بولتن امنیتی اندروید - دسامبر ۲۰۲۵

منتشر شده در ۱ دسامبر ۲۰۲۵

این بولتن امنیتی اندروید حاوی جزئیاتی از آسیب‌پذیری‌های امنیتی است که دستگاه‌های اندروید را تحت تأثیر قرار می‌دهند. سطوح وصله امنیتی 2025-12-05 یا بالاتر، همه این مشکلات را برطرف می‌کنند. برای یادگیری نحوه بررسی سطح وصله امنیتی دستگاه، به بخش «بررسی و به‌روزرسانی نسخه اندروید» مراجعه کنید.

ظرف ۴۸ ساعت پس از انتشار اولیه این بولتن، ما وصله‌های کد منبع مربوطه را در مخزن پروژه متن‌باز اندروید (AOSP) منتشر خواهیم کرد. سپس این بولتن را با لینک‌های AOSP اصلاح خواهیم کرد.

شدیدترین این مشکلات، یک آسیب‌پذیری امنیتی بحرانی در مؤلفه‌ی Framework است که می‌تواند منجر به انکار سرویس از راه دور بدون نیاز به امتیازات اجرایی اضافی شود. ارزیابی شدت بر اساس تأثیری است که سوءاستفاده از این آسیب‌پذیری می‌تواند بر روی دستگاه آسیب‌دیده داشته باشد، با فرض اینکه اقدامات کاهش آسیب‌پذیری پلتفرم و سرویس برای اهداف توسعه غیرفعال شده باشند یا با موفقیت دور زده شوند.

برای جزئیات بیشتر در مورد محافظت‌های پلتفرم امنیتی اندروید و Google Play Protect که امنیت پلتفرم اندروید را بهبود می‌بخشند، به بخش راهکارهای کاهش خطرات اندروید و Google Play Protect مراجعه کنید.

ما حداقل یک ماه قبل از انتشار بولتن، شرکای اندرویدی خود را از تمام مشکلات مطلع می‌کنیم.

راهکارهای کاهش خطرات اندروید و سرویس‌های گوگل

این خلاصه‌ای از راهکارهای کاهش خطرات ارائه شده توسط پلتفرم امنیتی اندروید و سرویس‌های محافظتی مانند Google Play Protect است. این قابلیت‌ها احتمال سوءاستفاده موفقیت‌آمیز از آسیب‌پذیری‌های امنیتی در اندروید را کاهش می‌دهند.

• سوءاستفاده از بسیاری از مشکلات در اندروید با پیشرفت‌های نسخه‌های جدیدتر پلتفرم اندروید دشوارتر شده است. ما به همه کاربران توصیه می‌کنیم در صورت امکان، آخرین نسخه اندروید را به‌روزرسانی کنند.
• تیم امنیتی اندروید به طور فعال از طریق Google Play Protect سوءاستفاده‌ها را رصد می‌کند و به کاربران در مورد برنامه‌های بالقوه مضر هشدار می‌دهد. Google Play Protect به طور پیش‌فرض در دستگاه‌هایی با سرویس‌های موبایل گوگل فعال است و به ویژه برای کاربرانی که برنامه‌ها را از خارج از Google Play نصب می‌کنند، بسیار مهم است.

جزئیات آسیب‌پذیری سطح وصله امنیتی 2025-12-01

در بخش‌های زیر، جزئیات مربوط به هر یک از آسیب‌پذیری‌های امنیتی که در سطح وصله 2025-12-01 اعمال می‌شوند را ارائه می‌دهیم. آسیب‌پذیری‌ها بر اساس مؤلفه‌ای که تحت تأثیر قرار می‌دهند، گروه‌بندی شده‌اند. مشکلات در جداول زیر شرح داده شده‌اند و شامل شناسه CVE، منابع مرتبط، نوع آسیب‌پذیری ، شدت و نسخه‌های به‌روزرسانی‌شده AOSP (در صورت وجود) می‌شوند. در صورت وجود، تغییر عمومی که مشکل را برطرف کرده است، مانند فهرست تغییرات AOSP، به شناسه اشکال پیوند می‌دهیم. هنگامی که چندین تغییر مربوط به یک اشکال واحد باشد، منابع اضافی به اعداد بعد از شناسه اشکال پیوند داده می‌شوند. دستگاه‌های دارای اندروید 10 و بالاتر ممکن است به‌روزرسانی‌های امنیتی و همچنین به‌روزرسانی‌های سیستم Google Play را دریافت کنند.

چارچوب

شدیدترین آسیب‌پذیری در این بخش می‌تواند منجر به انکار سرویس از راه دور بدون نیاز به امتیازات اجرایی اضافی شود.

سیستم

شدیدترین آسیب‌پذیری در این بخش می‌تواند منجر به افزایش سطح دسترسی محلی و راه‌اندازی فعالیت‌های پس‌زمینه بدون نیاز به مجوزهای اجرایی اضافی شود.

به‌روزرسانی‌های سیستم گوگل پلی

هیچ مشکل امنیتی در به‌روزرسانی‌های سیستم گوگل پلی (پروژه اصلی) در این ماه برطرف نشده است.

جزئیات آسیب‌پذیری سطح وصله امنیتی 2025-12-05

در بخش‌های زیر، جزئیات مربوط به هر یک از آسیب‌پذیری‌های امنیتی که در سطح وصله 2025-12-05 اعمال می‌شوند را ارائه می‌دهیم. آسیب‌پذیری‌ها بر اساس مؤلفه‌ای که تحت تأثیر قرار می‌دهند، گروه‌بندی شده‌اند. مشکلات در جداول زیر شرح داده شده‌اند و شامل شناسه CVE، ارجاعات مرتبط، نوع آسیب‌پذیری ، شدت و نسخه‌های به‌روزرسانی‌شده AOSP (در صورت وجود) می‌شوند. در صورت وجود، تغییر عمومی که به مشکل پرداخته است را به شناسه اشکال، مانند فهرست تغییرات AOSP، پیوند می‌دهیم. هنگامی که چندین تغییر مربوط به یک اشکال واحد باشد، ارجاعات اضافی به اعداد بعد از شناسه اشکال پیوند داده می‌شوند.

هسته

شدیدترین آسیب‌پذیری در این بخش می‌تواند منجر به افزایش سطح دسترسی محلی بدون نیاز به مجوزهای اجرایی اضافی شود.

کرنل LTS

نسخه‌های کرنل زیر به‌روزرسانی شده‌اند. به‌روزرسانی‌های نسخه کرنل به نسخه سیستم عامل اندروید در زمان عرضه دستگاه بستگی دارد.

اجزای بازو

این آسیب‌پذیری‌ها بر اجزای Arm تأثیر می‌گذارند و جزئیات بیشتر مستقیماً از Arm در دسترس است. ارزیابی شدت این مشکلات مستقیماً توسط Arm ارائه می‌شود.

فناوری‌های تخیل

این آسیب‌پذیری‌ها بر اجزای Imagination Technologies تأثیر می‌گذارند و جزئیات بیشتر مستقیماً از Imagination Technologies در دسترس است. ارزیابی شدت این مشکلات مستقیماً توسط Imagination Technologies ارائه می‌شود.

اجزای مدیاتک

این آسیب‌پذیری‌ها بر اجزای مدیاتک تأثیر می‌گذارند و جزئیات بیشتر مستقیماً از مدیاتک در دسترس است. ارزیابی شدت این مشکلات مستقیماً توسط مدیاتک ارائه می‌شود.

اجزای یونی‌سوک

این آسیب‌پذیری‌ها بر اجزای Unisoc تأثیر می‌گذارند و جزئیات بیشتر مستقیماً از Unisoc در دسترس است. ارزیابی شدت این مشکلات مستقیماً توسط Unisoc ارائه می‌شود.

اجزای کوالکام

این آسیب‌پذیری‌ها بر اجزای کوالکام تأثیر می‌گذارند و با جزئیات بیشتر در بولتن امنیتی یا هشدار امنیتی کوالکام شرح داده شده‌اند. ارزیابی شدت این مشکلات مستقیماً توسط کوالکام ارائه می‌شود.

اجزای متن‌باز کوالکام

این آسیب‌پذیری‌ها بر اجزای متن‌باز کوالکام تأثیر می‌گذارند و با جزئیات بیشتر در بولتن امنیتی یا هشدار امنیتی کوالکام شرح داده شده‌اند. ارزیابی شدت این مشکلات مستقیماً توسط کوالکام ارائه می‌شود.

سوالات و پاسخ‌های رایج

این بخش به سوالات متداولی که ممکن است پس از خواندن این بولتن برای شما پیش بیاید، پاسخ می‌دهد.

۱. چگونه می‌توانم تشخیص دهم که آیا دستگاه من برای رفع این مشکلات به‌روزرسانی شده است یا خیر؟

برای آشنایی با نحوه بررسی سطح وصله امنیتی دستگاه، به بخش «بررسی و به‌روزرسانی نسخه اندروید» مراجعه کنید.

• وصله‌های امنیتی سطح 2025-12-01 یا بالاتر، تمام مشکلات مرتبط با سطح وصله امنیتی 2025-12-01 را برطرف می‌کنند.
• وصله‌های امنیتی سطح 2025-12-05 یا بالاتر، تمام مشکلات مرتبط با وصله امنیتی سطح 2025-12-05 و تمام وصله‌های قبلی را برطرف می‌کنند.

تولیدکنندگان دستگاه‌هایی که این به‌روزرسانی‌ها را ارائه می‌دهند، باید سطح رشته پچ را روی موارد زیر تنظیم کنند:

• [ro.build.version.security_patch]:[2025-12-01]
• [ro.build.version.security_patch]:[2025-12-05]

برای برخی از دستگاه‌های دارای اندروید ۱۰ یا بالاتر، به‌روزرسانی سیستم گوگل پلی دارای رشته تاریخی است که با سطح وصله امنیتی ۲۰۲۵-۱۲-۰۱ مطابقت دارد. لطفاً برای جزئیات بیشتر در مورد نحوه نصب به‌روزرسانی‌های امنیتی به این مقاله مراجعه کنید.

۲. چرا این بولتن دو سطح وصله امنیتی دارد؟

این بولتن دارای دو سطح وصله امنیتی است تا شرکای اندروید انعطاف‌پذیری لازم را برای رفع سریع‌تر زیرمجموعه‌ای از آسیب‌پذیری‌هایی که در تمام دستگاه‌های اندروید مشابه هستند، داشته باشند. از شرکای اندروید درخواست می‌شود که تمام مشکلات موجود در این بولتن را برطرف کرده و از آخرین سطح وصله امنیتی استفاده کنند.

• دستگاه‌هایی که از سطح وصله امنیتی 2025-12-01 استفاده می‌کنند، باید تمام مشکلات مرتبط با آن سطح وصله امنیتی و همچنین رفع مشکلات گزارش شده در بولتن‌های امنیتی قبلی را شامل شوند.
• دستگاه‌هایی که از سطح وصله امنیتی 2025-12-05 یا جدیدتر استفاده می‌کنند، باید تمام وصله‌های مربوطه در این بولتن امنیتی (و بولتن‌های امنیتی قبلی) را شامل شوند.

به شرکا توصیه می‌شود که اصلاحات مربوط به همه مشکلاتی که به آنها می‌پردازند را در یک به‌روزرسانی واحد ارائه دهند.

۳. منظور از ورودی‌های ستون Type چیست؟

ورودی‌های ستون نوع جدول جزئیات آسیب‌پذیری، طبقه‌بندی آسیب‌پذیری امنیتی را نشان می‌دهند.

۴. منظور از ورودی‌های ستون منابع چیست؟

ورودی‌های زیر ستون References در جدول جزئیات آسیب‌پذیری ممکن است حاوی پیشوندی باشند که سازمانی را که مقدار مرجع به آن تعلق دارد، مشخص می‌کند.

۵. علامت * در کنار شناسه اشکال اندروید در ستون منابع به چه معناست؟

مشکلاتی که به صورت عمومی در دسترس نیستند، علامت * در کنار شناسه مرجع مربوطه دارند. به‌روزرسانی مربوط به آن مشکل معمولاً در جدیدترین درایورهای باینری برای دستگاه‌های پیکسل موجود در سایت توسعه‌دهندگان گوگل موجود است.

۶. چرا آسیب‌پذیری‌های امنیتی بین این بولتن و بولتن‌های امنیتی دستگاه/شریک، مانند بولتن پیکسل، تقسیم شده‌اند؟

آسیب‌پذیری‌های امنیتی که در این بولتن امنیتی مستند شده‌اند، برای اعلام آخرین سطح وصله امنیتی در دستگاه‌های اندروید الزامی هستند. آسیب‌پذیری‌های امنیتی اضافی که در بولتن‌های امنیتی دستگاه/شریک مستند شده‌اند، برای اعلام سطح وصله امنیتی الزامی نیستند. تولیدکنندگان دستگاه‌ها و چیپست‌های اندروید نیز ممکن است جزئیات آسیب‌پذیری امنیتی خاص محصولات خود، مانند گوگل ، هواوی ، ال‌جی ، موتورولا ، نوکیا یا سامسونگ را منتشر کنند.

نسخه‌ها