Android सुरक्षा बुलेटिन—दिसंबर 2021

6 दिसंबर, 2021 को प्रकाशित | 8 दिसंबर, 2021 को अपडेट किया गया

एंड्रॉइड सुरक्षा बुलेटिन में एंड्रॉइड डिवाइसों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण शामिल है। 2021-12-05 या उसके बाद के सुरक्षा पैच स्तर इन सभी मुद्दों का समाधान करते हैं। किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपने Android संस्करण की जांच करें और अपडेट करें देखें।

एंड्रॉइड भागीदारों को प्रकाशन से कम से कम एक महीने पहले सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए सोर्स कोड पैच एंड्रॉइड ओपन सोर्स प्रोजेक्ट (एओएसपी) रिपॉजिटरी में जारी किए गए हैं और इस बुलेटिन से लिंक किए गए हैं। इस बुलेटिन में AOSP के बाहर के पैच के लिंक भी शामिल हैं

इनमें से सबसे गंभीर समस्या मीडिया फ्रेमवर्क घटक में एक महत्वपूर्ण सुरक्षा भेद्यता है जो बिना किसी अतिरिक्त निष्पादन विशेषाधिकार की आवश्यकता के दूरस्थ सूचना प्रकटीकरण का कारण बन सकती है। गंभीरता का मूल्यांकन उस प्रभाव पर आधारित है जो भेद्यता का शोषण संभवतः प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफ़ॉर्म और सेवा शमन को विकास उद्देश्यों के लिए बंद कर दिया गया है या यदि सफलतापूर्वक बायपास किया गया है।

एंड्रॉइड सुरक्षा प्लेटफ़ॉर्म सुरक्षा और Google Play प्रोटेक्ट पर विवरण के लिए एंड्रॉइड और Google Play प्रोटेक्ट शमन अनुभाग देखें, जो एंड्रॉइड प्लेटफ़ॉर्म की सुरक्षा में सुधार करते हैं।

Android और Google सेवा शमन

यह एंड्रॉइड सुरक्षा प्लेटफ़ॉर्म और Google Play प्रोटेक्ट जैसी सेवा सुरक्षा द्वारा प्रदान किए गए शमन का सारांश है। ये क्षमताएं इस संभावना को कम कर देती हैं कि एंड्रॉइड पर सुरक्षा कमजोरियों का सफलतापूर्वक फायदा उठाया जा सकता है।

  • एंड्रॉइड प्लेटफ़ॉर्म के नए संस्करणों में संवर्द्धन द्वारा एंड्रॉइड पर कई मुद्दों का शोषण और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, एंड्रॉइड के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
  • एंड्रॉइड सुरक्षा टीम सक्रिय रूप से Google Play प्रोटेक्ट के माध्यम से दुरुपयोग की निगरानी करती है और उपयोगकर्ताओं को संभावित रूप से हानिकारक एप्लिकेशन के बारे में चेतावनी देती है। Google Play प्रोटेक्ट Google मोबाइल सेवाओं वाले उपकरणों पर डिफ़ॉल्ट रूप से सक्षम है, और यह उन उपयोगकर्ताओं के लिए विशेष रूप से महत्वपूर्ण है जो Google Play के बाहर से ऐप्स इंस्टॉल करते हैं।

2021-12-01 सुरक्षा पैच स्तर भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2021-12-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा कमजोरियों का विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत समूहीकृत किया जाता है। मुद्दों का वर्णन नीचे दी गई तालिकाओं में किया गया है और इसमें सीवीई आईडी, संबंधित संदर्भ, भेद्यता का प्रकार , गंभीरता और अद्यतन एओएसपी संस्करण (जहां लागू हो) शामिल हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को लिंक करते हैं जिसने समस्या को बग आईडी से संबोधित किया है, जैसे एओएसपी परिवर्तन सूची। जब एकाधिक परिवर्तन एक ही बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद वाले नंबरों से जुड़े होते हैं। एंड्रॉइड 10 और उसके बाद वाले डिवाइसों को सुरक्षा अपडेट के साथ-साथ Google Play सिस्टम अपडेट भी प्राप्त हो सकते हैं।

रूपरेखा

इस अनुभाग में सबसे गंभीर भेद्यता स्थानीय हमलावर द्वारा स्मृति भ्रष्टाचार का कारण बन सकती है, जिसमें किसी विशेषाधिकार या उपयोगकर्ता इंटरैक्शन की आवश्यकता नहीं है।

सीवीई संदर्भ प्रकार तीव्रता अद्यतन AOSP संस्करण
सीवीई-2021-0955 ए-192085766 ईओपी उच्च 11
सीवीई-2021-0970 ए-196970023 ईओपी उच्च 9, 10, 11, 12
सीवीई-2021-0704 ए-179338675 पहचान उच्च 9, 10, 11

मीडिया फ्रेमवर्क

इस अनुभाग में सबसे गंभीर भेद्यता दूरस्थ सूचना प्रकटीकरण का कारण बन सकती है, जिसके लिए किसी अतिरिक्त निष्पादन विशेषाधिकार की आवश्यकता नहीं है।

सीवीई संदर्भ प्रकार तीव्रता अद्यतन AOSP संस्करण
सीवीई-2021-0967 ए-199065614 पहचान उच्च 10, 11, 12
आरसीई गंभीर 9
सीवीई-2021-0964 ए-193363621 पहचान उच्च 9, 10, 11, 12

प्रणाली

इस अनुभाग में सबसे गंभीर भेद्यता एक दूरस्थ हमलावर को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अद्यतन AOSP संस्करण
सीवीई-2021-0968 ए-197868577 आरसीई गंभीर 9, 10, 11, 12
सीवीई-2021-0956 ए-189942532 ईओपी गंभीर 11, 12
सीवीई-2021-0953 ए-184046278 ईओपी उच्च 9, 10, 11, 12
सीवीई-2021-0954 ए-143559931 ईओपी उच्च 10, 11
सीवीई-2021-0963 ए-199754277 [ 2 ] ईओपी उच्च 9, 10, 11, 12
सीवीई-2021-0965 ए-194300867 ईओपी उच्च 9, 10, 11, 12
सीवीई-2021-0952 ए-195748381 पहचान उच्च 9, 10, 11, 12
सीवीई-2021-0966 ए-198346478 पहचान उच्च 11, 12
सीवीई-2021-0958 ए-200041882 करने योग्य मध्यम 11, 12
सीवीई-2021-0969 ए-199922685 करने योग्य मध्यम 10, 11

Google Play सिस्टम अपडेट

प्रोजेक्ट मेनलाइन घटकों में निम्नलिखित मुद्दे शामिल हैं।

अवयव सीवीई
मीडिया कोडेक्स सीवीई-2021-0964
मीडिया कोडेक्स, मीडिया फ्रेमवर्क घटक सीवीई-2021-0967

2021-12-05 सुरक्षा पैच स्तर भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2021-12-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा कमजोरियों का विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत समूहीकृत किया जाता है। मुद्दों का वर्णन नीचे दी गई तालिकाओं में किया गया है और इसमें सीवीई आईडी, संबंधित संदर्भ, भेद्यता का प्रकार , गंभीरता और अद्यतन एओएसपी संस्करण (जहां लागू हो) शामिल हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को लिंक करते हैं जिसने समस्या को बग आईडी से संबोधित किया है, जैसे एओएसपी परिवर्तन सूची। जब एकाधिक परिवर्तन एक ही बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद वाले नंबरों से जुड़े होते हैं।

मीडिया फ्रेमवर्क

इस अनुभाग में भेद्यता के कारण दूरस्थ सूचना प्रकटीकरण हो सकता है और इसके लिए किसी अतिरिक्त निष्पादन विशेषाधिकार की आवश्यकता नहीं होगी।
सीवीई संदर्भ प्रकार तीव्रता अद्यतन AOSP संस्करण
सीवीई-2021-0971 ए-188893559 पहचान उच्च 9, 10, 11, 12

कर्नेल घटक

इस अनुभाग में सबसे गंभीर भेद्यता एक पूर्णांक अतिप्रवाह, एक आउट-ऑफ-बाउंड राइट, और एक वंचित उपयोगकर्ता द्वारा रूट तक बढ़ने का कारण बन सकती है।
सीवीई संदर्भ प्रकार तीव्रता अवयव
सीवीई-2021-33909 ए-195082750
अपस्ट्रीम कर्नेल		 ईओपी उच्च फाइल सिस्टम
सीवीई-2021-38204 ए-196448784
अपस्ट्रीम कर्नेल		 ईओपी उच्च USB
सीवीई-2021-0961 ए-196046570
अपस्ट्रीम कर्नेल [ 2 ] [ 3 ]		 पहचान मध्यम नेटफ़िल्टर

मीडियाटेक घटक

ये कमजोरियाँ मीडियाटेक घटकों को प्रभावित करती हैं और अधिक विवरण सीधे मीडियाटेक से उपलब्ध हैं। इन मुद्दों की गंभीरता का आकलन सीधे मीडियाटेक द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2021-0675
 ए-201895896
एम-एएलपीएस06064258 *		 उच्च एलैक डिकोडर
सीवीई-2021-0904
 ए-201779035
एम-एएलपीएस06076938 *		 उच्च SRAMROM

क्वालकॉम घटक

ये कमजोरियाँ क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में आगे विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2021-30262
 ए-190402578
क्यूसी-सीआर#2774954		 उच्च मोडम
सीवीई-2021-30335
 ए-199191310
क्यूसी-सीआर#2964455		 उच्च गुठली
सीवीई-2021-30337
 ए-199190644
क्यूसी-सीआर#2971293		 उच्च गुठली

क्वालकॉम बंद-स्रोत घटक

ये कमजोरियाँ क्वालकॉम बंद-स्रोत घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में आगे विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अवयव
सीवीई-2021-30275
 ए-190403081 * गंभीर बंद-स्रोत घटक
सीवीई-2021-30276
 ए-190404445 * गंभीर बंद-स्रोत घटक
सीवीई-2021-30351
 ए-201430561 * गंभीर बंद-स्रोत घटक
सीवीई-2020-11263
 ए-190404447 * उच्च बंद-स्रोत घटक
सीवीई-2021-1894
 ए-190404405 * उच्च बंद-स्रोत घटक
सीवीई-2021-1918
 ए-190403729 * उच्च बंद-स्रोत घटक
सीवीई-2021-30267
 ए-190403212 * उच्च बंद-स्रोत घटक
सीवीई-2021-30268
 ए-190404446 * उच्च बंद-स्रोत घटक
सीवीई-2021-30269
 ए-190403511 * उच्च बंद-स्रोत घटक
सीवीई-2021-30270
 ए-190402575 * उच्च बंद-स्रोत घटक
सीवीई-2021-30271
 ए-190404402 * उच्च बंद-स्रोत घटक
सीवीई-2021-30272
 ए-190404323 * उच्च बंद-स्रोत घटक
सीवीई-2021-30273
 ए-190404403 * उच्च बंद-स्रोत घटक
सीवीई-2021-30274
 ए-190403731 * उच्च बंद-स्रोत घटक
सीवीई-2021-30278
 ए-190403213 * उच्च बंद-स्रोत घटक
सीवीई-2021-30279
 ए-190402580 * उच्च बंद-स्रोत घटक
सीवीई-2021-30282
 ए-190404328 * उच्च बंद-स्रोत घटक
सीवीई-2021-30283
 ए-190403513 * उच्च बंद-स्रोत घटक
सीवीई-2021-30289
 ए-190404404 * उच्च बंद-स्रोत घटक
सीवीई-2021-30293
 ए-190404327 * उच्च बंद-स्रोत घटक
सीवीई-2021-30303
 ए-199192449 * उच्च बंद-स्रोत घटक
सीवीई-2021-30336
 ए-199191065 * उच्च बंद-स्रोत घटक

Google Play सिस्टम अपडेट

प्रोजेक्ट मेनलाइन घटकों में निम्नलिखित मुद्दे शामिल हैं।

अवयव सीवीई
मीडिया फ़्रेमवर्क घटक सीवीई-2021-0971

सामान्य प्रश्न और उत्तर

यह अनुभाग उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि मेरा डिवाइस इन समस्याओं के समाधान के लिए अपडेट किया गया है या नहीं?

किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपने Android संस्करण की जांच करें और अपडेट करें देखें।

  • 2021-12-01 या बाद के सुरक्षा पैच स्तर 2021-12-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों का समाधान करते हैं।
  • 2021-12-05 या बाद के सुरक्षा पैच स्तर 2021-12-05 सुरक्षा पैच स्तर और सभी पिछले पैच स्तरों से जुड़े सभी मुद्दों का समाधान करते हैं।

जिन डिवाइस निर्माताओं में ये अपडेट शामिल हैं, उन्हें पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[2021-12-01]
  • [ro.build.version.security_patch]:[2021-12-05]

एंड्रॉइड 10 या उसके बाद के कुछ उपकरणों के लिए, Google Play सिस्टम अपडेट में एक दिनांक स्ट्रिंग होगी जो 2021-12-01 सुरक्षा पैच स्तर से मेल खाती है। सुरक्षा अद्यतन स्थापित करने के तरीके के बारे में अधिक जानकारी के लिए कृपया यह आलेख देखें।

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि एंड्रॉइड भागीदारों के पास सभी एंड्रॉइड डिवाइसों में समान कमजोरियों के एक उपसमूह को अधिक तेज़ी से ठीक करने की सुविधा हो। एंड्रॉइड भागीदारों को इस बुलेटिन में सभी मुद्दों को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

  • जो डिवाइस 2021-12-01 सुरक्षा पैच स्तर का उपयोग करते हैं, उनमें उस सुरक्षा पैच स्तर से जुड़े सभी मुद्दों के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट किए गए सभी मुद्दों के समाधान भी शामिल होने चाहिए।
  • जो डिवाइस 2021-12-05 या नए सुरक्षा पैच स्तर का उपयोग करते हैं, उन्हें इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल करने होंगे।

साझेदारों को उन सभी समस्याओं के समाधान को एक ही अपडेट में बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे संबोधित कर रहे हैं।

3. प्रकार कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के प्रकार कॉलम में प्रविष्टियाँ सुरक्षा भेद्यता के वर्गीकरण का संदर्भ देती हैं।

संक्षेपाक्षर परिभाषा
आरसीई रिमोट कोड निष्पादन
ईओपी विशेषाधिकार का उन्नयन
पहचान जानकारी प्रकटीकरण
करने योग्य सेवा की मनाई
एन/ए वर्गीकरण उपलब्ध नहीं है

4. संदर्भ कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के संदर्भ कॉलम के अंतर्गत प्रविष्टियों में उस संगठन की पहचान करने वाला एक उपसर्ग हो सकता है जिससे संदर्भ मान संबंधित है।

उपसर्ग संदर्भ
ए- एंड्रॉइड बग आईडी
QC- क्वालकॉम संदर्भ संख्या
एम- मीडियाटेक संदर्भ संख्या
एन- NVIDIA संदर्भ संख्या
बी- ब्रॉडकॉम संदर्भ संख्या
यू के आकार UNISOC संदर्भ संख्या

5. संदर्भ कॉलम में एंड्रॉइड बग आईडी के आगे * का क्या मतलब है?

जो मुद्दे सार्वजनिक रूप से उपलब्ध नहीं हैं, उनके संबंधित संदर्भ आईडी के आगे * है। उस समस्या का अद्यतन आम तौर पर Google डेवलपर साइट पर उपलब्ध पिक्सेल उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में शामिल होता है।

6. सुरक्षा कमजोरियाँ इस बुलेटिन और डिवाइस/साझेदार सुरक्षा बुलेटिन, जैसे कि पिक्सेल बुलेटिन, के बीच विभाजित क्यों हैं?

इस सुरक्षा बुलेटिन में दर्ज की गई सुरक्षा कमजोरियाँ Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। डिवाइस/साझेदार सुरक्षा बुलेटिन में दर्ज अतिरिक्त सुरक्षा कमजोरियाँ सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक नहीं हैं। एंड्रॉइड डिवाइस और चिपसेट निर्माता अपने उत्पादों, जैसे Google , Huawei , LGE , Motorola , Nokia , या Samsung के लिए विशिष्ट सुरक्षा भेद्यता विवरण भी प्रकाशित कर सकते हैं।

संस्करणों

संस्करण तारीख टिप्पणियाँ
1.0 6 दिसंबर 2021 बुलेटिन जारी
1.1 8 दिसंबर 2021 एओएसपी लिंक को शामिल करने के लिए बुलेटिन को संशोधित किया गया