इस पेज का अनुवाद Cloud Translation API से किया गया है.

एंड्रॉइड सुरक्षा बुलेटिन-जनवरी 2017

03 जनवरी 2017 को प्रकाशित | 2 फरवरी, 2017 को अपडेट किया गया

एंड्रॉइड सुरक्षा बुलेटिन में एंड्रॉइड डिवाइसों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण शामिल है। बुलेटिन के साथ-साथ, हमने ओवर-द-एयर (ओटीए) अपडेट के माध्यम से Google उपकरणों के लिए एक सुरक्षा अपडेट भी जारी किया है। Google डिवाइस फर्मवेयर छवियां Google डेवलपर साइट पर भी जारी की गई हैं। 05 जनवरी, 2017 या उसके बाद के सुरक्षा पैच स्तर इन सभी मुद्दों का समाधान करते हैं। किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए पिक्सेल और नेक्सस अपडेट शेड्यूल देखें।

बुलेटिन में वर्णित मुद्दों के बारे में भागीदारों को 05 दिसंबर 2016 या उससे पहले सूचित किया गया था। इन मुद्दों के लिए सोर्स कोड पैच एंड्रॉइड ओपन सोर्स प्रोजेक्ट (एओएसपी) रिपॉजिटरी में जारी किए गए हैं और इस बुलेटिन से लिंक किए गए हैं। इस बुलेटिन में AOSP के बाहर के पैच के लिंक भी शामिल हैं।

इनमें से सबसे गंभीर समस्या एक गंभीर सुरक्षा भेद्यता है जो मीडिया फ़ाइलों को संसाधित करते समय ईमेल, वेब ब्राउज़िंग और एमएमएस जैसे कई तरीकों के माध्यम से प्रभावित डिवाइस पर रिमोट कोड निष्पादन को सक्षम कर सकती है। गंभीरता का मूल्यांकन उस प्रभाव पर आधारित है जो भेद्यता का शोषण संभवतः प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफ़ॉर्म और सेवा शमन विकास उद्देश्यों के लिए अक्षम हैं या यदि सफलतापूर्वक बायपास किए गए हैं।

हमारे पास सक्रिय ग्राहक शोषण या इन नए रिपोर्ट किए गए मुद्दों के दुरुपयोग की कोई रिपोर्ट नहीं है। एंड्रॉइड सुरक्षा प्लेटफ़ॉर्म सुरक्षा और SafetyNet जैसी सेवा सुरक्षा पर विवरण के लिए एंड्रॉइड और Google सेवा शमन अनुभाग देखें, जो एंड्रॉइड प्लेटफ़ॉर्म की सुरक्षा में सुधार करता है।

हम सभी ग्राहकों को अपने डिवाइस पर इन अपडेट को स्वीकार करने के लिए प्रोत्साहित करते हैं।

घोषणाएं

इस बुलेटिन में एंड्रॉइड भागीदारों को सभी एंड्रॉइड डिवाइसों में समान कमजोरियों के सबसेट को अधिक तेज़ी से ठीक करने की लचीलापन प्रदान करने के लिए दो सुरक्षा पैच स्तर की स्ट्रिंग हैं। अतिरिक्त जानकारी के लिए सामान्य प्रश्न और उत्तर देखें:
- 2017-01-01 : आंशिक सुरक्षा पैच लेवल स्ट्रिंग। यह सुरक्षा पैच लेवल स्ट्रिंग इंगित करती है कि 2017-01-01 (और सभी पिछले सुरक्षा पैच लेवल स्ट्रिंग्स) से जुड़े सभी मुद्दों को संबोधित किया गया है।
- 2017-01-05 : पूर्ण सुरक्षा पैच लेवल स्ट्रिंग। यह सुरक्षा पैच लेवल स्ट्रिंग इंगित करती है कि 2017-01-01 और 2017-01-05 (और सभी पिछले सुरक्षा पैच लेवल स्ट्रिंग्स) से जुड़े सभी मुद्दों को संबोधित किया गया है।
समर्थित Google उपकरणों को 05 जनवरी, 2017 सुरक्षा पैच स्तर के साथ एक एकल OTA अपडेट प्राप्त होगा।

सुरक्षा भेद्यता सारांश

नीचे दी गई तालिका में सुरक्षा कमजोरियों की सूची, सामान्य भेद्यता और एक्सपोजर आईडी (सीवीई), मूल्यांकन की गई गंभीरता और Google डिवाइस प्रभावित हैं या नहीं, इसकी सूची शामिल है। गंभीरता का मूल्यांकन उस प्रभाव पर आधारित है जो भेद्यता का शोषण संभवतः प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफ़ॉर्म और सेवा शमन विकास उद्देश्यों के लिए अक्षम हैं या यदि सफलतापूर्वक बायपास किए गए हैं।

Android और Google सेवा शमन

यह एंड्रॉइड सुरक्षा प्लेटफ़ॉर्म और सेफ्टीनेट जैसी सेवा सुरक्षा द्वारा प्रदान किए गए शमन का सारांश है। ये क्षमताएं इस संभावना को कम कर देती हैं कि एंड्रॉइड पर सुरक्षा कमजोरियों का सफलतापूर्वक फायदा उठाया जा सकता है।

एंड्रॉइड प्लेटफ़ॉर्म के नए संस्करणों में संवर्द्धन द्वारा एंड्रॉइड पर कई मुद्दों का शोषण और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, एंड्रॉइड के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
एंड्रॉइड सुरक्षा टीम सक्रिय रूप से Verify Apps और SafetyNet के साथ दुरुपयोग की निगरानी करती है, जो उपयोगकर्ताओं को संभावित रूप से हानिकारक अनुप्रयोगों के बारे में चेतावनी देने के लिए डिज़ाइन किया गया है। सत्यापित ऐप्स Google मोबाइल सेवाओं वाले उपकरणों पर डिफ़ॉल्ट रूप से सक्षम है और यह उन उपयोगकर्ताओं के लिए विशेष रूप से महत्वपूर्ण है जो Google Play के बाहर से एप्लिकेशन इंस्टॉल करते हैं। Google Play में डिवाइस रूटिंग टूल प्रतिबंधित हैं, लेकिन Verify Apps उपयोगकर्ताओं को चेतावनी देता है जब वे किसी ज्ञात रूटिंग एप्लिकेशन को इंस्टॉल करने का प्रयास करते हैं - चाहे वह कहीं से भी आया हो। इसके अतिरिक्त, Verify Apps ज्ञात दुर्भावनापूर्ण एप्लिकेशन की स्थापना को पहचानने और ब्लॉक करने का प्रयास करता है जो विशेषाधिकार वृद्धि भेद्यता का फायदा उठाते हैं। यदि ऐसा कोई एप्लिकेशन पहले ही इंस्टॉल हो चुका है, तो Verify Apps उपयोगकर्ता को सूचित करेगा और पता लगाए गए एप्लिकेशन को हटाने का प्रयास करेगा।
जैसा उचित हो, Google Hangouts और मैसेंजर एप्लिकेशन स्वचालित रूप से मीडिया को मीडियासर्वर जैसी प्रक्रियाओं में पास नहीं करते हैं।

स्वीकृतियाँ

हम इन शोधकर्ताओं को उनके योगदान के लिए धन्यवाद देना चाहते हैं:

अलेक्जेंड्रू ब्लांडा: सीवीई-2017-0390
कॉपरहेड सुरक्षा के डैनियल मिके: CVE-2017-0397
ज़ुआनवु लैब, टेनसेंट के डैक्सिंग गुओ ( @freener0 ): CVE-2017-0386
डेरेक ( @derrekr6 ): CVE-2017-0392
कीनलैब के डि शेन ( @returnsme ), टेनसेंट: CVE-2016-8412, CVE-2016-8444, CVE-2016-8427, CVE- 2017-0403
शेलफिश ग्रिल टीम के डोनफोस (अरविंद माचिरी), यूसी सांता बारबरा: सीवीई-2016-8448, सीवीई-2016-8470, सीवीई-2016-8471, सीवीई-2016-8472
MS509Team के एन हे ( @heeeeen4x ) : CVE-2017-0394
गेंग्जिया चेन ( @chengjia4574 ) और आइसस्वॉर्ड लैब के पीजेएफ , क्यूहू 360 टेक्नोलॉजी कंपनी लिमिटेड: CVE-2016-8464
Google WebM टीम: CVE-2017-0393
अल्फा टीम के गुआंग गोंग (龚广) ( @oldfresher ), Qihoo 360 टेक्नोलॉजी कंपनी लिमिटेड : CVE-2017-0387
अल्फा टीम के हाओ चेन और गुआंग गोंग, क्यूहू 360 टेक्नोलॉजी कंपनी लिमिटेड: सीवीई-2016-8415, सीवीई-2016-8454, सीवीई-2016-8455, सीवीई-2016-8456, सीवीई-2016-8457, सीवीई-2016 -8465
जियानकियांग झाओ ( @jianqiangzhao ) और आइसस्वॉर्ड लैब के पीजेएफ , क्यूहू 360: सीवीई-2016-8475
जॉन सॉयर ( @jcase ) और सीन ब्यूप्रे ( @firewaterdevs ): CVE-2016-8462
जॉन सॉयर ( @jcase ), सीन ब्यूप्रे ( @firewaterdevs ), और बेन एक्टिस ( @Ben_RA ): CVE-2016-8461
मिंगजियन झोउ ( @Mingjian_Zhou ), युकी लू ( @nikos233 ), चियाचिह वू ( @chiachih_wu ), और C0RE टीम के ज़ुक्सियन जियांग: CVE-2017-0383
भिक्षु एवेल: CVE-2017-0396, CVE-2017-0399
ट्रेंड माइक्रो के पीटर पाई ( @heisecode ): CVE-2016-8469, CVE-2016-8424, CVE-2016-8428, CVE-2016-8429, CVE-2016-8460, CVE-2016-8473, CVE-2016- 8474
किदान हे (何淇丹) ( @flanker_hqd ) कीनलैब, टेनसेंट (腾讯科恩实验室): CVE-2017-0382
आईबीएम सिक्योरिटी एक्स-फोर्स के रोई हे और माइकल गोबरमैन: सीवीई-2016-8467
ट्रेंड माइक्रो मोबाइल थ्रेट रिसर्च टीम के सेवन शेन ( @lingtongshen ): CVE-2016-8466
स्टीफ़न मॉरो: CVE-2017-0389
मोबाइल थ्रेट रिसर्च टीम के VEO ( @VYSEa ), ट्रेंड माइक्रो : CVE-2017-0381
अलीबाबा इंक. के वीचाओ सन ( @sunblate ): CVE-2017-0391
वेन्के डू , चियाचिह वू ( @chiachih_wu ), और C0RE टीम के ज़ुक्सियन जियांग: CVE-2017-0402, CVE-2017-0398
वेन्के डू , हानक्सियांग वेन , चियाचिह वू ( @chiachih_wu ), और C0RE टीम के ज़ुक्सियन जियांग: CVE-2017-0400
वेन्के डू , हांगली हान , चियाचिह वू ( @chiachih_wu ), और C0RE टीम के ज़ुक्सियन जियांग: CVE-2017-0384, CVE-2017-0385
वेन्के डू , युकी लू ( @nikos233 ), चियाचिह वू ( @chiachih_wu ), और C0RE टीम के ज़ुक्सियान जियांग: CVE-2017-0401
याओ जून , युआन-त्सुंग लो , चियाचिह वू ( @chiachih_wu ), और C0RE टीम के ज़ुक्सियन जियांग: CVE-2016-8431, CVE-2016-8432, CVE-2016-8435
योंग वांग (王勇) ( @ThomasKing2014 ) और अलीबाबा इंक के जून चेंग: CVE-2017-0404
युआन-त्सुंग लो , टोंग लिन , चियाचिह वू ( @chiachih_wu ), और C0RE टीम के ज़ुक्सियान जियांग: CVE-2016-8425, CVE-2016-8426, CVE-2016-8449
युआन-त्सुंग लो , यानफेंग वांग , चियाचिह वू ( @chiachih_wu ), और C0RE टीम के ज़ुक्सियन जियांग: CVE-2016-8430, CVE-2016-8482
Tencent सुरक्षा प्लेटफ़ॉर्म विभाग के युक्सियांग ली ( @Xbalien29 ): CVE-2017-0395
सिक्योरिटी रिसर्च लैब, चीता मोबाइल के झानपेंग झाओ (行之) ( @0xr0ot ) : CVE-2016-8451

हम इस बुलेटिन में योगदान के लिए निम्नलिखित शोधकर्ताओं को भी धन्यवाद देना चाहेंगे:

अलीबाबा मोबाइल सिक्योरिटी ग्रुप के बाओज़ेंग डिंग, चेंगमिंग यांग, पेंग जिओ, निंग यू, यांग डोंग, चाओ यांग, यी झांग और यांग सॉन्ग
ट्रेंड माइक्रो के पीटर पाई ( @heisecode )।
गूगल के जुबिन मिथ्रा

2017-01-01 सुरक्षा पैच स्तर—भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2017-01-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा कमजोरियों का विवरण प्रदान करते हैं। इसमें समस्या का विवरण, गंभीरता का तर्क और सीवीई, संबंधित संदर्भ, गंभीरता, अपडेट किए गए Google डिवाइस, अपडेट किए गए एओएसपी संस्करण (जहां लागू हो), और रिपोर्ट की गई तारीख के साथ एक तालिका है। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को लिंक करेंगे जिसने समस्या को बग आईडी से संबोधित किया है, जैसे एओएसपी परिवर्तन सूची। जब एकाधिक परिवर्तन एक ही बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद वाले नंबरों से जुड़े होते हैं।

सी-एरेस में रिमोट कोड निष्पादन भेद्यता

सी-एरेस में एक रिमोट कोड निष्पादन भेद्यता एक हमलावर को एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए विशेष रूप से तैयार किए गए अनुरोध का उपयोग करने में सक्षम कर सकती है। इस लाइब्रेरी का उपयोग करने वाले एप्लिकेशन में रिमोट कोड निष्पादन की संभावना के कारण इस समस्या को उच्च दर्जा दिया गया है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	अद्यतन AOSP संस्करण	दिनांक सूचित किया गया
सीवीई-2016-5180	ए-32205736	उच्च	सभी	7.0	29 सितम्बर 2016

फ़्रेमसीक्वेंस में रिमोट कोड निष्पादन भेद्यता

फ़्रेमसीक्वेंस लाइब्रेरी में एक रिमोट कोड निष्पादन भेद्यता एक हमलावर को एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक अप्रकाशित प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकती है। फ़्रेमसीक्वेंस लाइब्रेरी का उपयोग करने वाले एप्लिकेशन में रिमोट कोड निष्पादन की संभावना के कारण इस समस्या को उच्च दर्जा दिया गया है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	अद्यतन AOSP संस्करण	दिनांक सूचित किया गया
सीवीई-2017-0382	ए-32338390	उच्च	सभी	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	21 अक्टूबर 2016

फ्रेमवर्क एपीआई में विशेषाधिकार भेद्यता का बढ़ना

फ़्रेमवर्क एपीआई में विशेषाधिकार भेद्यता का बढ़ना एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च के रूप में रेट किया गया है क्योंकि इसका उपयोग उन्नत क्षमताओं तक स्थानीय पहुंच प्राप्त करने के लिए किया जा सकता है, जो सामान्य रूप से तीसरे पक्ष के एप्लिकेशन के लिए पहुंच योग्य नहीं हैं।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	अद्यतन AOSP संस्करण	दिनांक सूचित किया गया
सीवीई-2017-0383	ए-31677614	उच्च	सभी	7.0, 7.1.1	सितम्बर 21, 2016

ऑडियोसर्वर में विशेषाधिकार भेद्यता का बढ़ना

ऑडियोसर्वर में विशेषाधिकार भेद्यता का बढ़ना एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च के रूप में रेट किया गया है क्योंकि इसका उपयोग उन्नत क्षमताओं तक स्थानीय पहुंच प्राप्त करने के लिए किया जा सकता है, जो सामान्य रूप से तीसरे पक्ष के एप्लिकेशन के लिए पहुंच योग्य नहीं हैं।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	अद्यतन AOSP संस्करण	दिनांक सूचित किया गया
सीवीई-2017-0384	ए-32095626	उच्च	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	11 अक्टूबर 2016
सीवीई-2017-0385	ए-32585400	उच्च	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	11 अक्टूबर 2016

लिबएनएल में विशेषाधिकार भेद्यता का बढ़ना

लिबएनएल लाइब्रेरी में विशेषाधिकार भेद्यता का बढ़ना एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च के रूप में रेट किया गया है क्योंकि इसका उपयोग उन्नत क्षमताओं तक स्थानीय पहुंच प्राप्त करने के लिए किया जा सकता है, जो सामान्य रूप से तीसरे पक्ष के एप्लिकेशन के लिए पहुंच योग्य नहीं हैं।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	अद्यतन AOSP संस्करण	दिनांक सूचित किया गया
सीवीई-2017-0386	ए-32255299	उच्च	सभी	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	18 अक्टूबर 2016

मीडियासर्वर में विशेषाधिकार भेद्यता का बढ़ना

मीडियासर्वर में विशेषाधिकार भेद्यता का बढ़ना एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च के रूप में रेट किया गया है क्योंकि इसका उपयोग उन्नत क्षमताओं तक स्थानीय पहुंच प्राप्त करने के लिए किया जा सकता है, जो सामान्य रूप से तीसरे पक्ष के एप्लिकेशन के लिए पहुंच योग्य नहीं हैं।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	अद्यतन AOSP संस्करण	दिनांक सूचित किया गया
सीवीई-2017-0387	ए-32660278	उच्च	सभी	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	4 नवंबर 2016

बाह्य संग्रहण प्रदाता में सूचना प्रकटीकरण भेद्यता

बाह्य संग्रहण प्रदाता में सूचना प्रकटीकरण भेद्यता स्थानीय द्वितीयक उपयोगकर्ता को प्राथमिक उपयोगकर्ता द्वारा डाले गए बाह्य संग्रहण एसडी कार्ड से डेटा पढ़ने में सक्षम कर सकती है। इस समस्या को उच्च रेटिंग दी गई है क्योंकि इसका उपयोग बिना अनुमति के डेटा तक पहुंचने के लिए किया जा सकता है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	अद्यतन AOSP संस्करण	दिनांक सूचित किया गया
सीवीई-2017-0388	ए-32523490	उच्च	सभी	6.0, 6.0.1, 7.0, 7.1.1	गूगल आंतरिक

कोर नेटवर्किंग में सेवा भेद्यता का खंडन

कोर नेटवर्किंग में सेवा भेद्यता से इनकार एक दूरस्थ हमलावर को डिवाइस को हैंग करने या रीबूट करने के लिए विशेष रूप से तैयार किए गए नेटवर्क पैकेट का उपयोग करने में सक्षम कर सकता है। सेवा को दूरस्थ रूप से अस्वीकार करने की संभावना के कारण इस समस्या को उच्च श्रेणी में रखा गया है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	अद्यतन AOSP संस्करण	दिनांक सूचित किया गया
सीवीई-2017-0389	ए-31850211 [ 2 ] [ 3 ]	उच्च	सभी	6.0, 6.0.1, 7.0, 7.1.1	20 जुलाई 2016

मीडियासर्वर में सेवा भेद्यता का खंडन

मीडियासर्वर में सेवा भेद्यता से इनकार एक दूरस्थ हमलावर को डिवाइस को हैंग करने या रीबूट करने के लिए विशेष रूप से तैयार की गई फ़ाइल का उपयोग करने में सक्षम कर सकता है। सेवा को दूरस्थ रूप से अस्वीकार करने की संभावना के कारण इस समस्या को उच्च श्रेणी में रखा गया है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	अद्यतन AOSP संस्करण	दिनांक सूचित किया गया
सीवीई-2017-0390	ए-31647370	उच्च	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	19 सितम्बर 2016
सीवीई-2017-0391	ए-32322258	उच्च	सभी	6.0, 6.0.1, 7.0, 7.1.1	20 अक्टूबर 2016
सीवीई-2017-0392	ए-32577290	उच्च	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	29 अक्टूबर 2016
सीवीई-2017-0393	ए-30436808	उच्च	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	गूगल आंतरिक

टेलीफोनी में सेवा भेद्यता का खंडन

टेलीफ़ोनी में सेवा से इनकार की भेद्यता एक दूरस्थ हमलावर को डिवाइस को हैंग करने या रीबूट करने में सक्षम कर सकती है। सेवा को दूरस्थ रूप से अस्वीकार करने की संभावना के कारण इस समस्या को उच्च श्रेणी में रखा गया है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	अद्यतन AOSP संस्करण	दिनांक सूचित किया गया
सीवीई-2017-0394	ए-31752213	उच्च	सभी	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	सितम्बर 23, 2016

संपर्कों में विशेषाधिकार भेद्यता का बढ़ना

संपर्कों में विशेषाधिकार भेद्यता बढ़ने से स्थानीय दुर्भावनापूर्ण एप्लिकेशन चुपचाप संपर्क जानकारी बनाने में सक्षम हो सकता है। इस समस्या को मॉडरेट के रूप में रेट किया गया है क्योंकि यह उपयोगकर्ता इंटरैक्शन आवश्यकताओं का एक स्थानीय बाईपास है (कार्यक्षमता तक पहुंच जिसके लिए आमतौर पर उपयोगकर्ता आरंभ या उपयोगकर्ता की अनुमति की आवश्यकता होती है)।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	अद्यतन AOSP संस्करण	दिनांक सूचित किया गया
सीवीई-2017-0395	ए-32219099	मध्यम	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	15 अक्टूबर 2016

मीडियासर्वर में सूचना प्रकटीकरण भेद्यता

मीडियासर्वर में एक सूचना प्रकटीकरण भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को उसके अनुमति स्तर के बाहर डेटा तक पहुंचने में सक्षम कर सकती है। इस समस्या को मध्यम श्रेणी का दर्जा दिया गया है क्योंकि इसका उपयोग बिना अनुमति के संवेदनशील डेटा तक पहुँचने के लिए किया जा सकता है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	अद्यतन AOSP संस्करण	दिनांक सूचित किया गया
सीवीई-2017-0381	ए-31607432	मध्यम	सभी	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	सितम्बर 18, 2016
सीवीई-2017-0396	ए-31781965	मध्यम	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	सितम्बर 27, 2016
सीवीई-2017-0397	ए-32377688	मध्यम	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	21 अक्टूबर 2016

ऑडियोसर्वर में सूचना प्रकटीकरण भेद्यता

ऑडियोसर्वर में सूचना प्रकटीकरण भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को उसके अनुमति स्तर के बाहर डेटा तक पहुंचने में सक्षम कर सकती है। इस समस्या को मध्यम श्रेणी का दर्जा दिया गया है क्योंकि इसका उपयोग बिना अनुमति के संवेदनशील डेटा तक पहुँचने के लिए किया जा सकता है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	अद्यतन AOSP संस्करण	दिनांक सूचित किया गया
सीवीई-2017-0398	ए-32438594	मध्यम	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	25 अक्टूबर 2016
सीवीई-2017-0398	ए-32635664	मध्यम	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	25 अक्टूबर 2016
सीवीई-2017-0398	ए-32624850	मध्यम	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	25 अक्टूबर 2016
सीवीई-2017-0399	ए-32247948 [ 2 ]	मध्यम	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	18 अक्टूबर 2016
सीवीई-2017-0400	ए-32584034 [ 2 ]	मध्यम	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	25 अक्टूबर 2016
सीवीई-2017-0401	ए-32448258	मध्यम	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	26 अक्टूबर 2016
सीवीई-2017-0402	ए-32436341 [ 2 ]	मध्यम	सभी	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	25 अक्टूबर 2016

2017-01-05 सुरक्षा पैच स्तर—भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2017-01-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा कमजोरियों का विवरण प्रदान करते हैं। इसमें समस्या का विवरण, गंभीरता का तर्क और सीवीई, संबंधित संदर्भ, गंभीरता, अपडेट किए गए Google डिवाइस, अपडेट किए गए एओएसपी संस्करण (जहां लागू हो), और रिपोर्ट की गई तारीख के साथ एक तालिका है। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को लिंक करेंगे जिसने समस्या को बग आईडी से संबोधित किया है, जैसे एओएसपी परिवर्तन सूची। जब एकाधिक परिवर्तन एक ही बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद वाले नंबरों से जुड़े होते हैं।

कर्नेल मेमोरी सबसिस्टम में विशेषाधिकार भेद्यता का बढ़ना

कर्नेल मेमोरी सबसिस्टम में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। स्थानीय स्थायी डिवाइस से समझौता होने की संभावना के कारण इस समस्या को गंभीर माना गया है, जिससे डिवाइस की मरम्मत के लिए ऑपरेटिंग सिस्टम को रीफ़्लैश करने की आवश्यकता हो सकती है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2015-3288	ए-32460277 अपस्ट्रीम कर्नेल	गंभीर	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel C, Nexus प्लेयर, Pixel, Pixel XL	9 जुलाई 2015

क्वालकॉम बूटलोडर में विशेषाधिकार भेद्यता का बढ़ना

क्वालकॉम बूटलोडर में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। स्थानीय स्थायी डिवाइस से समझौता होने की संभावना के कारण इस समस्या को गंभीर माना गया है, जिससे डिवाइस की मरम्मत के लिए ऑपरेटिंग सिस्टम को रीफ़्लैश करने की आवश्यकता हो सकती है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8422	ए-31471220 क्यूसी-सीआर#979426	गंभीर	Nexus 6, Nexus 6P, Pixel, Pixel XL	22 जुलाई 2016
सीवीई-2016-8423	ए-31399736 क्यूसी-सीआर#1000546	गंभीर	नेक्सस 6P, पिक्सेल, पिक्सेल XL	24 अगस्त 2016

कर्नेल फ़ाइल सिस्टम में विशेषाधिकार भेद्यता का बढ़ना

कर्नेल फ़ाइल सिस्टम में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। स्थानीय स्थायी डिवाइस से समझौता होने की संभावना के कारण इस समस्या को गंभीर माना गया है, जिससे डिवाइस की मरम्मत के लिए ऑपरेटिंग सिस्टम को रीफ़्लैश करने की आवश्यकता हो सकती है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2015-5706	ए-32289301 अपस्ट्रीम कर्नेल	गंभीर	कोई नहीं*	1 अगस्त 2016

* एंड्रॉइड 7.0 या उसके बाद के संस्करण पर समर्थित Google डिवाइस जिन्होंने सभी उपलब्ध अपडेट इंस्टॉल किए हैं, इस भेद्यता से प्रभावित नहीं होते हैं।

NVIDIA GPU ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना

NVIDIA GPU ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। स्थानीय स्थायी डिवाइस से समझौता होने की संभावना के कारण इस समस्या को गंभीर माना गया है, जिससे डिवाइस की मरम्मत के लिए ऑपरेटिंग सिस्टम को रीफ़्लैश करने की आवश्यकता हो सकती है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8424	ए-31606947* एन-सीवीई-2016-8424	गंभीर	नेक्सस 9	सितम्बर 17, 2016
सीवीई-2016-8425	ए-31797770* एन-सीवीई-2016-8425	गंभीर	नेक्सस 9	सितम्बर 28, 2016
सीवीई-2016-8426	ए-31799206* एन-सीवीई-2016-8426	गंभीर	नेक्सस 9	सितम्बर 28, 2016
सीवीई-2016-8482	ए-31799863* एन-सीवीई-2016-8482	गंभीर	नेक्सस 9	सितम्बर 28, 2016
सीवीई-2016-8427	ए-31799885* एन-सीवीई-2016-8427	गंभीर	नेक्सस 9	सितम्बर 28, 2016
सीवीई-2016-8428	ए-31993456* एन-सीवीई-2016-8428	गंभीर	नेक्सस 9	6 अक्टूबर 2016
सीवीई-2016-8429	ए-32160775* एन-सीवीई-2016-8429	गंभीर	नेक्सस 9	13 अक्टूबर 2016
सीवीई-2016-8430	ए-32225180* एन-सीवीई-2016-8430	गंभीर	नेक्सस 9	17 अक्टूबर 2016
सीवीई-2016-8431	ए-32402179* एन-सीवीई-2016-8431	गंभीर	पिक्सेल सी	25 अक्टूबर 2016
सीवीई-2016-8432	ए-32447738* एन-सीवीई-2016-8432	गंभीर	पिक्सेल सी	26 अक्टूबर 2016

* इस समस्या का पैच सार्वजनिक रूप से उपलब्ध नहीं है। यह अपडेट Google डेवलपर साइट पर उपलब्ध नेक्सस उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में शामिल है।

मीडियाटेक ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना

मीडियाटेक ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। स्थानीय स्थायी डिवाइस से समझौता होने की संभावना के कारण इस समस्या को गंभीर माना गया है, जिससे डिवाइस की मरम्मत के लिए ऑपरेटिंग सिस्टम को रीफ़्लैश करने की आवश्यकता हो सकती है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8433	ए-31750190* एमटी-ALPS02974192	गंभीर	कोई नहीं**	सितम्बर 24, 2016

** एंड्रॉइड 7.0 या उसके बाद के संस्करण पर समर्थित Google डिवाइस जिन्होंने सभी उपलब्ध अपडेट इंस्टॉल किए हैं, इस भेद्यता से प्रभावित नहीं होते हैं।

क्वालकॉम जीपीयू ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना

क्वालकॉम जीपीयू ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। स्थानीय स्थायी डिवाइस से समझौता होने की संभावना के कारण इस समस्या को गंभीर माना गया है, जिससे डिवाइस की मरम्मत के लिए ऑपरेटिंग सिस्टम को रीफ़्लैश करने की आवश्यकता हो सकती है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8434	ए-32125137 क्यूसी-सीआर#1081855	गंभीर	नेक्सस 5एक्स, नेक्सस 6, नेक्सस 6पी, एंड्रॉइड वन	12 अक्टूबर 2016

NVIDIA GPU ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8435	ए-32700935* एन-सीवीई-2016-8435	गंभीर	पिक्सेल सी	7 नवंबर 2016

क्वालकॉम वीडियो ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना

क्वालकॉम वीडियो ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। स्थानीय स्थायी डिवाइस से समझौता होने की संभावना के कारण इस समस्या को गंभीर माना गया है, जिससे डिवाइस की मरम्मत के लिए ऑपरेटिंग सिस्टम को रीफ़्लैश करने की आवश्यकता हो सकती है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8436	ए-32450261 क्यूसी-सीआर#1007860	गंभीर	कोई नहीं*	13 अक्टूबर 2016

क्वालकॉम घटकों में कमजोरियाँ

निम्नलिखित कमजोरियाँ क्वालकॉम घटकों को प्रभावित करती हैं और क्वालकॉम एएमएसएस नवंबर 2015, अगस्त 2016, सितंबर 2016 और अक्टूबर 2016 सुरक्षा बुलेटिन में अधिक विस्तार से वर्णित हैं।

सीवीई	संदर्भ	तीव्रता*	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8438	ए-31624565**	गंभीर	कोई नहीं***	क्वालकॉम आंतरिक
सीवीई-2016-8442	ए-31625910**	गंभीर	कोई नहीं***	क्वालकॉम आंतरिक
सीवीई-2016-8443	ए-32576499**	गंभीर	कोई नहीं***	क्वालकॉम आंतरिक
सीवीई-2016-8437	ए-31623057**	उच्च	कोई नहीं***	क्वालकॉम आंतरिक
सीवीई-2016-8439	ए-31625204**	उच्च	कोई नहीं***	क्वालकॉम आंतरिक
सीवीई-2016-8440	ए-31625306**	उच्च	कोई नहीं***	क्वालकॉम आंतरिक
सीवीई-2016-8441	ए-31625904**	उच्च	कोई नहीं***	क्वालकॉम आंतरिक
सीवीई-2016-8398	ए-31548486**	उच्च	नेक्सस 5एक्स, नेक्सस 6, नेक्सस 6पी, एंड्रॉइड वन	क्वालकॉम आंतरिक
सीवीई-2016-8459	ए-32577972**	उच्च	कोई नहीं***	क्वालकॉम आंतरिक
सीवीई-2016-5080	ए-31115235**	मध्यम	नेक्सस 5X	क्वालकॉम आंतरिक

* इन कमजोरियों की गंभीरता रेटिंग विक्रेता द्वारा निर्धारित की गई थी।

** इस समस्या का पैच सार्वजनिक रूप से उपलब्ध नहीं है। यह अपडेट Google डेवलपर साइट पर उपलब्ध नेक्सस उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में शामिल है।

*** एंड्रॉइड 7.0 या उसके बाद के संस्करण पर समर्थित Google डिवाइस जिन्होंने सभी उपलब्ध अपडेट इंस्टॉल किए हैं, इस भेद्यता से प्रभावित नहीं होते हैं।

क्वालकॉम कैमरे में विशेषाधिकार भेद्यता का बढ़ना

क्वालकॉम कैमरे में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8412	ए-31225246 क्यूसी-सीआर#1071891	उच्च	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	26 अगस्त 2016
सीवीई-2016-8444	ए-31243641* क्यूसी-सीआर#1074310	उच्च	नेक्सस 5एक्स, नेक्सस 6, नेक्सस 6पी	26 अगस्त 2016

मीडियाटेक घटकों में विशेषाधिकार भेद्यता का बढ़ना

थर्मल ड्राइवर और वीडियो ड्राइवर सहित मीडियाटेक घटकों में विशेषाधिकार भेद्यता का बढ़ना, स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8445	ए-31747590* एमटी-ALPS02968983	उच्च	कोई नहीं**	सितम्बर 25, 2016
सीवीई-2016-8446	ए-31747749* एमटी-ALPS02968909	उच्च	कोई नहीं**	सितम्बर 25, 2016
सीवीई-2016-8447	ए-31749463* एमटी-ALPS02968886	उच्च	कोई नहीं**	सितम्बर 25, 2016
सीवीई-2016-8448	ए-31791148* एमटी-ALPS02982181	उच्च	कोई नहीं**	सितम्बर 28, 2016

क्वालकॉम वाई-फाई ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना

क्वालकॉम वाई-फाई ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8415	ए-31750554 क्यूसी-सीआर#1079596	उच्च	नेक्सस 5X, पिक्सेल, पिक्सेल XL	सितम्बर 26, 2016

NVIDIA GPU ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना

NVIDIA GPU ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8449	ए-31798848* एन-सीवीई-2016-8449	उच्च	नेक्सस 9	सितम्बर 28, 2016

क्वालकॉम साउंड ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना

क्वालकॉम साउंड ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8450	ए-32450563 क्यूसी-सीआर#880388	उच्च	नेक्सस 5एक्स, नेक्सस 6, नेक्सस 6पी, एंड्रॉइड वन	13 अक्टूबर 2016

सिनैप्टिक्स टचस्क्रीन ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना

सिनैप्टिक्स टचस्क्रीन ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8451	ए-32178033*	उच्च	कोई नहीं**	13 अक्टूबर 2016

कर्नेल सुरक्षा सबसिस्टम में विशेषाधिकार भेद्यता का बढ़ना

कर्नेल सुरक्षा सबसिस्टम में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-7042	ए-32178986 अपस्ट्रीम कर्नेल	उच्च	पिक्सेल सी	14 अक्टूबर 2016

कर्नेल प्रदर्शन सबसिस्टम में विशेषाधिकार भेद्यता का बढ़ना

कर्नेल प्रदर्शन सबसिस्टम में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2017-0403	ए-32402548*	उच्च	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus प्लेयर, Pixel, Pixel XL	25 अक्टूबर 2016

कर्नेल ध्वनि उपप्रणाली में विशेषाधिकार भेद्यता का बढ़ना

कर्नेल ध्वनि सबसिस्टम में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2017-0404	ए-32510733*	उच्च	Nexus 5X, Nexus 6P, Nexus 9, Pixel C, Nexus प्लेयर, Pixel, Pixel XL	27 अक्टूबर 2016

क्वालकॉम वाई-फाई ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8452	ए-32506396 क्यूसी-सीआर#1050323	उच्च	Nexus 5X, Android One, Pixel, Pixel XL	28 अक्टूबर 2016

क्वालकॉम रेडियो ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना

क्वालकॉम रेडियो ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-5345	ए-32639452 क्यूसी-सीआर#1079713	उच्च	एंड्रॉयड वन	3 नवंबर 2016

कर्नेल प्रोफाइलिंग सबसिस्टम में विशेषाधिकार भेद्यता का बढ़ना

कर्नेल प्रोफाइलिंग सबसिस्टम में विशेषाधिकार भेद्यता का बढ़ना स्थानीय दुर्भावनापूर्ण एप्लिकेशन को कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस मुद्दे को उच्च दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-9754	ए-32659848 अपस्ट्रीम कर्नेल	उच्च	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus प्लेयर	4 नवंबर 2016

ब्रॉडकॉम वाई-फाई ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना

ब्रॉडकॉम वाई-फ़ाई ड्राइवर में विशेषाधिकार भेद्यता बढ़ने से स्थानीय दुर्भावनापूर्ण एप्लिकेशन कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम हो सकता है। इस मुद्दे को उच्च दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8453	ए-24739315* बी-आरबी#73392	उच्च	नेक्सस 6	गूगल आंतरिक
सीवीई-2016-8454	ए-32174590* बी-आरबी#107142	उच्च	नेक्सस 6, नेक्सस 6पी, नेक्सस 9, पिक्सेल सी, नेक्सस प्लेयर	14 अक्टूबर 2016
सीवीई-2016-8455	ए-32219121* बी-आरबी#106311	उच्च	नेक्सस 6पी	15 अक्टूबर 2016
सीवीई-2016-8456	ए-32219255* बी-आरबी#105580	उच्च	नेक्सस 6, नेक्सस 6पी, नेक्सस 9, पिक्सेल सी, नेक्सस प्लेयर	15 अक्टूबर 2016
सीवीई-2016-8457	ए-32219453* बी-आरबी#106116	उच्च	नेक्सस 6, नेक्सस 6पी, नेक्सस 9, पिक्सेल सी	15 अक्टूबर 2016

सिनैप्टिक्स टचस्क्रीन ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8458	ए-31968442*	उच्च	Nexus 5X, Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL	गूगल आंतरिक

NVIDIA वीडियो ड्राइवर में सूचना प्रकटीकरण भेद्यता

NVIDIA वीडियो ड्राइवर में सूचना प्रकटीकरण भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को उसके अनुमति स्तर के बाहर डेटा तक पहुंचने में सक्षम कर सकती है। इस समस्या को उच्च रेटिंग दी गई है क्योंकि इसका उपयोग उपयोगकर्ता की स्पष्ट अनुमति के बिना संवेदनशील डेटा तक पहुंचने के लिए किया जा सकता है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8460	ए-31668540* एन-सीवीई-2016-8460	उच्च	नेक्सस 9	सितम्बर 21, 2016

बूटलोडर में सूचना प्रकटीकरण भेद्यता

बूटलोडर में सूचना प्रकटीकरण भेद्यता एक स्थानीय हमलावर को उसके अनुमति स्तर के बाहर डेटा तक पहुंचने में सक्षम कर सकती है। इस समस्या को उच्च रेटिंग दी गई है क्योंकि इसका उपयोग संवेदनशील डेटा तक पहुंचने के लिए किया जा सकता है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8461	ए-32369621*	उच्च	नेक्सस 9, पिक्सेल, पिक्सेल एक्सएल	21 अक्टूबर 2016
सीवीई-2016-8462	ए-32510383*	उच्च	पिक्सेल, पिक्सेल एक्सएल	27 अक्टूबर 2016

क्वालकॉम FUSE फ़ाइल सिस्टम में सेवा भेद्यता का खंडन

क्वालकॉम FUSE फ़ाइल सिस्टम में सेवा से इनकार की भेद्यता एक दूरस्थ हमलावर को डिवाइस को हैंग करने या रीबूट करने के लिए विशेष रूप से तैयार की गई फ़ाइल का उपयोग करने में सक्षम कर सकती है। सेवा को दूरस्थ रूप से अस्वीकार करने की संभावना के कारण इस समस्या को उच्च श्रेणी में रखा गया है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8463	ए-30786860 क्यूसी-सीआर#586855	उच्च	कोई नहीं*	03 जनवरी 2014

बूटलोडर में सेवा भेद्यता का खंडन

बूटलोडर में सेवा से इनकार की भेद्यता एक हमलावर को स्थानीय स्थायी सेवा से इनकार करने में सक्षम कर सकती है, जिसके लिए डिवाइस को सुधारने के लिए ऑपरेटिंग सिस्टम को रीफ़्लैश करने की आवश्यकता हो सकती है। स्थानीय स्तर पर स्थायी रूप से सेवा से इनकार की संभावना के कारण इस मुद्दे को उच्च श्रेणी का दर्जा दिया गया है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8467	ए-30308784*	उच्च	नेक्सस 6, नेक्सस 6पी	29 जून 2016

ब्रॉडकॉम वाई-फाई ड्राइवर में विशेषाधिकार भेद्यता का बढ़ना

ब्रॉडकॉम वाई-फ़ाई ड्राइवर में विशेषाधिकार भेद्यता बढ़ने से स्थानीय दुर्भावनापूर्ण एप्लिकेशन कर्नेल के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम हो सकता है। इस समस्या को मध्यम श्रेणी का दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करने की आवश्यकता होती है और वर्तमान प्लेटफ़ॉर्म कॉन्फ़िगरेशन द्वारा इसे कम किया जाता है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8464	ए-29000183* बी-आरबी#106314	मध्यम	नेक्सस 6, नेक्सस 6पी, नेक्सस 9, पिक्सेल सी, नेक्सस प्लेयर	26 मई 2016
सीवीई-2016-8466	ए-31822524* बी-आरबी#105268	मध्यम	नेक्सस 6, नेक्सस 6पी, नेक्सस 9, पिक्सेल सी, नेक्सस प्लेयर	सितम्बर 28, 2016
सीवीई-2016-8465	ए-32474971* बी-आरबी#106053	मध्यम	नेक्सस 6, नेक्सस 6पी, नेक्सस 9, पिक्सेल सी, नेक्सस प्लेयर	27 अक्टूबर 2016

बाइंडर में विशेषाधिकार भेद्यता का बढ़ना

बाइंडर में विशेषाधिकार भेद्यता का बढ़ना एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकता है। इस समस्या को मध्यम श्रेणी का दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करने की आवश्यकता होती है और वर्तमान प्लेटफ़ॉर्म कॉन्फ़िगरेशन द्वारा इसे कम किया जाता है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8468	ए-32394425*	मध्यम	पिक्सेल सी, पिक्सेल, पिक्सेल एक्सएल	गूगल आंतरिक

NVIDIA कैमरा ड्राइवर में सूचना प्रकटीकरण भेद्यता

कैमरा ड्राइवर में सूचना प्रकटीकरण भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को उसके अनुमति स्तर के बाहर डेटा तक पहुंचने में सक्षम कर सकती है। इस मुद्दे को मध्यम श्रेणी का दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8469	ए-31351206* एन-सीवीई-2016-8469	मध्यम	नेक्सस 9	सितम्बर 7, 2016

मीडियाटेक ड्राइवर में सूचना प्रकटीकरण भेद्यता

मीडियाटेक ड्राइवर में सूचना प्रकटीकरण भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को उसके अनुमति स्तर के बाहर डेटा तक पहुंचने में सक्षम कर सकती है। इस मुद्दे को मध्यम श्रेणी का दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8470	ए-31528889* एमटी-एएलपीएस02961395	मध्यम	कोई नहीं**	सितम्बर 15, 2016
सीवीई-2016-8471	ए-31528890* एमटी-ALPS02961380	मध्यम	कोई नहीं**	सितम्बर 15, 2016
सीवीई-2016-8472	ए-31531758* एमटी-एएलपीएस02961384	मध्यम	कोई नहीं**	सितम्बर 15, 2016

STMicroelectronics ड्राइवर में सूचना प्रकटीकरण भेद्यता

STMicroelectronics ड्राइवर में एक सूचना प्रकटीकरण भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को उसके अनुमति स्तर के बाहर डेटा तक पहुंचने में सक्षम कर सकती है। इस मुद्दे को मध्यम श्रेणी का दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8473	ए-31795790*	मध्यम	नेक्सस 5एक्स, नेक्सस 6पी	सितम्बर 28, 2016
सीवीई-2016-8474	ए-31799972*	मध्यम	नेक्सस 5एक्स, नेक्सस 6पी	सितम्बर 28, 2016

क्वालकॉम ऑडियो पोस्ट प्रोसेसर में सूचना प्रकटीकरण भेद्यता

क्वालकॉम ऑडियो पोस्ट प्रोसेसर में एक सूचना प्रकटीकरण भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को उसके अनुमति स्तर के बाहर डेटा तक पहुंचने में सक्षम कर सकती है। इस समस्या को मध्यम श्रेणी का दर्जा दिया गया है क्योंकि इसका उपयोग बिना अनुमति के संवेदनशील डेटा तक पहुँचने के लिए किया जा सकता है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	अद्यतन AOSP संस्करण	दिनांक सूचित किया गया
सीवीई-2017-0399	ए-32588756 [ 2 ]	मध्यम	सभी	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	18 अक्टूबर 2016
सीवीई-2017-0400	ए-32438598 [ 2 ]	मध्यम	सभी	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	25 अक्टूबर 2016
सीवीई-2017-0401	ए-32588016	मध्यम	सभी	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	26 अक्टूबर 2016
सीवीई-2017-0402	ए-32588352 [ 2 ]	मध्यम	सभी	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	25 अक्टूबर 2016

एचटीसी इनपुट ड्राइवर में सूचना प्रकटीकरण भेद्यता

एचटीसी इनपुट ड्राइवर में सूचना प्रकटीकरण भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को उसके अनुमति स्तर के बाहर डेटा तक पहुंचने में सक्षम कर सकती है। इस मुद्दे को मध्यम श्रेणी का दर्जा दिया गया है क्योंकि इसके लिए पहले एक विशेषाधिकार प्राप्त प्रक्रिया से समझौता करना आवश्यक है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2016-8475	ए-32591129*	मध्यम	पिक्सेल, पिक्सेल एक्सएल	30 अक्टूबर 2016

कर्नेल फ़ाइल सिस्टम में सेवा भेद्यता का खंडन

कर्नेल फ़ाइल सिस्टम में सेवा भेद्यता से इनकार एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को डिवाइस को हैंग करने या रीबूट करने में सक्षम कर सकता है। इस समस्या को मध्यम श्रेणी का दर्जा दिया गया है क्योंकि यह सेवा का एक अस्थायी अस्वीकरण है जिसे ठीक करने के लिए फ़ैक्टरी रीसेट की आवश्यकता होती है।

सीवीई	संदर्भ	तीव्रता	अद्यतन Google उपकरण	दिनांक सूचित किया गया
सीवीई-2014-9420	ए-32477499 अपस्ट्रीम कर्नेल	मध्यम	पिक्सेल सी	25 दिसम्बर 2014

सामान्य प्रश्न और उत्तर

यह अनुभाग उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि मेरा डिवाइस इन समस्याओं के समाधान के लिए अपडेट किया गया है या नहीं?

किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, पिक्सेल और नेक्सस अपडेट शेड्यूल पर दिए गए निर्देश पढ़ें।

2017-01-01 या बाद के सुरक्षा पैच स्तर 2017-01-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों का समाधान करते हैं।
2017-01-05 या बाद के सुरक्षा पैच स्तर 2017-01-05 सुरक्षा पैच स्तर और सभी पिछले पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।

जिन डिवाइस निर्माताओं में ये अपडेट शामिल हैं, उन्हें पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:

[ro.build.version.security_patch]:[2017-01-01]
[ro.build.version.security_patch]:[2017-01-05]

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि एंड्रॉइड भागीदारों के पास सभी एंड्रॉइड डिवाइसों में समान कमजोरियों के एक उपसमूह को अधिक तेज़ी से ठीक करने की सुविधा हो। एंड्रॉइड भागीदारों को इस बुलेटिन में सभी मुद्दों को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

जो डिवाइस 1 जनवरी, 2017 सुरक्षा पैच स्तर का उपयोग करते हैं, उनमें उस सुरक्षा पैच स्तर से जुड़े सभी मुद्दों के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट किए गए सभी मुद्दों के समाधान भी शामिल होने चाहिए।
जो डिवाइस 5 जनवरी, 2017 या उसके बाद के सुरक्षा पैच स्तर का उपयोग करते हैं, उन्हें इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल करने होंगे।

साझेदारों को उन सभी समस्याओं के समाधान को एक ही अपडेट में बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे संबोधित कर रहे हैं।

3. मैं कैसे निर्धारित करूं कि प्रत्येक समस्या से कौन से Google उपकरण प्रभावित हैं?

2017-01-01 और 2017-01-05 सुरक्षा भेद्यता विवरण अनुभागों में, प्रत्येक तालिका में एक अपडेटेड Google डिवाइस कॉलम है जो प्रत्येक मुद्दे के लिए अपडेट किए गए प्रभावित Google डिवाइसों की श्रेणी को कवर करता है। इस कॉलम में कुछ विकल्प हैं:

सभी Google डिवाइस : यदि कोई समस्या सभी और पिक्सेल डिवाइसों को प्रभावित करती है, तो तालिका में अपडेट किए गए Google डिवाइस कॉलम में "सभी" होंगे। "सभी" निम्नलिखित समर्थित डिवाइसों को समाहित करता है: Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus प्लेयर, Pixel C, Pixel, और Pixel XL।
कुछ Google डिवाइस : यदि कोई समस्या सभी Google डिवाइसों को प्रभावित नहीं करती है, तो प्रभावित Google डिवाइस अपडेट किए गए Google डिवाइस कॉलम में सूचीबद्ध होते हैं।
कोई Google डिवाइस नहीं : यदि Android के नवीनतम उपलब्ध संस्करण पर चलने वाला कोई भी Google डिवाइस समस्या से प्रभावित नहीं है, तो तालिका में अपडेट किए गए Google डिवाइस कॉलम में "कोई नहीं" होगा।

4. संदर्भ कॉलम में प्रविष्टियाँ किससे मेल खाती हैं?

भेद्यता विवरण तालिका के संदर्भ कॉलम के अंतर्गत प्रविष्टियों में उस संगठन की पहचान करने वाला एक उपसर्ग हो सकता है जिससे संदर्भ मान संबंधित है। ये उपसर्ग इस प्रकार मैप करते हैं:

उपसर्ग	संदर्भ
ए-	एंड्रॉइड बग आईडी
QC-	क्वालकॉम संदर्भ संख्या
एम-	मीडियाटेक संदर्भ संख्या
एन-	NVIDIA संदर्भ संख्या
बी-	ब्रॉडकॉम संदर्भ संख्या

संशोधन

03 जनवरी 2017: बुलेटिन प्रकाशित.
04 जनवरी, 2017: एओएसपी लिंक को शामिल करने के लिए बुलेटिन को संशोधित किया गया।
05 जनवरी, 2017: एओएसपी संस्करण संख्या 7.1 से 7.1.1 तक स्पष्ट किया गया।
12 जनवरी, 2017: सीवीई-2016-8467 के लिए डुप्लिकेट प्रविष्टि हटा दी गई।
24 जनवरी 2017: सीवीई-2017-0381 के लिए अद्यतन विवरण और गंभीरता।
2 फरवरी, 2017: अतिरिक्त पैच लिंक के साथ अपडेट किया गया CVE-2017-0389।