04 जनवरी 2016 को प्रकाशित | 28 अप्रैल 2016 को अपडेट किया गया
हमने अपनी Android सुरक्षा बुलेटिन मासिक रिलीज़ प्रक्रिया के भाग के रूप में एक ओवर-द-एयर (OTA) अपडेट के माध्यम से Nexus डिवाइस के लिए एक सुरक्षा अपडेट जारी किया है। नेक्सस फर्मवेयर छवियों को Google डेवलपर साइट पर भी जारी किया गया है। 1 जनवरी, 2016 के सुरक्षा पैच स्तर के साथ LMY49F या बाद के संस्करण और Android 6.0 बनाता है या बाद में इन मुद्दों का समाधान करता है। अधिक विवरण के लिए सामान्य प्रश्न और उत्तर अनुभाग देखें।
भागीदारों को इस बुलेटिन में वर्णित मुद्दों के बारे में 7 दिसंबर, 2015 या इससे पहले के बारे में सूचित किया गया था और अपडेट प्रदान किए गए थे। जहां लागू हो, इन मुद्दों के लिए स्रोत कोड पैच Android ओपन सोर्स प्रोजेक्ट (AOSP) रिपॉजिटरी को जारी कर दिए गए हैं।
इन मुद्दों में सबसे गंभीर एक गंभीर सुरक्षा भेद्यता है जो मीडिया फ़ाइलों को संसाधित करते समय ईमेल, वेब ब्राउज़िंग और एमएमएस जैसी कई विधियों के माध्यम से एक प्रभावित डिवाइस पर रिमोट कोड निष्पादन को सक्षम कर सकती है। गंभीरता का मूल्यांकन इस प्रभाव पर आधारित है कि भेद्यता का शोषण संभवतः एक प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफॉर्म और सेवा शमन विकास उद्देश्यों के लिए अक्षम हैं या यदि सफलतापूर्वक बायपास किया गया है।
हमारे पास इन नए रिपोर्ट किए गए मुद्दों के सक्रिय ग्राहक शोषण की कोई रिपोर्ट नहीं है। Android सुरक्षा प्लेटफ़ॉर्म सुरक्षा और सुरक्षा सुरक्षा जैसे सेवा सुरक्षा के विवरण के लिए मिटिगेशन अनुभाग देखें, जो Android प्लेटफ़ॉर्म की सुरक्षा में सुधार करता है। हम सभी ग्राहकों को इन अपडेट को अपने उपकरणों पर स्वीकार करने के लिए प्रोत्साहित करते हैं।
न्यूनीकरण
यह एंड्रॉइड सुरक्षा प्लेटफॉर्म और सेफ्टीनेट जैसे सेवा सुरक्षा द्वारा प्रदान किए गए शमन का सारांश है। ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा कमजोरियों का सफलतापूर्वक शोषण किया जा सकता है।
- एंड्रॉइड प्लेटफॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा एंड्रॉइड पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
- Android सुरक्षा टीम, Verify Apps और SafetyNet के साथ दुर्व्यवहार के लिए सक्रिय रूप से निगरानी कर रही है, जो संभावित रूप से हानिकारक ऐप्लिकेशन इंस्टॉल होने के बारे में चेतावनी देगा। Google Play में डिवाइस रूट करने वाले टूल प्रतिबंधित हैं। Google Play के बाहर से एप्लिकेशन इंस्टॉल करने वाले उपयोगकर्ताओं की सुरक्षा के लिए, ऐप्स सत्यापित करें डिफ़ॉल्ट रूप से सक्षम है और उपयोगकर्ताओं को ज्ञात रूटिंग एप्लिकेशन के बारे में चेतावनी देगा। सत्यापित करें कि ऐप्स एक विशेषाधिकार वृद्धि भेद्यता का फायदा उठाने वाले ज्ञात दुर्भावनापूर्ण अनुप्रयोगों की पहचान करने और उनकी स्थापना को अवरुद्ध करने का प्रयास करते हैं। यदि ऐसा कोई एप्लिकेशन पहले ही इंस्टॉल किया जा चुका है, तो ऐप्स सत्यापित करें उपयोगकर्ता को सूचित करेगा और ऐसे किसी भी एप्लिकेशन को निकालने का प्रयास करेगा।
- जैसा उचित हो, Google Hangouts और Messenger एप्लिकेशन मीडिया को मीडिया सर्वर जैसी प्रक्रियाओं में स्वचालित रूप से नहीं भेजते हैं।
स्वीकृतियाँ
हम इन शोधकर्ताओं को उनके योगदान के लिए धन्यवाद देना चाहते हैं:
- Google Chrome सुरक्षा टीम के अभिषेक आर्य, ओलिवर चांग और मार्टिन बारबेला: CVE-2015-6636
- सेन नी ( @nforest_ ) और कीन लैब के jfang, Tencent ( @K33nTeam ): CVE-2015-6637
- एंड्रॉइड बायोनिक टीम से याबिन कुई: सीवीई-2015-6640
- Google X के टॉम क्रेग: CVE-2015-6641
- जेन हॉर्न ( https://thejh.net ): सीवीई-2015-6642
- जौनी मालिनेन पीजीपी आईडी EFC895FA: CVE-2015-5310
- Google सूचना सुरक्षा इंजीनियर टीम के क्वान गुयेन: CVE-2015-6644
- गैल बेनियामिनी ( @laginimaineb , http ://bits- कृपया.blogspot.com): CVE-2015-6639
सुरक्षा भेद्यता विवरण
नीचे दिए गए अनुभागों में, हम 2016-01-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। समस्या का विवरण, गंभीरता का औचित्य, और सीवीई के साथ एक तालिका, संबंधित बग, गंभीरता, अद्यतन संस्करण और रिपोर्ट की गई तिथि है। उपलब्ध होने पर, हम AOSP परिवर्तन को जोड़ देंगे जिसने समस्या को बग आईडी से संबोधित किया। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त AOSP संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।
Mediaserver में रिमोट कोड निष्पादन भेद्यता
मीडिया फ़ाइल और विशेष रूप से तैयार की गई फ़ाइल के डेटा प्रोसेसिंग के दौरान, मीडियासर्वर में कमजोरियाँ एक हमलावर को मेमोरी भ्रष्टाचार और रिमोट कोड निष्पादन को मीडियासर्वर प्रक्रिया के रूप में करने की अनुमति दे सकती हैं।
प्रभावित कार्यक्षमता ऑपरेटिंग सिस्टम के मुख्य भाग के रूप में प्रदान की जाती है और ऐसे कई अनुप्रयोग हैं जो इसे दूरस्थ सामग्री, विशेष रूप से एमएमएस और मीडिया के ब्राउज़र प्लेबैक के साथ पहुंचने की अनुमति देते हैं।
मीडियासर्वर सेवा के संदर्भ में रिमोट कोड निष्पादन की संभावना के कारण इस समस्या को गंभीर गंभीरता के रूप में रेट किया गया है। मीडियासर्वर सेवा के पास ऑडियो और वीडियो स्ट्रीम के साथ-साथ उन विशेषाधिकारों तक पहुंच है जो सामान्य रूप से तृतीय-पक्ष एप्लिकेशन तक नहीं पहुंच सकते हैं।
| सीवीई | AOSP लिंक के साथ बग (बग) | तीव्रता | अद्यतन संस्करण | तारीख की सूचना दी |
|---|---|---|---|---|
| सीवीई-2015-6636 | एंड्रॉइड-25070493 | नाजुक | 5.0, 5.1.1, 6.0, 6.0.1 | Google आंतरिक |
| एंड्रॉइड-24686670 | नाजुक | 5.0, 5.1.1, 6.0, 6.0.1 | Google आंतरिक |
विविध-एसडी ड्राइवर में विशेषाधिकार भेद्यता का उन्नयन
MediaTek से Misc-sd ड्राइवर में विशेषाधिकार भेद्यता का उन्नयन एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के भीतर मनमाना कोड निष्पादित करने में सक्षम कर सकता है। स्थानीय स्थायी डिवाइस समझौता की संभावना के कारण इस समस्या को गंभीर गंभीरता के रूप में रेट किया गया है, इस मामले में ऑपरेटिंग सिस्टम को फिर से फ्लैश करके डिवाइस को संभवतः मरम्मत करने की आवश्यकता होगी।
| सीवीई | बग | तीव्रता | अद्यतन संस्करण | तारीख की सूचना दी |
|---|---|---|---|---|
| सीवीई-2015-6637 | एंड्रॉइड-25307013* | नाजुक | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | अक्टूबर 26, 2015 |
* इस मुद्दे के लिए पैच AOSP में नहीं है। अद्यतन Google डेवलपर साइट से उपलब्ध Nexus उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में निहित है।
इमेजिनेशन टेक्नोलॉजीज ड्राइवर में विशेषाधिकार भेद्यता का उन्नयन
इमेजिनेशन टेक्नोलॉजीज से कर्नेल ड्राइवर में विशेषाधिकार भेद्यता का उन्नयन एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के भीतर मनमाने कोड को निष्पादित करने में सक्षम कर सकता है। स्थानीय स्थायी डिवाइस समझौता की संभावना के कारण इस समस्या को गंभीर गंभीरता के रूप में रेट किया गया है, इस मामले में ऑपरेटिंग सिस्टम को फिर से फ्लैश करके डिवाइस को संभवतः मरम्मत करने की आवश्यकता होगी।
| सीवीई | बग | तीव्रता | अद्यतन संस्करण | तारीख की सूचना दी |
|---|---|---|---|---|
| सीवीई-2015-6638 | एंड्रॉइड-24673908* | नाजुक | 5.0, 5.1.1, 6.0, 6.0.1 | Google आंतरिक |
* इस मुद्दे के लिए पैच AOSP में नहीं है। अद्यतन Google डेवलपर साइट से उपलब्ध Nexus उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में निहित है।
ट्रस्टज़ोन में विशेषाधिकार कमजोरियों का उन्नयन
वाइडवाइन क्यूएसईई ट्रस्टज़ोन एप्लिकेशन में विशेषाधिकार कमजोरियों की ऊंचाई क्यूएसईईसीओएम तक पहुंच के साथ एक समझौता, विशेषाधिकार प्राप्त एप्लिकेशन को ट्रस्टज़ोन संदर्भ में मनमानी कोड निष्पादित करने में सक्षम कर सकती है। स्थानीय स्थायी डिवाइस समझौता की संभावना के कारण इस समस्या को गंभीर गंभीरता के रूप में रेट किया गया है, इस मामले में ऑपरेटिंग सिस्टम को फिर से फ्लैश करके डिवाइस को संभवतः मरम्मत करने की आवश्यकता होगी।
| सीवीई | बग | तीव्रता | अद्यतन संस्करण | तारीख की सूचना दी |
|---|---|---|---|---|
| सीवीई-2015-6639 | एंड्रॉइड-24446875* | नाजुक | 5.0, 5.1.1, 6.0, 6.0.1 | सितम्बर 23, 2015 |
| सीवीई-2015-6647 | एंड्रॉइड-24441554* | नाजुक | 5.0, 5.1.1, 6.0, 6.0.1 | सितम्बर 27, 2015 |
* इस मुद्दे के लिए पैच AOSP में नहीं है। अद्यतन Google डेवलपर साइट से उपलब्ध Nexus उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में निहित है।
कर्नेल में विशेषाधिकार भेद्यता का उन्नयन
कर्नेल में विशेषाधिकार भेद्यता का उन्नयन एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल में मनमाने कोड को निष्पादित करने में सक्षम कर सकता है। स्थानीय स्थायी डिवाइस समझौता की संभावना के कारण इस समस्या को गंभीर गंभीरता के रूप में रेट किया गया है, इस मामले में ऑपरेटिंग सिस्टम को फिर से फ्लैश करके डिवाइस को संभवतः मरम्मत करने की आवश्यकता होगी।
| सीवीई | AOSP लिंक के साथ बग | तीव्रता | अद्यतन संस्करण | तारीख की सूचना दी |
|---|---|---|---|---|
| सीवीई-2015-6640 | एंड्रॉइड-20017123 | नाजुक | 4.4.4, 5.0, 5.1.1, 6.0 | Google आंतरिक |
ब्लूटूथ में विशेषाधिकार भेद्यता का उन्नयन
ब्लूटूथ घटक में विशेषाधिकार भेद्यता का उन्नयन उपयोगकर्ता की निजी जानकारी (संपर्क) तक पहुंच प्राप्त करने के लिए ब्लूटूथ पर जोड़े गए रिमोट डिवाइस को सक्षम कर सकता है। इस समस्या को उच्च गंभीरता के रूप में रेट किया गया है क्योंकि इसका उपयोग " खतरनाक " क्षमताओं को दूरस्थ रूप से प्राप्त करने के लिए किया जा सकता है, ये अनुमतियां केवल स्थानीय रूप से स्थापित तृतीय-पक्ष एप्लिकेशन के लिए ही पहुंच योग्य हैं।
| सीवीई | AOSP लिंक के साथ बग (बग) | तीव्रता | अद्यतन संस्करण | तारीख की सूचना दी |
|---|---|---|---|---|
| सीवीई-2015-6641 | एंड्रॉइड-23607427 [ 2 ] | उच्च | 6.0, 6.0.1 | Google आंतरिक |
कर्नेल में सूचना प्रकटीकरण सुभेद्यता
कर्नेल में एक सूचना प्रकटीकरण भेद्यता प्लेटफॉर्म का शोषण करने वाले हमलावरों की कठिनाई को बढ़ाने के लिए सुरक्षा उपायों के बाईपास की अनुमति दे सकती है। इन मुद्दों को उच्च गंभीरता के रूप में रेट किया गया है क्योंकि इनका उपयोग उन्नत क्षमताओं को प्राप्त करने के लिए भी किया जा सकता है, जैसे कि सिग्नेचर या सिग्नेचरऑरसिस्टम अनुमति विशेषाधिकार, जो तीसरे पक्ष के अनुप्रयोगों के लिए सुलभ नहीं हैं।
| सीवीई | बग | तीव्रता | अद्यतन संस्करण | तारीख की सूचना दी |
|---|---|---|---|---|
| सीवीई-2015-6642 | एंड्रॉइड-24157888* | उच्च | 4.4.4, 5.0, 5.1.1, 6.0 | सितम्बर 12, 2015 |
* इस मुद्दे के लिए पैच AOSP में नहीं है। अद्यतन Google डेवलपर साइट से उपलब्ध Nexus उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में निहित है।
सेटअप विज़ार्ड में विशेषाधिकार भेद्यता का उन्नयन
सेटअप विज़ार्ड में विशेषाधिकार भेद्यता का उन्नयन डिवाइस की भौतिक पहुंच वाले हमलावर को डिवाइस सेटिंग्स तक पहुंच प्राप्त करने और मैन्युअल डिवाइस रीसेट करने में सक्षम कर सकता है। इस समस्या को मध्यम गंभीरता के रूप में रेट किया गया है क्योंकि इसका उपयोग फ़ैक्टरी रीसेट सुरक्षा के आसपास अनुचित तरीके से काम करने के लिए किया जा सकता है।
| सीवीई | AOSP लिंक के साथ बग (बग) | तीव्रता | अद्यतन संस्करण | तारीख की सूचना दी |
|---|---|---|---|---|
| सीवीई-2015-6643 | एंड्रॉइड-25290269 [ 2 ] | संतुलित | 5.1.1, 6.0, 6.0.1 | Google आंतरिक |
वाई-फाई में विशेषाधिकार भेद्यता का उन्नयन
वाई-फाई घटक में विशेषाधिकार भेद्यता का उन्नयन स्थानीय रूप से निकटतम हमलावर को वाई-फाई सेवा से संबंधित जानकारी तक पहुंच प्राप्त करने में सक्षम बनाता है। एक उपकरण केवल स्थानीय निकटता में होने पर ही इस समस्या के प्रति संवेदनशील होता है। इस समस्या को मध्यम गंभीरता के रूप में रेट किया गया है क्योंकि इसका उपयोग " सामान्य " क्षमताओं को दूरस्थ रूप से प्राप्त करने के लिए किया जा सकता है, ये अनुमतियां केवल स्थानीय रूप से स्थापित तृतीय-पक्ष एप्लिकेशन के लिए ही पहुंच योग्य हैं।
| सीवीई | AOSP लिंक के साथ बग (बग) | तीव्रता | अद्यतन संस्करण | तारीख की सूचना दी |
|---|---|---|---|---|
| सीवीई-2015-5310 | एंड्रॉइड-25266660 | संतुलित | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | अक्टूबर 25, 2015 |
बाउंसी कैसल में सूचना प्रकटीकरण भेद्यता
बाउंसी कैसल में एक सूचना प्रकटीकरण भेद्यता स्थानीय दुर्भावनापूर्ण एप्लिकेशन को उपयोगकर्ता की निजी जानकारी तक पहुंच प्राप्त करने में सक्षम कर सकती है। इस समस्या को मध्यम गंभीरता का दर्जा दिया गया है क्योंकि इसका उपयोग " खतरनाक " अनुमतियों को अनुचित रूप से प्राप्त करने के लिए किया जा सकता है।
| सीवीई | AOSP लिंक के साथ बग (बग) | तीव्रता | अद्यतन संस्करण | तारीख की सूचना दी |
|---|---|---|---|---|
| सीवीई-2015-6644 | एंड्रॉइड-24106146 | संतुलित | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | Google आंतरिक |
SyncManager में सेवा भेद्यता से इनकार
SyncManager में सेवा सुरक्षाछिद्र की अस्वीकृति एक स्थानीय दुर्भावनापूर्ण अनुप्रयोग को रीबूट लूप उत्पन्न करने के लिए सक्षम कर सकती है। इस समस्या को मध्यम गंभीरता के रूप में रेट किया गया है क्योंकि इसका उपयोग स्थानीय अस्थायी रूप से सेवा से इनकार करने के लिए किया जा सकता है जिसे फ़ैक्टरी रीसेट के बावजूद संभवतः ठीक करने की आवश्यकता होगी।
| सीवीई | AOSP लिंक के साथ बग (बग) | तीव्रता | अद्यतन संस्करण | तारीख की सूचना दी |
|---|---|---|---|---|
| सीवीई-2015-6645 | एंड्रॉइड-23591205 | संतुलित | 4.4.4, 5.0, 5.1.1, 6.0 | Google आंतरिक |
Nexus कर्नेल के लिए अटैक सरफेस रिडक्शन
SysV IPC किसी भी Android कर्नेल में समर्थित नहीं है। हमने इसे ओएस से हटा दिया है क्योंकि यह अतिरिक्त हमले की सतह को उजागर करता है जो सिस्टम में कार्यक्षमता नहीं जोड़ता है जिसका दुर्भावनापूर्ण अनुप्रयोगों द्वारा शोषण किया जा सकता है। साथ ही, सिस्टम V IPCs Android के एप्लिकेशन जीवनचक्र के अनुरूप नहीं हैं क्योंकि आवंटित संसाधन मेमोरी मैनेजर द्वारा मुक्त करने योग्य नहीं हैं, जिससे वैश्विक कर्नेल संसाधन रिसाव हो रहा है। यह परिवर्तन CVE-2015-7613 जैसी समस्या का समाधान करता है।
| सीवीई | बग | तीव्रता | अद्यतन संस्करण | तारीख की सूचना दी |
|---|---|---|---|---|
| सीवीई-2015-6646 | एंड्रॉइड-22300191* | संतुलित | 6.0 | Google आंतरिक |
* इस मुद्दे के लिए पैच एओएसपी में नहीं है। अद्यतन Google डेवलपर साइट से उपलब्ध Nexus उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में निहित है।
सामान्य प्रश्न और उत्तर
यह खंड उन सामान्य प्रश्नों के उत्तरों की समीक्षा करता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।
1. मैं कैसे निर्धारित करूं कि इन समस्याओं को दूर करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?
1 जनवरी, 2016 के सुरक्षा पैच स्तर के साथ LMY49F या बाद के संस्करण और Android 6.0 बनाता है या बाद में इन मुद्दों का समाधान करता है। सुरक्षा पैच स्तर की जांच कैसे करें, इस पर निर्देशों के लिए Nexus दस्तावेज़ देखें। इन अद्यतनों को शामिल करने वाले डिवाइस निर्माताओं को पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए: [ro.build.version.security_patch]:[2016-01-01]
संशोधन
- जनवरी 04, 2016: बुलेटिन प्रकाशित।
- 06 जनवरी 2016: एओएसपी लिंक को शामिल करने के लिए बुलेटिन में संशोधन किया गया।
- 28 अप्रैल 2016: सीवीई-2015-6617 को पावती से हटाया गया और सीवीई-2015-6647 को सारांश तालिका में जोड़ा गया