Android सुरक्षा बुलेटिन—सितंबर 2021

7 सितंबर, 2021 को प्रकाशित | 14 सितंबर, 2021 को अपडेट किया गया

Android सुरक्षा बुलेटिन में Android उपकरणों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण होता है। 2021-09-05 या बाद के सुरक्षा पैच स्तर इन सभी मुद्दों को संबोधित करते हैं। कैसे एक डिवाइस की सुरक्षा पैच के स्तर की जाँच, देखने के लिए जानने के लिए चेक करें और अपने Android संस्करण को अद्यतन

प्रकाशन से कम से कम एक महीने पहले Android भागीदारों को सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए स्रोत कोड पैच एंड्रॉइड ओपन सोर्स प्रोजेक्ट (एओएसपी) रिपोजिटरी में जारी किए गए हैं और इस बुलेटिन से जुड़े हुए हैं। इस बुलेटिन में एओएसपी के बाहर पैच के लिंक भी शामिल हैं।

इनमें से सबसे गंभीर समस्या फ्रेमवर्क घटक में एक महत्वपूर्ण सुरक्षा भेद्यता है जो एक दूरस्थ हमलावर को विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके सेवा को स्थायी रूप से अस्वीकार करने के लिए सक्षम कर सकती है। गंभीरता आकलन प्रभाव है कि असुरक्षा का शोषण संभवतः, एक प्रभावित डिवाइस पर होता है यह सोचते हैं प्लेटफ़ॉर्म और सेवा mitigations विकास प्रयोजनों के लिए बंद कर दिया जाता है या यदि सफलतापूर्वक नजरअंदाज पर आधारित है।

का संदर्भ लें Android और Google Play सुरक्षित mitigations जानकारी के लिए खंड पर Android सुरक्षा मंच सुरक्षा और Google Play सुरक्षित है, जो Android मंच की सुरक्षा में सुधार।

Android और Google सेवा में कमी

यह द्वारा प्रदान की mitigations का सार है Android सुरक्षा मंच जैसे और सेवा सुरक्षा गूगल प्ले सुरक्षित । ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा कमजोरियों का सफलतापूर्वक शोषण किया जा सकता है।

  • एंड्रॉइड प्लेटफॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा एंड्रॉइड पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
  • एंड्रॉयड सुरक्षा टीम सक्रिय रूप से के माध्यम से दुरुपयोग के लिए पर नज़र रखता है गूगल सुरक्षित खेलते हैं और के बारे में उपयोगकर्ताओं को चेतावनी दी है संभावित हानिकारक एप्लिकेशन । Google Play सुरक्षित के साथ उपकरणों पर डिफ़ॉल्ट रूप से सक्षम Google मोबाइल सेवाओं , और उपयोगकर्ताओं को, जो Google Play के बाहर से एप्लिकेशन इंस्टॉल के लिए विशेष रूप से महत्वपूर्ण है।

2021-09-01 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2021-09-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। मुद्दे नीचे की तालिका में वर्णित है और CVE आईडी, जुड़े संदर्भ, शामिल कर रहे हैं जोखिम के प्रकार , गंभीरता , और अद्यतन AOSP संस्करणों (जहां लागू हो)। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं। एंड्रॉयड 10 और बाद के साथ उपकरण सुरक्षा अद्यतन के साथ ही प्राप्त हो सकता है गूगल प्ले सिस्टम अद्यतन

ढांचा

इस खंड में सबसे गंभीर भेद्यता एक दूरस्थ हमलावर को विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके सेवा से स्थायी इनकार करने के लिए सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0687 ए-१८८९१३९४३ करने योग्य नाजुक 8.1, 9, 10, 11
सीवीई-2021-0595 ए-177457096 [ 2] ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0683 ए-१८५३९८९४२ ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0684 ए-179839665 ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0685 ए-191055353 [ 2] ईओपी उच्च 1 1
सीवीई-2021-0688 ए-161149543 ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0686 ए-177927831 पहचान उच्च 10, 11

मीडिया फ्रेमवर्क

इस खंड में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को ऑपरेटिंग सिस्टम सुरक्षा को बायपास करने में सक्षम कर सकती है जो अन्य एप्लिकेशन से एप्लिकेशन डेटा को अलग करती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0689 ए-190188264 पहचान उच्च 8.1, 9, 10, 11
सीवीई-2021-0690 ए-182152757 पहचान उच्च 8.1, 9, 10, 11

प्रणाली

इस खंड में सबसे गंभीर भेद्यता स्थानीय दुर्भावनापूर्ण एप्लिकेशन को अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए उपयोगकर्ता इंटरैक्शन आवश्यकताओं को बायपास करने में सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0598 ए-180422108 [ 2] ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0692 ए-179289753 ईओपी उच्च 9, 10, 11
सीवीई-2021-0428 ए-173421434 [ 2] [ 3] [ 4] [ 5] [ 6] [ 7] [ 8] [ 9] पहचान उच्च 10
सीवीई-2021-0644 ए-181053462 [ 2] पहचान उच्च 10, 11
सीवीई-2021-0682 ए-159624555 पहचान उच्च 8.1, 9, 10, 11
सीवीई-2021-0693 ए-184046948 पहचान उच्च 1 1
सीवीई-2021-0691 ए-1885544048 ईओपी उदारवादी 1 1

Google Play सिस्टम अपडेट

निम्नलिखित मुद्दों को प्रोजेक्ट मेनलाइन घटकों में शामिल किया गया है।

अवयव सीवीई
मीडिया कोडेक सीवीई-2021-0690

2021-09-05 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2021-09-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। मुद्दे नीचे की तालिका में वर्णित है और CVE आईडी, जुड़े संदर्भ, शामिल कर रहे हैं जोखिम के प्रकार , गंभीरता , और अद्यतन AOSP संस्करणों (जहां लागू हो)। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।

कर्नेल घटक

इस खंड में भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को ऑपरेटिंग सिस्टम सुरक्षा को बायपास करने में सक्षम कर सकती है जो अन्य एप्लिकेशन से एप्लिकेशन डेटा को अलग करती है।

सीवीई संदर्भ प्रकार तीव्रता अवयव
सीवीई-2021-0695 ए-184018316
अपस्ट्रीम कर्नेल
पहचान उच्च गुठली

मीडियाटेक घटक

ये कमजोरियां मीडियाटेक घटकों को प्रभावित करती हैं और आगे के विवरण सीधे मीडियाटेक से उपलब्ध हैं। इन मुद्दों की गंभीरता का आकलन सीधे मीडियाटेक द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2021-0680 ए-192535676
एम ALPS05564803 *
उच्च प्रणाली के गुण
सीवीई-2021-0681 ए-192535337
एम ALPS05559939 *
उच्च प्रणाली के गुण

यूनिसोक घटक

ये भेद्यताएं यूनिसोक घटकों को प्रभावित करती हैं और आगे के विवरण सीधे यूनिसोक से उपलब्ध हैं। इन मुद्दों की गंभीरता का आकलन सीधे यूनिसोक द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2021-0635
ए-१८९४०२४७७
यू-1595212 *
उच्च वीडियो
सीवीई-2021-0636
ए-189392423
यू-1600513 *
उच्च वीडियो

क्वालकॉम घटक

ये भेद्यताएं क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में और अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2021-1941
ए-184561795
क्यूसी-सीआर#2832873
उच्च WLAN
सीवीई-2021-1948
ए-184561643
क्यूसी-सीआर#२८४२२३४
उच्च WLAN
सीवीई-2021-1974
ए-190403734
क्यूसी सीआर # 2728644 [ 2 ]
उच्च WLAN
सीवीई-2021-30290
ए-190403706
क्यूसी-सीआर#2897378
उच्च प्रदर्शन
सीवीई-2021-30294 ए-190404324
क्यूसी-सीआर#2900322
उच्च प्रदर्शन

क्वालकॉम बंद-स्रोत घटक

ये कमजोरियां क्वालकॉम के क्लोज्ड-सोर्स घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा अलर्ट में अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2021-1886
ए-176751522 * नाजुक बंद स्रोत घटक
सीवीई-2021-1888 ए-176752047 * नाजुक बंद स्रोत घटक
सीवीई-2021-1889
ए-176751523 * नाजुक बंद स्रोत घटक
सीवीई-2021-1890 ए-176752048 * नाजुक बंद स्रोत घटक
सीवीई-2021-1933
ए-181682124 * नाजुक बंद स्रोत घटक
सीवीई-2021-1946
ए-181682277 * नाजुक बंद स्रोत घटक
सीवीई-2021-1909
ए-181682278 * उच्च बंद स्रोत घटक
सीवीई-2021-1923
ए-179039984 * उच्च बंद स्रोत घटक
सीवीई-2021-1934
ए-181682745 * उच्च बंद स्रोत घटक
सीवीई-2021-1935 ए-181682438 * उच्च बंद स्रोत घटक
सीवीई-2021-1952
ए-181682512 * उच्च बंद स्रोत घटक
सीवीई-2021-1971
ए-190404961 * उच्च बंद स्रोत घटक
सीवीई-2021-30295
ए-182501529 * उच्च बंद स्रोत घटक

सामान्य प्रश्न और उत्तर

यह खंड उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि इन समस्याओं को दूर करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?

कैसे एक डिवाइस की सुरक्षा पैच के स्तर की जाँच, देखने के लिए जानने के लिए चेक करें और अपने Android संस्करण को अद्यतन

  • 2021-09-01 या बाद के सुरक्षा पैच स्तर 2021-09-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों को संबोधित करते हैं।
  • 2021-09-05 या बाद के सुरक्षा पैच स्तर 2021-09-05 सुरक्षा पैच स्तर और पिछले सभी पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।

इन अद्यतनों को शामिल करने वाले डिवाइस निर्माताओं को पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[२०२१-०९-०१]
  • [ro.build.version.security_patch]:[२०२१-०९-०५]

Android 10 या उसके बाद के कुछ उपकरणों के लिए, Google Play सिस्टम अपडेट में एक दिनांक स्ट्रिंग होगी जो 2021-09-01 सुरक्षा पैच स्तर से मेल खाती है। कृपया देखें यह लेख कैसे सुरक्षा अद्यतन स्थापित करने के लिए पर अधिक जानकारी के लिए।

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि Android भागीदारों के पास कमजोरियों के एक सबसेट को ठीक करने की सुविधा हो जो सभी Android उपकरणों में अधिक तेज़ी से समान हो। Android भागीदारों को इस बुलेटिन में सभी समस्याओं को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

  • 2021-09-01 सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में उस सुरक्षा पैच स्तर से संबंधित सभी समस्याओं के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट की गई सभी समस्याओं के समाधान शामिल होने चाहिए।
  • जो डिवाइस 2021-09-05 या इससे नए सुरक्षा पैच स्तर का उपयोग करते हैं, उनमें इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल होने चाहिए।

भागीदारों को उन सभी समस्याओं के समाधान को बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे एक ही अद्यतन में संबोधित कर रहे हैं।

3. क्या प्रकार स्तंभ मतलब में प्रविष्टियों करते हैं?

असुरक्षा की प्रकार स्तंभ में प्रविष्टियां विवरण तालिका संदर्भ सुरक्षा भेद्यता के वर्गीकरण।

संक्षेपाक्षर परिभाषा
आरसीई रिमोट कोड निष्पादन
ईओपी विशेषाधिकार का उन्नयन
पहचान जानकारी प्रकटीकरण
करने योग्य सेवा की मनाई
एन/ए वर्गीकरण उपलब्ध नहीं है

4. संदर्भ स्तंभ मतलब में प्रविष्टियों करते हैं?

भेद्यता विवरण तालिका के संदर्भ स्तंभ के अंतर्गत प्रविष्टियां एक उपसर्ग संगठन है जो करने के लिए संदर्भ मूल्य अंतर्गत आता है की पहचान हो सकती है।

उपसर्ग संदर्भ
ए- एंड्रॉइड बग आईडी
क्यूसी- क्वालकॉम संदर्भ संख्या
एम- मीडियाटेक संदर्भ संख्या
एन- NVIDIA संदर्भ संख्या
बी- ब्रॉडकॉम संदर्भ संख्या

5. संदर्भ स्तंभ मतलब में एंड्रॉयड बग आईडी के लिए एक * अगले करता है?

जो समस्याएं सार्वजनिक रूप से उपलब्ध नहीं हैं उनमें संबंधित संदर्भ आईडी के आगे एक * होता है। कि इस मुद्दे के लिए अद्यतन आम तौर पर पिक्सेल से उपलब्ध उपकरणों के लिए नवीनतम द्विआधारी ड्राइवरों में निहित है गूगल डेवलपर साइट

6. सुरक्षा कमजोरियों को इस बुलेटिन और डिवाइस/पार्टनर सुरक्षा बुलेटिन, जैसे कि Pixel बुलेटिन के बीच क्यों विभाजित किया गया है?

इस सुरक्षा बुलेटिन में प्रलेखित सुरक्षा भेद्यताएं Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। सुरक्षा पैच स्तर घोषित करने के लिए डिवाइस/पार्टनर सुरक्षा बुलेटिन में प्रलेखित अतिरिक्त सुरक्षा भेद्यताएं आवश्यक नहीं हैं। एंड्रॉयड डिवाइस और चिपसेट निर्माता भी इस तरह के रूप में अपने उत्पादों, के लिए सुरक्षा भेद्यता विवरण विशिष्ट प्रकाशित कर सकते हैं गूगल , Huawei , LGE , मोटोरोला , नोकिया , या सैमसंग

संस्करणों

संस्करण दिनांक टिप्पणियाँ
1.0 7 सितंबर, 2021 बुलेटिन प्रकाशित
१.१ 14 सितंबर, 2021 AOSP लिंक्स को शामिल करने के लिए संशोधित बुलेटिन