Android सुरक्षा बुलेटिन—मई 2021

3 मई 2021 को प्रकाशित | 4 मई, 2021 को अपडेट किया गया

Android सुरक्षा बुलेटिन में Android उपकरणों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण होता है। 2021-05-05 या बाद के सुरक्षा पैच स्तर इन सभी मुद्दों को संबोधित करते हैं। कैसे एक डिवाइस की सुरक्षा पैच के स्तर की जाँच, देखने के लिए जानने के लिए चेक करें और अपने Android संस्करण को अद्यतन ।

प्रकाशन से कम से कम एक महीने पहले Android भागीदारों को सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए स्रोत कोड पैच एंड्रॉइड ओपन सोर्स प्रोजेक्ट (एओएसपी) रिपोजिटरी में जारी किए गए हैं और इस बुलेटिन से जुड़े हुए हैं। इस बुलेटिन में एओएसपी के बाहर पैच के लिंक भी शामिल हैं।

इन मुद्दों में सबसे गंभीर सिस्टम घटक में एक महत्वपूर्ण सुरक्षा भेद्यता है जो एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकता है। गंभीरता आकलन प्रभाव है कि असुरक्षा का शोषण संभवतः, एक प्रभावित डिवाइस पर होता है यह सोचते हैं प्लेटफ़ॉर्म और सेवा mitigations विकास प्रयोजनों के लिए बंद कर दिया जाता है या यदि सफलतापूर्वक नजरअंदाज पर आधारित है।

का संदर्भ लें Android और Google Play सुरक्षित mitigations जानकारी के लिए खंड पर Android सुरक्षा मंच सुरक्षा और Google Play सुरक्षित है, जो Android मंच की सुरक्षा में सुधार।

Android और Google सेवा में कमी

यह द्वारा प्रदान की mitigations का सार है Android सुरक्षा मंच जैसे और सेवा सुरक्षा गूगल प्ले सुरक्षित । ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा कमजोरियों का सफलतापूर्वक शोषण किया जा सकता है।

• एंड्रॉइड प्लेटफॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा एंड्रॉइड पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
• एंड्रॉयड सुरक्षा टीम सक्रिय रूप से के माध्यम से दुरुपयोग के लिए पर नज़र रखता है गूगल सुरक्षित खेलते हैं और के बारे में उपयोगकर्ताओं को चेतावनी दी है संभावित हानिकारक एप्लिकेशन । Google Play सुरक्षित के साथ उपकरणों पर डिफ़ॉल्ट रूप से सक्षम Google मोबाइल सेवाओं , और उपयोगकर्ताओं को, जो Google Play के बाहर से एप्लिकेशन इंस्टॉल के लिए विशेष रूप से महत्वपूर्ण है।

2021-05-01 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2021-05-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। मुद्दे नीचे की तालिका में वर्णित है और CVE आईडी, जुड़े संदर्भ, शामिल कर रहे हैं जोखिम के प्रकार , गंभीरता , और अद्यतन AOSP संस्करणों (जहां लागू हो)। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं। एंड्रॉयड 10 और बाद के साथ उपकरण सुरक्षा अद्यतन के साथ ही प्राप्त हो सकता है गूगल प्ले सिस्टम अद्यतन ।

ढांचा

इस खंड में सबसे गंभीर भेद्यता स्थानीय दुर्भावनापूर्ण एप्लिकेशन को अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए उपयोगकर्ता इंटरैक्शन आवश्यकताओं को बायपास करने में सक्षम कर सकती है।

मीडिया फ्रेमवर्क

इस खंड में सबसे गंभीर भेद्यता स्थानीय दुर्भावनापूर्ण एप्लिकेशन को अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए उपयोगकर्ता इंटरैक्शन आवश्यकताओं को बायपास करने में सक्षम कर सकती है।

प्रणाली

इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।

Google Play सिस्टम अपडेट

इस महीने Google Play सिस्टम अपडेट (प्रोजेक्ट मेनलाइन) में कोई सुरक्षा समस्या नहीं है।

2021-05-05 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2021-05-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। मुद्दे नीचे की तालिका में वर्णित है और CVE आईडी, जुड़े संदर्भ, शामिल कर रहे हैं जोखिम के प्रकार , गंभीरता , और अद्यतन AOSP संस्करणों (जहां लागू हो)। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।

ढांचा

इस खंड में भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को ऑपरेटिंग सिस्टम सुरक्षा को बायपास करने में सक्षम कर सकती है जो अन्य एप्लिकेशन से एप्लिकेशन डेटा को अलग करती है।

कर्नेल घटक

इस खंड में भेद्यता एक स्थानीय हमलावर को अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए उपयोगकर्ता इंटरैक्शन आवश्यकताओं को बायपास करने में सक्षम कर सकती है।

एएमएलओजिक

यह भेद्यता AMLogic घटकों को प्रभावित करती है और अधिक विवरण सीधे AMLogic से उपलब्ध हैं। इस मुद्दे की गंभीरता का आकलन सीधे AMLogic द्वारा प्रदान किया जाता है।

एआरएम घटक

ये कमजोरियां एआरएम घटकों को प्रभावित करती हैं और आगे के विवरण सीधे एआरएम से उपलब्ध हैं। इन मुद्दों की गंभीरता का आकलन सीधे एआरएम द्वारा प्रदान किया जाता है।

मीडियाटेक घटक

ये कमजोरियां मीडियाटेक घटकों को प्रभावित करती हैं और आगे के विवरण सीधे मीडियाटेक से उपलब्ध हैं। इन मुद्दों की गंभीरता का आकलन सीधे मीडियाटेक द्वारा प्रदान किया जाता है।

यूनिसोक घटक

यह भेद्यता यूनिसोक घटकों को प्रभावित करती है और आगे के विवरण सीधे यूनिसोक से उपलब्ध हैं। इस मुद्दे की गंभीरता का आकलन सीधे यूनिसोक द्वारा प्रदान किया जाता है।

क्वालकॉम घटक

ये भेद्यताएं क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में और अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

क्वालकॉम बंद-स्रोत घटक

ये कमजोरियां क्वालकॉम के क्लोज्ड-सोर्स घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा अलर्ट में अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सामान्य प्रश्न और उत्तर

यह खंड उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि इन समस्याओं को दूर करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?

कैसे एक डिवाइस की सुरक्षा पैच के स्तर की जाँच, देखने के लिए जानने के लिए चेक करें और अपने Android संस्करण को अद्यतन ।

• 2021-05-01 या बाद के सुरक्षा पैच स्तर 2021-05-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों को संबोधित करते हैं।
• 2021-05-05 या बाद के सुरक्षा पैच स्तर 2021-05-05 सुरक्षा पैच स्तर और पिछले सभी पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।

इन अद्यतनों को शामिल करने वाले डिवाइस निर्माताओं को पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:

• [ro.build.version.security_patch]:[२०२१-०५-०१]
• [ro.build.version.security_patch]:[२०२१-०५-०५]

Android 10 या उसके बाद के कुछ उपकरणों के लिए, Google Play सिस्टम अपडेट में एक दिनांक स्ट्रिंग होगी जो 2021-05-01 सुरक्षा पैच स्तर से मेल खाती है। कृपया देखें यह लेख कैसे सुरक्षा अद्यतन स्थापित करने के लिए पर अधिक जानकारी के लिए।

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि Android भागीदारों के पास कमजोरियों के एक सबसेट को ठीक करने की सुविधा हो जो सभी Android उपकरणों में अधिक तेज़ी से समान हो। Android भागीदारों को इस बुलेटिन में सभी समस्याओं को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

• 2021-05-01 सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में उस सुरक्षा पैच स्तर से संबंधित सभी समस्याओं के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट की गई सभी समस्याओं के समाधान शामिल होने चाहिए।
• जो डिवाइस 2021-05-05 या इससे नए सुरक्षा पैच स्तर का उपयोग करते हैं, उनमें इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल होने चाहिए।

भागीदारों को उन सभी समस्याओं के समाधान को बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे एक ही अद्यतन में संबोधित कर रहे हैं।

3. क्या प्रकार स्तंभ मतलब में प्रविष्टियों करते हैं?

असुरक्षा की प्रकार स्तंभ में प्रविष्टियां विवरण तालिका संदर्भ सुरक्षा भेद्यता के वर्गीकरण।

4. संदर्भ स्तंभ मतलब में प्रविष्टियों करते हैं?

भेद्यता विवरण तालिका के संदर्भ स्तंभ के अंतर्गत प्रविष्टियां एक उपसर्ग संगठन है जो करने के लिए संदर्भ मूल्य अंतर्गत आता है की पहचान हो सकती है।

5. संदर्भ स्तंभ मतलब में एंड्रॉयड बग आईडी के लिए एक * अगले करता है?

जो समस्याएं सार्वजनिक रूप से उपलब्ध नहीं हैं उनमें संबंधित संदर्भ आईडी के आगे एक * होता है। कि इस मुद्दे के लिए अद्यतन आम तौर पर पिक्सेल से उपलब्ध उपकरणों के लिए नवीनतम द्विआधारी ड्राइवरों में निहित है गूगल डेवलपर साइट ।

6. सुरक्षा कमजोरियों को इस बुलेटिन और डिवाइस/पार्टनर सुरक्षा बुलेटिन, जैसे कि Pixel बुलेटिन के बीच क्यों विभाजित किया गया है?

इस सुरक्षा बुलेटिन में प्रलेखित सुरक्षा भेद्यताएं Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। सुरक्षा पैच स्तर घोषित करने के लिए डिवाइस/पार्टनर सुरक्षा बुलेटिन में प्रलेखित अतिरिक्त सुरक्षा भेद्यताएं आवश्यक नहीं हैं। एंड्रॉयड डिवाइस और चिपसेट निर्माता भी इस तरह के रूप में अपने उत्पादों, के लिए सुरक्षा भेद्यता विवरण विशिष्ट प्रकाशित कर सकते हैं गूगल , Huawei , LGE , मोटोरोला , नोकिया , या सैमसंग ।

संस्करणों