Android सुरक्षा बुलेटिन—अक्टूबर 2021

4 अक्टूबर 2021 को प्रकाशित | 29 नवंबर, 2021 को अपडेट किया गया

Android सुरक्षा बुलेटिन में Android उपकरणों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण होता है। 2021-10-05 या बाद के सुरक्षा पैच स्तर इन सभी मुद्दों को संबोधित करते हैं। कैसे एक डिवाइस की सुरक्षा पैच के स्तर की जाँच, देखने के लिए जानने के लिए चेक करें और अपने Android संस्करण को अद्यतन

प्रकाशन से कम से कम एक महीने पहले Android भागीदारों को सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए स्रोत कोड पैच एंड्रॉइड ओपन सोर्स प्रोजेक्ट (एओएसपी) रिपोजिटरी में जारी किए गए हैं और इस बुलेटिन से जुड़े हुए हैं। इस बुलेटिन में एओएसपी के बाहर पैच के लिंक भी शामिल हैं।

इन मुद्दों में सबसे गंभीर सिस्टम घटक में एक महत्वपूर्ण सुरक्षा भेद्यता है जो एक विशेष रूप से तैयार किए गए ट्रांसमिशन का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकता है। गंभीरता आकलन प्रभाव है कि असुरक्षा का शोषण संभवतः, एक प्रभावित डिवाइस पर होता है यह सोचते हैं प्लेटफ़ॉर्म और सेवा mitigations विकास प्रयोजनों के लिए बंद कर दिया जाता है या यदि सफलतापूर्वक नजरअंदाज पर आधारित है।

का संदर्भ लें Android और Google Play सुरक्षित mitigations जानकारी के लिए खंड पर Android सुरक्षा मंच सुरक्षा और Google Play सुरक्षित है, जो Android मंच की सुरक्षा में सुधार।

Android और Google सेवा में कमी

यह द्वारा प्रदान की mitigations का सार है Android सुरक्षा मंच जैसे और सेवा सुरक्षा गूगल प्ले सुरक्षित । ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा कमजोरियों का सफलतापूर्वक शोषण किया जा सकता है।

  • एंड्रॉइड प्लेटफॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा एंड्रॉइड पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
  • एंड्रॉयड सुरक्षा टीम सक्रिय रूप से के माध्यम से दुरुपयोग के लिए पर नज़र रखता है गूगल सुरक्षित खेलते हैं और के बारे में उपयोगकर्ताओं को चेतावनी दी है संभावित हानिकारक एप्लिकेशन । Google Play सुरक्षित के साथ उपकरणों पर डिफ़ॉल्ट रूप से सक्षम Google मोबाइल सेवाओं , और उपयोगकर्ताओं को, जो Google Play के बाहर से एप्लिकेशन इंस्टॉल के लिए विशेष रूप से महत्वपूर्ण है।

2021-10-01 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2021-10-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। मुद्दे नीचे की तालिका में वर्णित है और CVE आईडी, जुड़े संदर्भ, शामिल कर रहे हैं जोखिम के प्रकार , गंभीरता , और अद्यतन AOSP संस्करणों (जहां लागू हो)। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक ही बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं। एंड्रॉयड 10 और बाद के साथ उपकरण सुरक्षा अद्यतन के साथ ही प्राप्त हो सकता है गूगल प्ले सिस्टम अद्यतन

एंड्रॉइड रनटाइम

इस खंड में भेद्यता एक स्थानीय हमलावर को डिवाइस तक भौतिक पहुंच के साथ अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए मनमाना कोड निष्पादित करने में सक्षम कर सकती है।
सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0703 ए-184569329 ईओपी उच्च 1 1

ढांचा

इस खंड में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने में सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0652 ए-185178568 ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0705 ए-185388103 ईओपी उच्च 10, 11
सीवीई-2021-0708 ए-183262161 ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2020-15358 ए-192605364 पहचान उच्च 1 1
सीवीई-2021-0702 ए-193932765 पहचान उच्च 1 1
सीवीई-2021-0651 ए-67013844 करने योग्य उच्च 9, 10, 11

मीडिया फ्रेमवर्क

इस खंड में भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकती है।
सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0483 ए-153358911 [ 2 ] ईओपी उच्च 10, 11

Google Play सिस्टम अपडेट

इस महीने Google Play सिस्टम अपडेट (प्रोजेक्ट मेनलाइन) में कोई सुरक्षा समस्या नहीं है।

2021-10-05 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2021-10-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। मुद्दे नीचे की तालिका में वर्णित है और CVE आईडी, जुड़े संदर्भ, शामिल कर रहे हैं जोखिम के प्रकार , गंभीरता , और अद्यतन AOSP संस्करणों (जहां लागू हो)। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक ही बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।

प्रणाली

इस खंड में भेद्यता एक विशेष रूप से तैयार किए गए ट्रांसमिशन का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।
सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0870 ए-192472262 आरसीई नाजुक 8.1, 9, 10, 11

कर्नेल घटक

इस खंड में सबसे गंभीर भेद्यता एक स्थानीय हमलावर को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकती है।
सीवीई संदर्भ प्रकार तीव्रता अवयव
सीवीई-2020-29660 ए-175451844
अपस्ट्रीम कर्नेल
ईओपी उच्च टीटीवाई
सीवीई-2020-10768 ए-169505929
अपस्ट्रीम कर्नेल
पहचान उच्च i86 स्पेक्टर v2 सुरक्षा
सीवीई-2021-29647 ए-184622099
अपस्ट्रीम कर्नेल
पहचान उच्च क्वालकॉम आईपीसी राउटर सपोर्ट

दूरसंचार

इस खंड में भेद्यता दूरस्थ सूचना प्रकटीकरण का कारण बन सकती है, जिसमें अतिरिक्त निष्पादन विशेषाधिकारों की आवश्यकता नहीं है।
सीवीई संदर्भ प्रकार तीव्रता अवयव
सीवीई-2021-27666 ए-180401789 * पहचान उच्च मोडम

क्वालकॉम घटक

ये कमजोरियां क्वालकॉम के घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2020-11264
ए-175608649
क्यूसी सीआर # 2860206 [ 2 ]
नाजुक WLAN
सीवीई-2020-11301
ए-179929247
क्यूसी सीआर # 2860198 *
क्यूसी सीआर # 2867022 [ 2 ] [ 3 ]
नाजुक WLAN
सीवीई-2020-24587
ए-175626671
क्यूसी-सीआर#2860131
क्यूसी सीआर # 2868012 *
क्यूसी सीआर # 2875946 [ 2 ]
क्यूसी-सीआर#2875950
क्यूसी-सीआर#2874366
उच्च WLAN
सीवीई-2020-24588
ए-175626624
क्यूसी सीआर # 2866467 *
क्यूसी सीआर # 2867578 *
क्यूसी-सीआर#2867994
क्यूसी सीआर # 2868616 *
क्यूसी सीआर # 2877094 *
क्यूसी सीआर # 2879013 *
क्यूसी सीआर # 2883162 *
क्यूसी सीआर # 2886422 *
क्यूसी सीआर # 2888466 *
क्यूसी सीआर # 2890623 *
क्यूसी सीआर # 2896070 *
क्यूसी सीआर # 2896369 *
क्यूसी सीआर # 2861800 [ 2 ] [ 3 ] [ 4 ] [ 5 ]
क्यूसी सीआर # 2943860 *
उच्च WLAN
सीवीई-2020-26139
ए-177911151
क्यूसी-सीआर#2860248
क्यूसी-सीआर#2868054
क्यूसी-सीआर#2888227
क्यूसी-सीआर#2888467
क्यूसी-सीआर#2942096
क्यूसी सीआर # 2943789 [ 2 ] [ 3 ] [ 4 ] [ 5 ]
क्यूसी सीआर # 2867013 *
उच्च WLAN
सीवीई-2020-26141
ए-177911676
क्यूसी-सीआर#2869483
उच्च WLAN
सीवीई-2020-26145
ए-177910901
क्यूसी-सीआर#2860245
क्यूसी सीआर # 2868035 *
क्यूसी-सीआर#2893212
उच्च WLAN
सीवीई-2020-26146
ए-175626808
क्यूसी-सीआर#2860242
क्यूसी-सीआर#2874369
उच्च WLAN
सीवीई-2021-1977
ए-193070701
क्यूसी सीआर # 2859024 [ 2 ]
उच्च WLAN
सीवीई-2021-1980
ए-190404330
क्यूसी-सीआर#2873394
उच्च WLAN
सीवीई-2021-30305
ए-193070437
क्यूसी-सीआर#2913910
उच्च प्रदर्शन
सीवीई-2021-30306
ए-193071117
क्यूसी-सीआर#2915692
उच्च ऑडियो
सीवीई-2021-30312
ए-193070595
क्यूसी सीआर # 2948107 [ 2 ]
उच्च WLAN

क्वालकॉम बंद-स्रोत घटक

ये कमजोरियां क्वालकॉम के क्लोज्ड-सोर्स घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा अलर्ट में अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2020-11303
ए-193070323 * उच्च बंद स्रोत घटक
सीवीई-2020-26140
ए-177911345 * उच्च बंद स्रोत घटक
सीवीई-2020-26147
ए-177910719 * उच्च बंद स्रोत घटक
सीवीई-2021-1913
ए-184561641 * उच्च बंद स्रोत घटक
सीवीई-2021-1917
ए-184561580 * उच्च बंद स्रोत घटक
सीवीई-2021-1932
ए-184561562 * उच्च बंद स्रोत घटक
सीवीई-2021-1936
ए-184561359 * उच्च बंद स्रोत घटक
सीवीई-2021-1949
ए-184561794 * उच्च बंद स्रोत घटक
सीवीई-2021-1959
ए-184561776 * उच्च बंद स्रोत घटक
सीवीई-2021-1983
ए-190402581 * उच्च बंद स्रोत घटक
सीवीई-2021-1984
ए-190403732 * उच्च बंद स्रोत घटक
सीवीई-2021-1985
ए-190404406 * उच्च बंद स्रोत घटक
सीवीई-2021-30256
ए-190404960 * उच्च बंद स्रोत घटक
सीवीई-2021-30257
ए-190403214 * उच्च बंद स्रोत घटक
सीवीई-2021-30258
ए-190404449 * उच्च बंद स्रोत घटक
सीवीई-2021-30288
ए-193069567 * उच्च बंद स्रोत घटक
सीवीई-2021-30291
ए-190404407 * उच्च बंद स्रोत घटक
सीवीई-2021-30292
ए-190404329 * उच्च बंद स्रोत घटक
सीवीई-2021-30297
ए-190403733 * उच्च बंद स्रोत घटक
सीवीई-2021-30302
ए-193070343 * उच्च बंद स्रोत घटक
सीवीई-2021-30310
ए-193070558 * उच्च बंद स्रोत घटक

सामान्य प्रश्न और उत्तर

यह खंड उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि इन मुद्दों को हल करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?

कैसे एक डिवाइस की सुरक्षा पैच के स्तर की जाँच, देखने के लिए जानने के लिए चेक करें और अपने Android संस्करण को अद्यतन

  • 2021-10-01 या बाद के सुरक्षा पैच स्तर 2021-10-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों को संबोधित करते हैं।
  • 2021-10-05 या बाद के सुरक्षा पैच स्तर 2021-10-05 सुरक्षा पैच स्तर और पिछले सभी पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।

डिवाइस निर्माता जिनमें ये अपडेट शामिल हैं, उन्हें पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[2021-10-01]
  • [ro.build.version.security_patch]:[2021-10-05]

Android 10 या उसके बाद के कुछ उपकरणों के लिए, Google Play सिस्टम अपडेट में एक दिनांक स्ट्रिंग होगी जो 2021-10-01 सुरक्षा पैच स्तर से मेल खाती है। कृपया देखें यह लेख कैसे सुरक्षा अद्यतन स्थापित करने के लिए पर अधिक जानकारी के लिए।

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं, ताकि Android भागीदारों के पास उन कमजोरियों के सबसेट को ठीक करने की सुविधा हो जो सभी Android उपकरणों में अधिक तेज़ी से समान हैं। Android भागीदारों को इस बुलेटिन में सभी समस्याओं को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

  • 2021-10-01 सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में उस सुरक्षा पैच स्तर से संबंधित सभी समस्याओं के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट की गई सभी समस्याओं के समाधान शामिल होने चाहिए।
  • जो डिवाइस 2021-10-05 या इससे बाद के सुरक्षा पैच स्तर का उपयोग करते हैं, उनमें इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल होने चाहिए।

भागीदारों को उन सभी समस्याओं के समाधान को बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे एक ही अद्यतन में संबोधित कर रहे हैं।

3. क्या प्रकार स्तंभ मतलब में प्रविष्टियों करते हैं?

असुरक्षा की प्रकार स्तंभ में प्रविष्टियां विवरण तालिका संदर्भ सुरक्षा भेद्यता के वर्गीकरण।

संक्षेपाक्षर परिभाषा
आरसीई रिमोट कोड निष्पादन
ईओपी विशेषाधिकार का उन्नयन
पहचान जानकारी प्रकटीकरण
करने योग्य सेवा की मनाई
एन/ए वर्गीकरण उपलब्ध नहीं है

4. संदर्भ स्तंभ मतलब में प्रविष्टियों करते हैं?

भेद्यता विवरण तालिका के संदर्भ स्तंभ के अंतर्गत प्रविष्टियां एक उपसर्ग संगठन है जो करने के लिए संदर्भ मूल्य अंतर्गत आता है की पहचान हो सकती है।

उपसर्ग संदर्भ
ए- एंड्रॉइड बग आईडी
क्यूसी- क्वालकॉम संदर्भ संख्या
एम- मीडियाटेक संदर्भ संख्या
एन- NVIDIA संदर्भ संख्या
बी- ब्रॉडकॉम संदर्भ संख्या
यू के आकार UNISOC संदर्भ संख्या

5. संदर्भ स्तंभ मतलब में एंड्रॉयड बग आईडी के लिए एक * अगले करता है?

जो समस्याएं सार्वजनिक रूप से उपलब्ध नहीं हैं उनमें संबंधित संदर्भ आईडी के आगे एक * होता है। कि इस मुद्दे के लिए अद्यतन आम तौर पर पिक्सेल से उपलब्ध उपकरणों के लिए नवीनतम द्विआधारी ड्राइवरों में निहित है गूगल डेवलपर साइट

6. सुरक्षा कमजोरियों को इस बुलेटिन और डिवाइस/पार्टनर सुरक्षा बुलेटिन, जैसे कि Pixel बुलेटिन के बीच क्यों विभाजित किया गया है?

इस सुरक्षा बुलेटिन में प्रलेखित सुरक्षा भेद्यताएं Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। सुरक्षा पैच स्तर घोषित करने के लिए डिवाइस/पार्टनर सुरक्षा बुलेटिन में प्रलेखित अतिरिक्त सुरक्षा भेद्यताएं आवश्यक नहीं हैं। एंड्रॉयड डिवाइस और चिपसेट निर्माता भी इस तरह के रूप में अपने उत्पादों, के लिए सुरक्षा भेद्यता विवरण विशिष्ट प्रकाशित कर सकते हैं गूगल , Huawei , LGE , मोटोरोला , नोकिया , या सैमसंग

संस्करणों

संस्करण दिनांक टिप्पणियाँ
1.0 4 अक्टूबर 2021 बुलेटिन का विमोचन
1.1 6 अक्टूबर, 2021 बुलेटिन संशोधित
1.2 11 अक्टूबर 2021 संशोधित सीवीई तालिका
1.3 15 नवंबर, 2021 संशोधित सीवीई तालिका
1.4 29 नवंबर, 2021 संशोधित सीवीई तालिका