بولتن امنیتی اندروید - نوامبر ۲۰۲۵

این بولتن امنیتی اندروید حاوی جزئیاتی از آسیب‌پذیری‌های امنیتی است که دستگاه‌های اندروید را تحت تأثیر قرار می‌دهند. سطوح وصله امنیتی 2025-11-01 یا بالاتر، همه این مشکلات را برطرف می‌کنند. برای یادگیری نحوه بررسی سطح وصله امنیتی دستگاه، به بخش «بررسی و به‌روزرسانی نسخه اندروید» مراجعه کنید.

ظرف ۴۸ ساعت پس از انتشار اولیه این بولتن، ما وصله‌های کد منبع مربوطه را در مخزن پروژه متن‌باز اندروید (AOSP) منتشر خواهیم کرد. سپس این بولتن را با لینک‌های AOSP اصلاح خواهیم کرد.

شدیدترین این مشکلات، یک آسیب‌پذیری امنیتی بحرانی در مؤلفه سیستم است که می‌تواند منجر به اجرای کد از راه دور بدون نیاز به امتیازات اجرایی اضافی شود. برای بهره‌برداری نیازی به تعامل با کاربر نیست. ارزیابی شدت بر اساس تأثیری است که بهره‌برداری از این آسیب‌پذیری ممکن است بر روی دستگاه آسیب‌دیده داشته باشد، با فرض اینکه اقدامات کاهش‌دهنده آسیب‌پذیری پلتفرم و سرویس برای اهداف توسعه غیرفعال شده باشند یا با موفقیت دور زده شوند.

برای جزئیات بیشتر در مورد محافظت‌های پلتفرم امنیتی اندروید و Google Play Protect که امنیت پلتفرم اندروید را بهبود می‌بخشند، به بخش راهکارهای کاهش خطرات اندروید و Google Play Protect مراجعه کنید.

ما حداقل یک ماه قبل از انتشار بولتن، شرکای اندرویدی خود را از تمام مشکلات مطلع می‌کنیم.

راهکارهای کاهش خطرات اندروید و سرویس‌های گوگل

این خلاصه‌ای از راهکارهای کاهش خطرات ارائه شده توسط پلتفرم امنیتی اندروید و سرویس‌های محافظتی مانند Google Play Protect است. این قابلیت‌ها احتمال سوءاستفاده موفقیت‌آمیز از آسیب‌پذیری‌های امنیتی در اندروید را کاهش می‌دهند.

• سوءاستفاده از بسیاری از مشکلات در اندروید با پیشرفت‌های نسخه‌های جدیدتر پلتفرم اندروید دشوارتر شده است. ما به همه کاربران توصیه می‌کنیم در صورت امکان، آخرین نسخه اندروید را به‌روزرسانی کنند.
• تیم امنیتی اندروید به طور فعال از طریق Google Play Protect سوءاستفاده‌ها را رصد می‌کند و به کاربران در مورد برنامه‌های بالقوه مضر هشدار می‌دهد. Google Play Protect به طور پیش‌فرض در دستگاه‌هایی با سرویس‌های موبایل گوگل فعال است و به ویژه برای کاربرانی که برنامه‌ها را از خارج از Google Play نصب می‌کنند، بسیار مهم است.

جزئیات آسیب‌پذیری سطح وصله امنیتی ۲۰۲۵-۱۱-۰۱

در بخش‌های زیر، جزئیات مربوط به هر یک از آسیب‌پذیری‌های امنیتی که در سطح وصله 2025-11-01 اعمال می‌شوند را ارائه می‌دهیم. آسیب‌پذیری‌ها بر اساس مؤلفه‌ای که تحت تأثیر قرار می‌دهند، گروه‌بندی شده‌اند. مشکلات در جداول زیر شرح داده شده‌اند و شامل شناسه CVE، منابع مرتبط، نوع آسیب‌پذیری ، شدت و نسخه‌های به‌روزرسانی‌شده AOSP (در صورت وجود) می‌شوند. در صورت وجود، تغییر عمومی که به مشکل پرداخته است را به شناسه اشکال، مانند فهرست تغییرات AOSP، پیوند می‌دهیم. هنگامی که چندین تغییر مربوط به یک اشکال واحد باشد، ارجاعات اضافی به اعداد بعد از شناسه اشکال پیوند داده می‌شوند. دستگاه‌های دارای اندروید 10 و بالاتر ممکن است به‌روزرسانی‌های امنیتی و همچنین به‌روزرسانی‌های سیستم Google Play را دریافت کنند.

سیستم

شدیدترین آسیب‌پذیری در این بخش می‌تواند منجر به اجرای کد از راه دور بدون نیاز به امتیازات اجرایی اضافی شود. برای بهره‌برداری نیازی به تعامل با کاربر نیست.

به‌روزرسانی‌های سیستم گوگل پلی

هیچ مشکل امنیتی در به‌روزرسانی‌های سیستم گوگل پلی (پروژه اصلی) در این ماه برطرف نشده است.

سوالات و پاسخ‌های رایج

این بخش به سوالات متداولی که ممکن است پس از خواندن این بولتن برای شما پیش بیاید، پاسخ می‌دهد.

۱. چگونه می‌توانم تشخیص دهم که آیا دستگاه من برای رفع این مشکلات به‌روزرسانی شده است یا خیر؟

برای آشنایی با نحوه بررسی سطح وصله امنیتی دستگاه، به بخش «بررسی و به‌روزرسانی نسخه اندروید» مراجعه کنید.

• وصله‌های امنیتی سطح 2025-11-01 یا بالاتر، تمام مشکلات مرتبط با سطح وصله امنیتی 2025-11-01 را برطرف می‌کنند.

تولیدکنندگان دستگاه‌هایی که این به‌روزرسانی‌ها را ارائه می‌دهند، باید سطح رشته پچ را روی موارد زیر تنظیم کنند:

• [ro.build.version.security_patch]:[2025-11-01]

برای برخی از دستگاه‌های دارای اندروید ۱۰ یا بالاتر، به‌روزرسانی سیستم گوگل پلی دارای رشته تاریخی است که با سطح وصله امنیتی ۲۰۲۵-۱۱-۰۱ مطابقت دارد. لطفاً برای جزئیات بیشتر در مورد نحوه نصب به‌روزرسانی‌های امنیتی به این مقاله مراجعه کنید.

۲. چرا این بولتن دو سطح وصله امنیتی دارد؟

این بولتن دارای دو سطح وصله امنیتی است تا شرکای اندروید انعطاف‌پذیری لازم را برای رفع سریع‌تر زیرمجموعه‌ای از آسیب‌پذیری‌هایی که در تمام دستگاه‌های اندروید مشابه هستند، داشته باشند. از شرکای اندروید درخواست می‌شود که تمام مشکلات موجود در این بولتن را برطرف کرده و از آخرین سطح وصله امنیتی استفاده کنند.

• دستگاه‌هایی که از سطح وصله امنیتی 2025-11-01 استفاده می‌کنند، باید تمام مشکلات مرتبط با آن سطح وصله امنیتی و همچنین رفع مشکلات گزارش شده در بولتن‌های امنیتی قبلی را شامل شوند.

به شرکا توصیه می‌شود که اصلاحات مربوط به همه مشکلاتی که به آنها می‌پردازند را در یک به‌روزرسانی واحد ارائه دهند.

۳. منظور از ورودی‌های ستون Type چیست؟

ورودی‌های ستون نوع جدول جزئیات آسیب‌پذیری، طبقه‌بندی آسیب‌پذیری امنیتی را نشان می‌دهند.

۴. منظور از ورودی‌های ستون منابع چیست؟

ورودی‌های زیر ستون References در جدول جزئیات آسیب‌پذیری ممکن است حاوی پیشوندی باشند که سازمانی را که مقدار مرجع به آن تعلق دارد، مشخص می‌کند.

۵. علامت * در کنار شناسه اشکال اندروید در ستون منابع به چه معناست؟

مشکلاتی که به صورت عمومی در دسترس نیستند، علامت * در کنار شناسه مرجع مربوطه دارند. به‌روزرسانی مربوط به آن مشکل معمولاً در جدیدترین درایورهای باینری برای دستگاه‌های پیکسل موجود در سایت توسعه‌دهندگان گوگل موجود است.

۶. چرا آسیب‌پذیری‌های امنیتی بین این بولتن و بولتن‌های امنیتی دستگاه/شریک، مانند بولتن پیکسل، تقسیم شده‌اند؟

آسیب‌پذیری‌های امنیتی که در این بولتن امنیتی مستند شده‌اند، برای اعلام آخرین سطح وصله امنیتی در دستگاه‌های اندروید الزامی هستند. آسیب‌پذیری‌های امنیتی اضافی که در بولتن‌های امنیتی دستگاه/شریک مستند شده‌اند، برای اعلام سطح وصله امنیتی الزامی نیستند. تولیدکنندگان دستگاه‌ها و چیپست‌های اندروید نیز ممکن است جزئیات آسیب‌پذیری امنیتی خاص محصولات خود، مانند گوگل ، هواوی ، ال‌جی ، موتورولا ، نوکیا یا سامسونگ ، را منتشر کنند.

نسخه‌ها