Android सुरक्षा बुलेटिन—जून 2021

7 जून, 2021 को प्रकाशित | 8 जून, 2021 को अपडेट किया गया

Android सुरक्षा बुलेटिन में Android उपकरणों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण होता है। 2021-06-05 या बाद के सुरक्षा पैच स्तर इन सभी मुद्दों को संबोधित करते हैं। कैसे एक डिवाइस की सुरक्षा पैच के स्तर की जाँच, देखने के लिए जानने के लिए चेक करें और अपने Android संस्करण को अद्यतन

प्रकाशन से कम से कम एक महीने पहले Android भागीदारों को सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए स्रोत कोड पैच एंड्रॉइड ओपन सोर्स प्रोजेक्ट (एओएसपी) रिपोजिटरी में जारी किए गए हैं और इस बुलेटिन से जुड़े हुए हैं। इस बुलेटिन में एओएसपी के बाहर पैच के लिंक भी शामिल हैं।

इन मुद्दों में सबसे गंभीर सिस्टम घटक में एक महत्वपूर्ण सुरक्षा भेद्यता है जो एक विशेष रूप से तैयार किए गए ट्रांसमिशन का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकता है। गंभीरता आकलन प्रभाव है कि असुरक्षा का शोषण संभवतः, एक प्रभावित डिवाइस पर होता है यह सोचते हैं प्लेटफ़ॉर्म और सेवा mitigations विकास प्रयोजनों के लिए बंद कर दिया जाता है या यदि सफलतापूर्वक नजरअंदाज पर आधारित है।

घोषणाओं

  • जुलाई के लिए, Android सार्वजनिक सुरक्षा बुलेटिन 7 जुलाई, 2021 को जारी किया जाएगा

का संदर्भ लें Android और Google Play सुरक्षित mitigations जानकारी के लिए खंड पर Android सुरक्षा मंच सुरक्षा और Google Play सुरक्षित है, जो Android मंच की सुरक्षा में सुधार।

Android और Google सेवा में कमी

यह द्वारा प्रदान की mitigations का सार है Android सुरक्षा मंच जैसे और सेवा सुरक्षा गूगल प्ले सुरक्षित । ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा कमजोरियों का सफलतापूर्वक शोषण किया जा सकता है।

  • एंड्रॉइड प्लेटफॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा एंड्रॉइड पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
  • एंड्रॉयड सुरक्षा टीम सक्रिय रूप से के माध्यम से दुरुपयोग के लिए पर नज़र रखता है गूगल सुरक्षित खेलते हैं और के बारे में उपयोगकर्ताओं को चेतावनी दी है संभावित हानिकारक एप्लिकेशन । Google Play सुरक्षित के साथ उपकरणों पर डिफ़ॉल्ट रूप से सक्षम Google मोबाइल सेवाओं , और उपयोगकर्ताओं को, जो Google Play के बाहर से एप्लिकेशन इंस्टॉल के लिए विशेष रूप से महत्वपूर्ण है।

2021-06-01 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2021-06-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। मुद्दे नीचे की तालिका में वर्णित है और CVE आईडी, जुड़े संदर्भ, शामिल कर रहे हैं जोखिम के प्रकार , गंभीरता , और अद्यतन AOSP संस्करणों (जहां लागू हो)। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं। एंड्रॉयड 10 और बाद के साथ उपकरण सुरक्षा अद्यतन के साथ ही प्राप्त हो सकता है गूगल प्ले सिस्टम अद्यतन

एंड्रॉइड रनटाइम

इस खंड में भेद्यता एक स्थानीय हमलावर को मनमाना कोड निष्पादित करने और अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए उपयोगकर्ता इंटरैक्शन आवश्यकताओं को बायपास करने में सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0511 ए-178055795 [ 2 ] [ 3 ] ईओपी उच्च 9, 10, 11

ढांचा

इस खंड में भेद्यता बिना किसी अतिरिक्त निष्पादन विशेषाधिकार के क्रॉस-यूज़र अनुमतियों के स्थानीय सूचना प्रकटीकरण का कारण बन सकती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0521 ए-174661955 पहचान उच्च 8.1, 9, 10, 11

मीडिया फ्रेमवर्क

इस खंड में सबसे गंभीर भेद्यता स्थानीय दुर्भावनापूर्ण एप्लिकेशन को अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए उपयोगकर्ता इंटरैक्शन आवश्यकताओं को बायपास करने में सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0508 ए-176444154 ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0509 ए-176444161 [ 2 ] ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0510 ए-176444622 ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0520 ए-176237595 ईओपी उच्च 10, 11

प्रणाली

इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार किए गए ट्रांसमिशन का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0507 ए-181860042 आरसीई नाजुक 8.1, 9, 10, 11
सीवीई-2021-0516 ए-181660448 ईओपी नाजुक 8.1, 9, 10, 11
सीवीई-2021-0505 ए-179975048 ईओपी उच्च 1 1
सीवीई-2021-0506 ए-१८१९६२३११ ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0523 ए-174047492 ईओपी उच्च 10, 11
सीवीई-2021-0504 ए-179162665 पहचान उच्च 1 1
सीवीई-2021-0517 ए-179053823 पहचान उच्च 1 1
सीवीई-2021-0522 ए-174182139 पहचान उच्च 9, 10, 11

Google Play सिस्टम अपडेट

इस महीने Google Play सिस्टम अपडेट (प्रोजेक्ट मेनलाइन) में कोई सुरक्षा समस्या नहीं है।

2021-06-05 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2021-06-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। मुद्दे नीचे की तालिका में वर्णित है और CVE आईडी, जुड़े संदर्भ, शामिल कर रहे हैं जोखिम के प्रकार , गंभीरता , और अद्यतन AOSP संस्करणों (जहां लागू हो)। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।

ढांचा

इस खंड में भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए उपयोगकर्ता इंटरैक्शन आवश्यकताओं को बायपास करने में सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0513 ए-१५६०९०८०९ ईओपी उच्च 8.1, 9, 10, 11

प्रणाली

इस खंड में सबसे गंभीर भेद्यता अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए विशेष रूप से तैयार किए गए ट्रांसमिशन का उपयोग करके दूरस्थ हमलावर को सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2020-26555 ए-174626251 ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2020-26558 ए-174886838 ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0478 ए-169255797 ईओपी उच्च 8.1, 9, 10, 11

कर्नेल घटक

इस खंड में सबसे गंभीर भेद्यता विशेषाधिकार की स्थानीय वृद्धि का कारण बन सकती है, जिसमें अतिरिक्त निष्पादन विशेषाधिकारों की आवश्यकता नहीं है।

सीवीई संदर्भ प्रकार तीव्रता अवयव
सीवीई-2020-14305 ए-174904512
अपस्ट्रीम कर्नेल
ईओपी उच्च वॉयस ओवर आईपी एच.३२३
सीवीई-2021-0512 ए-173843328
अपस्ट्रीम कर्नेल
ईओपी उच्च छुपा दिया

मीडियाटेक घटक

ये कमजोरियां मीडियाटेक घटकों को प्रभावित करती हैं और आगे के विवरण सीधे मीडियाटेक से उपलब्ध हैं। इन मुद्दों की गंभीरता का आकलन सीधे मीडियाटेक द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2021-0525 ए-१८५१९३९२९
एम ALPS05403499 *
उच्च स्मृति प्रबंधन चालक
सीवीई-2021-0526 ए-185195264
एम ALPS05403499 *
उच्च स्मृति प्रबंधन चालक
सीवीई-2021-0527 ए-१८५१९३९३१
एम ALPS05403499 *
उच्च स्मृति प्रबंधन चालक
सीवीई-2021-0528 ए-१८५१९५२६६
एम ALPS05403499 *
उच्च स्मृति प्रबंधन चालक
सीवीई-2021-0529 ए-१८५१९५२६८
एम ALPS05403499 *
उच्च स्मृति प्रबंधन चालक
सीवीई-2021-0530 ए-१८५१९६१७५
एम ALPS05403499 *
उच्च स्मृति प्रबंधन चालक
सीवीई-2021-0531 ए-१८५१९५२७२
एम ALPS05403499 *
उच्च स्मृति प्रबंधन चालक
सीवीई-2021-0532 ए-१८५१९६१७७
एम ALPS05403499 *
उच्च स्मृति प्रबंधन चालक
सीवीई-2021-0533 ए-१८५१९३९३२
एम ALPS05403499 *
उच्च स्मृति प्रबंधन चालक

क्वालकॉम घटक

यह भेद्यता क्वालकॉम घटकों को प्रभावित करती है और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में अधिक विस्तार से वर्णित है। इस मुद्दे की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2020-11267 ए-168918351
क्यूसी सीआर # 2723768 [ 2 ] [ 3 ]
उच्च सुरक्षा

क्वालकॉम बंद-स्रोत घटक

ये कमजोरियां क्वालकॉम के क्लोज्ड-सोर्स घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा अलर्ट में अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2020-11176 ए-175038159 * नाजुक बंद स्रोत घटक
सीवीई-२०२०-११२९१ ए-175038624 * नाजुक बंद स्रोत घटक
सीवीई-2020-26558 ए-179039983 * नाजुक बंद स्रोत घटक
सीवीई-२०२०-११२९२ ए-171309888 * उच्च बंद स्रोत घटक
सीवीई-2020-11298 ए-175038385 * उच्च बंद स्रोत घटक
सीवीई-2020-11304 ए-167567084 * उच्च बंद स्रोत घटक
सीवीई-2020-11306 ए-175038981 * उच्च बंद स्रोत घटक
सीवीई-2020-26555 ए-181682537 * उच्च बंद स्रोत घटक
सीवीई-2021-1900 ए-181682536 * उच्च बंद स्रोत घटक
सीवीई-2021-1925 ए-179040020 * उच्च बंद स्रोत घटक
सीवीई-2021-1937 ए-181682513 * उच्च बंद स्रोत घटक

सामान्य प्रश्न और उत्तर

यह खंड उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि इन समस्याओं को दूर करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?

कैसे एक डिवाइस की सुरक्षा पैच के स्तर की जाँच, देखने के लिए जानने के लिए चेक करें और अपने Android संस्करण को अद्यतन

  • 2021-06-01 या बाद के सुरक्षा पैच स्तर 2021-06-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों को संबोधित करते हैं।
  • 2021-06-05 या बाद के सुरक्षा पैच स्तर 2021-06-05 सुरक्षा पैच स्तर और पिछले सभी पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।

इन अद्यतनों को शामिल करने वाले डिवाइस निर्माताओं को पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[२०२१-०६-०१]
  • [ro.build.version.security_patch]:[२०२१-०६-०५]

Android 10 या उसके बाद के कुछ उपकरणों के लिए, Google Play सिस्टम अपडेट में एक दिनांक स्ट्रिंग होगी जो 2021-06-01 सुरक्षा पैच स्तर से मेल खाती है। कृपया देखें यह लेख कैसे सुरक्षा अद्यतन स्थापित करने के लिए पर अधिक जानकारी के लिए।

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि Android भागीदारों के पास कमजोरियों के एक सबसेट को ठीक करने की सुविधा हो जो सभी Android उपकरणों में अधिक तेज़ी से समान हो। Android भागीदारों को इस बुलेटिन में सभी समस्याओं को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

  • 2021-06-01 सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में उस सुरक्षा पैच स्तर से संबंधित सभी समस्याओं के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट की गई सभी समस्याओं के समाधान शामिल होने चाहिए।
  • जो डिवाइस 2021-06-05 या इससे बाद के सुरक्षा पैच स्तर का उपयोग करते हैं, उनमें इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल होने चाहिए।

भागीदारों को उन सभी समस्याओं के समाधान को बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे एक ही अद्यतन में संबोधित कर रहे हैं।

3. क्या प्रकार स्तंभ मतलब में प्रविष्टियों करते हैं?

असुरक्षा की प्रकार स्तंभ में प्रविष्टियां विवरण तालिका संदर्भ सुरक्षा भेद्यता के वर्गीकरण।

संक्षेपाक्षर परिभाषा
आरसीई रिमोट कोड निष्पादन
ईओपी विशेषाधिकार का उन्नयन
पहचान जानकारी प्रकटीकरण
करने योग्य सेवा की मनाई
एन/ए वर्गीकरण उपलब्ध नहीं है

4. संदर्भ स्तंभ मतलब में प्रविष्टियों करते हैं?

भेद्यता विवरण तालिका के संदर्भ स्तंभ के अंतर्गत प्रविष्टियां एक उपसर्ग संगठन है जो करने के लिए संदर्भ मूल्य अंतर्गत आता है की पहचान हो सकती है।

उपसर्ग संदर्भ
ए- एंड्रॉइड बग आईडी
क्यूसी- क्वालकॉम संदर्भ संख्या
एम- मीडियाटेक संदर्भ संख्या
एन- NVIDIA संदर्भ संख्या
बी- ब्रॉडकॉम संदर्भ संख्या

5. संदर्भ स्तंभ मतलब में एंड्रॉयड बग आईडी के लिए एक * अगले करता है?

जो समस्याएं सार्वजनिक रूप से उपलब्ध नहीं हैं उनमें संबंधित संदर्भ आईडी के आगे एक * होता है। कि इस मुद्दे के लिए अद्यतन आम तौर पर पिक्सेल से उपलब्ध उपकरणों के लिए नवीनतम द्विआधारी ड्राइवरों में निहित है गूगल डेवलपर साइट

6. सुरक्षा कमजोरियों को इस बुलेटिन और डिवाइस/पार्टनर सुरक्षा बुलेटिन, जैसे कि Pixel बुलेटिन के बीच क्यों विभाजित किया गया है?

इस सुरक्षा बुलेटिन में प्रलेखित सुरक्षा भेद्यताएं Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। सुरक्षा पैच स्तर घोषित करने के लिए डिवाइस/पार्टनर सुरक्षा बुलेटिन में प्रलेखित अतिरिक्त सुरक्षा भेद्यताएं आवश्यक नहीं हैं। एंड्रॉयड डिवाइस और चिपसेट निर्माता भी इस तरह के रूप में अपने उत्पादों, के लिए सुरक्षा भेद्यता विवरण विशिष्ट प्रकाशित कर सकते हैं गूगल , Huawei , LGE , मोटोरोला , नोकिया , या सैमसंग

संस्करणों

संस्करण दिनांक टिप्पणियाँ
1.0 7 जून, 2021 बुलेटिन प्रकाशित
१.१ 8 जून 2021 AOSP लिंक्स को शामिल करने के लिए संशोधित बुलेटिन