইন) কোনো নিরাপত্তাজনিত সমস্যার সমাধান করা হয়নি।

২০২৪-০৮-০৫ নিরাপত্তা প্যাচ স্তরের দুর্বলতার বিবরণ

নিচের বিভাগগুলিতে, আমরা 2024-08-05 প্যাচ লেভেলের জন্য প্রযোজ্য প্রতিটি নিরাপত্তা দুর্বলতার বিবরণ প্রদান করেছি। দুর্বলতাগুলিকে তাদের দ্বারা প্রভাবিত উপাদানের অধীনে গোষ্ঠীভুক্ত করা হয়েছে। সমস্যাগুলি নীচের সারণিগুলিতে বর্ণনা করা হয়েছে এবং এতে CVE ID, সংশ্লিষ্ট রেফারেন্স, দুর্বলতার ধরণ , তীব্রতা এবং আপডেট করা AOSP সংস্করণ (যেখানে প্রযোজ্য) অন্তর্ভুক্ত রয়েছে। যখন উপলব্ধ থাকে, আমরা AOSP পরিবর্তন তালিকার মতো বাগ আইডির সাথে সমস্যাটির সমাধানকারী পাবলিক পরিবর্তনটি লিঙ্ক করি। যখন একাধিক পরিবর্তন একটি একক বাগের সাথে সম্পর্কিত হয়, তখন অতিরিক্ত রেফারেন্সগুলি বাগ আইডির পরে থাকা সংখ্যাগুলির সাথে লিঙ্ক করা হয়।

কার্নেল

এই অংশের দুর্বলতার কারণে রিমোট কোড এক্সিকিউশন হতে পারে, যার জন্য সিস্টেম এক্সিকিউশন প্রিভিলেজ প্রয়োজন।

বাহুর উপাদান

এই দুর্বলতাগুলো Arm-এর উপাদানগুলোকে প্রভাবিত করে এবং এ বিষয়ে আরও বিস্তারিত তথ্য সরাসরি Arm-এর কাছ থেকে পাওয়া যাবে। এই সমস্যাগুলোর তীব্রতার মূল্যায়ন সরাসরি Arm কর্তৃক প্রদান করা হয়।

কল্পনা প্রযুক্তি

এই দুর্বলতাটি ইমাজিনেশন টেকনোলজিস-এর কম্পোনেন্টগুলোকে প্রভাবিত করে এবং এ বিষয়ে আরও বিস্তারিত তথ্য সরাসরি ইমাজিনেশন টেকনোলজিস-এর কাছ থেকে পাওয়া যাবে। এই সমস্যাটির তীব্রতার মূল্যায়ন সরাসরি ইমাজিনেশন টেকনোলজিস দ্বারা প্রদান করা হয়।

মিডিয়াটেক উপাদান

এই দুর্বলতাটি মিডিয়াটেকের উপাদানসমূহকে প্রভাবিত করে এবং এ বিষয়ে আরও বিস্তারিত তথ্য সরাসরি মিডিয়াটেক থেকে পাওয়া যাবে। এই সমস্যাটির তীব্রতার মূল্যায়ন সরাসরি মিডিয়াটেক কর্তৃক প্রদান করা হয়।

কোয়ালকম উপাদান

এই দুর্বলতাগুলো কোয়ালকমের উপাদানসমূহকে প্রভাবিত করে এবং এগুলোর আরও বিশদ বিবরণ উপযুক্ত কোয়ালকম নিরাপত্তা বুলেটিন বা নিরাপত্তা সতর্কবার্তায় দেওয়া আছে। এই সমস্যাগুলোর তীব্রতার মূল্যায়ন সরাসরি কোয়ালকম কর্তৃক প্রদান করা হয়।

কোয়ালকম ক্লোজড-সোর্স উপাদান

এই দুর্বলতাগুলো কোয়ালকমের ক্লোজড-সোর্স উপাদানগুলোকে প্রভাবিত করে এবং এগুলোর আরও বিশদ বিবরণ উপযুক্ত কোয়ালকম নিরাপত্তা বুলেটিন বা নিরাপত্তা সতর্কবার্তায় দেওয়া থাকে। এই সমস্যাগুলোর তীব্রতার মূল্যায়ন সরাসরি কোয়ালকম কর্তৃক প্রদান করা হয়।

সাধারণ প্রশ্ন ও উত্তর

এই বুলেটিনটি পড়ার পর মনে আসতে পারে এমন সাধারণ প্রশ্নগুলোর উত্তর এই বিভাগে দেওয়া হয়েছে।

১. এই সমস্যাগুলো সমাধানের জন্য আমার ডিভাইসটি আপডেট করা হয়েছে কিনা, তা আমি কীভাবে বুঝব?

ডিভাইসের সিকিউরিটি প্যাচ লেভেল কীভাবে চেক করতে হয় তা জানতে, ‘আপনার অ্যান্ড্রয়েড ভার্সন চেক ও আপডেট করুন’ দেখুন।

• ২০২৪-০৮-০১ বা তার পরবর্তী নিরাপত্তা প্যাচ লেভেলগুলো ২০২৪-০৮-০১ নিরাপত্তা প্যাচ লেভেলের সাথে সম্পর্কিত সমস্ত সমস্যার সমাধান করে।
• ২০২৪-০৮-০৫ বা তার পরবর্তী নিরাপত্তা প্যাচ লেভেলগুলো ঐ নির্দিষ্ট প্যাচ লেভেল এবং এর পূর্ববর্তী সকল প্যাচ লেভেলের সাথে সম্পর্কিত সমস্ত সমস্যার সমাধান করে।

যেসব ডিভাইস প্রস্তুতকারক এই আপডেটগুলি অন্তর্ভুক্ত করে, তাদের প্যাচ স্ট্রিং লেভেলটি নিম্নরূপে সেট করা উচিত:

• [ro.build.version.security_patch]:[2024-08-01]
• [ro.build.version.security_patch]:[2024-08-05]

অ্যান্ড্রয়েড ১০ বা তার পরবর্তী সংস্করণের কিছু ডিভাইসের ক্ষেত্রে, গুগল প্লে সিস্টেম আপডেটে একটি ডেট স্ট্রিং থাকবে যা ২০২৪-০৮-০১ সিকিউরিটি প্যাচ লেভেলের সাথে মিলে যায়। সিকিউরিটি আপডেট কীভাবে ইনস্টল করতে হয় সে সম্পর্কে আরও বিস্তারিত জানতে অনুগ্রহ করে এই আর্টিকেলটি দেখুন।

২. এই বুলেটিনটিতে কেন দুটি নিরাপত্তা প্যাচ লেভেল রয়েছে?

এই বুলেটিনে দুটি নিরাপত্তা প্যাচ লেভেল রয়েছে, যাতে অ্যান্ড্রয়েড পার্টনাররা সমস্ত অ্যান্ড্রয়েড ডিভাইসে একই রকম কিছু দুর্বলতা আরও দ্রুত সমাধান করার সুবিধা পান। অ্যান্ড্রয়েড পার্টনারদের এই বুলেটিনের সমস্ত সমস্যা সমাধান করতে এবং সর্বশেষ নিরাপত্তা প্যাচ লেভেল ব্যবহার করতে উৎসাহিত করা হচ্ছে।

• যেসব ডিভাইস ২০২৪-০৮-০১ নিরাপত্তা প্যাচ লেভেল ব্যবহার করে, সেগুলোতে অবশ্যই সেই নিরাপত্তা প্যাচ লেভেলের সাথে সম্পর্কিত সমস্ত সমস্যার পাশাপাশি পূর্ববর্তী নিরাপত্তা বুলেটিনগুলোতে রিপোর্ট করা সমস্ত সমস্যার সমাধানও অন্তর্ভুক্ত থাকতে হবে।
• যেসব ডিভাইস ২০২৪-০৮-০৫ বা তার পরবর্তী নিরাপত্তা প্যাচ লেভেল ব্যবহার করে, সেগুলোতে এই (এবং পূর্ববর্তী) নিরাপত্তা বুলেটিনগুলোতে থাকা সমস্ত প্রযোজ্য প্যাচ অবশ্যই অন্তর্ভুক্ত করতে হবে।

অংশীদারদেরকে তাদের সমাধানাধীন সকল সমস্যার সমাধান একটিমাত্র আপডেটে অন্তর্ভুক্ত করতে উৎসাহিত করা হচ্ছে।

৩. 'Type' কলামের এন্ট্রিগুলোর অর্থ কী?

দুর্বলতার বিবরণ সারণির 'টাইপ' কলামের এন্ট্রিগুলো নিরাপত্তা দুর্বলতার শ্রেণিবিভাগকে নির্দেশ করে।

৪. রেফারেন্স কলামের এন্ট্রিগুলোর অর্থ কী?

দুর্বলতার বিবরণ সারণীর 'রেফারেন্স' কলামের অন্তর্ভুক্ত এন্ট্রিগুলিতে একটি প্রিফিক্স থাকতে পারে, যা রেফারেন্স মানটি কোন সংস্থার অন্তর্গত তা শনাক্ত করে।

৫. রেফারেন্স কলামে অ্যান্ড্রয়েড বাগ আইডির পাশে থাকা * চিহ্নটির অর্থ কী?

যে সমস্যাগুলো সর্বজনীনভাবে উপলব্ধ নয়, সেগুলোর সংশ্লিষ্ট রেফারেন্স আইডির পাশে একটি * চিহ্ন থাকে। সেই সমস্যার আপডেটটি সাধারণত গুগল ডেভেলপার সাইট থেকে পাওয়া পিক্সেল ডিভাইসগুলোর জন্য সর্বশেষ বাইনারি ড্রাইভারের মধ্যে অন্তর্ভুক্ত থাকে।

৬. নিরাপত্তা দুর্বলতাগুলো কেন এই বুলেটিন এবং ডিভাইস / পার্টনার নিরাপত্তা বুলেটিন, যেমন পিক্সেল বুলেটিনের মধ্যে বিভক্ত করা হয়েছে?

এই নিরাপত্তা বুলেটিনে নথিভুক্ত নিরাপত্তা দুর্বলতাগুলোর জন্য অ্যান্ড্রয়েড ডিভাইসে সর্বশেষ নিরাপত্তা প্যাচ লেভেল ঘোষণা করা আবশ্যক। ডিভাইস / পার্টনার নিরাপত্তা বুলেটিনে নথিভুক্ত অতিরিক্ত নিরাপত্তা দুর্বলতাগুলোর জন্য নিরাপত্তা প্যাচ লেভেল ঘোষণা করার প্রয়োজন নেই। অ্যান্ড্রয়েড ডিভাইস এবং চিপসেট প্রস্তুতকারক, যেমন গুগল , হুয়াওয়ে , এলজিই , মটোরোলা , নোকিয়া বা স্যামসাং , তাদের নিজস্ব পণ্যের জন্য নির্দিষ্ট নিরাপত্তা দুর্বলতার বিবরণও প্রকাশ করতে পারে।

সংস্করণ