2 जनवरी 2018 को प्रकाशित | 29 जनवरी 2018 को अपडेट किया गया
Android सुरक्षा बुलेटिन में Android उपकरणों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण होता है। 2018-01-05 या बाद के सुरक्षा पैच स्तर इन सभी मुद्दों को संबोधित करते हैं। किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपना Android संस्करण जांचें और अपडेट करें देखें.
प्रकाशन से कम से कम एक महीने पहले Android भागीदारों को सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए स्रोत कोड पैच एंड्रॉइड ओपन सोर्स प्रोजेक्ट (एओएसपी) रिपोजिटरी में जारी किए गए हैं और इस बुलेटिन से जुड़े हुए हैं। इस बुलेटिन में एओएसपी के बाहर पैच के लिंक भी शामिल हैं।
इन मुद्दों में सबसे गंभीर मीडिया ढांचे में एक महत्वपूर्ण सुरक्षा भेद्यता है जो एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकता है। गंभीरता का आकलन इस प्रभाव पर आधारित है कि भेद्यता का शोषण संभवतः एक प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफॉर्म और सेवा शमन को विकास उद्देश्यों के लिए बंद कर दिया गया है या सफलतापूर्वक बायपास कर दिया गया है।
हमारे पास इन नए रिपोर्ट किए गए मुद्दों के सक्रिय ग्राहक शोषण या दुरुपयोग की कोई रिपोर्ट नहीं है। Android सुरक्षा प्लेटफ़ॉर्म सुरक्षा और Google Play प्रोटेक्ट पर विवरण के लिए Android और Google Play प्रोटेक्ट मिटिगेशन अनुभाग देखें, जो Android प्लेटफ़ॉर्म की सुरक्षा में सुधार करते हैं।
नोट: Google उपकरणों के लिए नवीनतम ओवर-द-एयर अपडेट (OTA) और फर्मवेयर छवियों की जानकारी जनवरी 2018 पिक्सेल / Nexus सुरक्षा बुलेटिन में उपलब्ध है।
घोषणाओं
हमने एक नया पिक्सेल / नेक्सस सुरक्षा बुलेटिन लॉन्च किया है, जिसमें अतिरिक्त सुरक्षा कमजोरियों और कार्यात्मक सुधारों के बारे में जानकारी है जो पिक्सेल और नेक्सस उपकरणों पर संबोधित किए जाते हैं। Android डिवाइस निर्माता अपने डिवाइस पर इन समस्याओं का समाधान करना चुन सकते हैं। अतिरिक्त जानकारी के लिए सामान्य प्रश्न और उत्तर देखें।
Android और Google सेवा में कमी
यह Android सुरक्षा प्लेटफ़ॉर्म और Google Play Protect जैसी सेवा सुरक्षा द्वारा प्रदान किए गए शमन का सारांश है। ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा कमजोरियों का सफलतापूर्वक शोषण किया जा सकता है।
- एंड्रॉइड प्लेटफॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा एंड्रॉइड पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
- एंड्रॉइड सुरक्षा टीम सक्रिय रूप से Google Play Protect के माध्यम से दुरुपयोग की निगरानी करती है और उपयोगकर्ताओं को संभावित रूप से हानिकारक एप्लिकेशन के बारे में चेतावनी देती है। Google Play Protect Google मोबाइल सेवाओं वाले उपकरणों पर डिफ़ॉल्ट रूप से सक्षम होता है, और यह उन उपयोगकर्ताओं के लिए विशेष रूप से महत्वपूर्ण है जो Google Play के बाहर से ऐप्स इंस्टॉल करते हैं।
2018-01-01 सुरक्षा पैच स्तर—भेद्यता विवरण
नीचे दिए गए अनुभागों में, हम 2018-01-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उस घटक के तहत वर्गीकृत किया जाता है जो वे प्रभावित करते हैं। समस्या का विवरण और सीवीई, संबंधित संदर्भ, भेद्यता के प्रकार , गंभीरता , और अद्यतन एओएसपी संस्करण (जहां लागू हो) के साथ एक तालिका है। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।
एंड्रॉइड रनटाइम
इस खंड में सबसे गंभीर भेद्यता एक दूरस्थ हमलावर को अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए उपयोगकर्ता इंटरैक्शन आवश्यकताओं को बायपास करने में सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अपडेट किया गया एओएसपी संस्करण |
|---|---|---|---|---|
| सीवीई-2017-13176 | ए-68341964 | ईओपी | उच्च | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
मीडिया ढांचा
इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अपडेट किया गया एओएसपी संस्करण |
|---|---|---|---|---|
| सीवीई-2017-13177 | ए-68320413 | आरसीई | नाजुक | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13178 | ए-66969281 | आरसीई | नाजुक | 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13179 | ए-66969193 | आरसीई | नाजुक | 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13180 | ए-66969349 | ईओपी | उच्च | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13181 | ए-67864232 | ईओपी | उच्च | 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13182 | ए-67737022 | ईओपी | उच्च | 8.0, 8.1 |
| सीवीई-2017-13184 | ए-65483324 | ईओपी | उच्च | 8.0, 8.1 |
| सीवीई-2017-0855 | ए-64452857 | करने योग्य | उच्च | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0 |
| सीवीई-2017-13191 | ए-64380403 | करने योग्य | उच्च | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13192 | ए-64380202 | करने योग्य | उच्च | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13193 | ए-65718319 | करने योग्य | उच्च | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13195 | ए-65398821 | करने योग्य | उच्च | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13196 | ए-63522067 | करने योग्य | उच्च | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13197 | ए-64784973 | करने योग्य | उच्च | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13199 | ए-33846679 | करने योग्य | उच्च | 8.0, 8.1 |
व्यवस्था
इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अपडेट किया गया एओएसपी संस्करण |
|---|---|---|---|---|
| सीवीई-2017-13208 | ए-67474440 | आरसीई | नाजुक | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13209 | ए-68217907 [ 2 ] [ 3 ] | ईओपी | उच्च | 8.0, 8.1 |
| सीवीई-2017-13210 | ए-67782345 | ईओपी | उच्च | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13211 | ए-65174158 | करने योग्य | उच्च | 8.0 |
2018-01-05 सुरक्षा पैच स्तर—भेद्यता विवरण
नीचे दिए गए अनुभागों में, हम 2018-01-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उस घटक के तहत समूहीकृत किया जाता है जो वे प्रभावित करते हैं और इसमें सीवीई, संबंधित संदर्भ, भेद्यता के प्रकार , गंभीरता , घटक (जहां लागू हो), और अद्यतन एओएसपी संस्करण (जहां लागू हो) जैसे विवरण शामिल होते हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।
एचटीसी घटक
इस खंड में सबसे गंभीर भेद्यता एक दूरस्थ हमलावर को एक महत्वपूर्ण सिस्टम प्रक्रिया में सेवा से वंचित करने के लिए सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अवयव |
|---|---|---|---|---|
| सीवीई-2017-13214 | ए-38495900 * | करने योग्य | उच्च | हार्डवेयर HEVC डिकोडर |
कर्नेल घटक
इस खंड में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने में सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अवयव |
|---|---|---|---|---|
| सीवीई-2017-14497 | ए-66694921 अपस्ट्रीम कर्नेल | ईओपी | उच्च | टीसीपी पैकेट प्रसंस्करण |
| सीवीई-2017-13215 | ए-64386293 अपस्ट्रीम कर्नेल | ईओपी | उच्च | स्किफर |
| सीवीई-2017-13216 | ए-66954097 * | ईओपी | उच्च | अश्मेम |
| सीवीई-2017-13218 | ए-68266545 * | पहचान | उच्च | उच्च परिशुद्धता टाइमर |
एलजी घटक
इस खंड में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने में सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अवयव |
|---|---|---|---|---|
| सीवीई-2017-13217 | ए-68269077 * | ईओपी | उच्च | बूटलोडर |
मीडिया ढांचा
इस खंड में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने में सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अपडेट किया गया एओएसपी संस्करण |
|---|---|---|---|---|
| सीवीई-2017-13183 | ए-38118127 | ईओपी | उच्च | 8.1 |
एनवीआईडीआईए घटक
इस खंड में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने में सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अवयव |
|---|---|---|---|---|
| सीवीई-2017-0869 | ए-37776156 * एन-सीवीई-2017-0869 | ईओपी | उच्च | एनवीडिया चालक |
क्वालकॉम घटक
इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अवयव |
|---|---|---|---|---|
| सीवीई-2017-15849 | ए-66937641 क्यूसी-सीआर#2046572 | ईओपी | उच्च | दिखाना |
| सीवीई-2017-11069 | ए-65468974 क्यूसी-सीआर#2060780 | ईओपी | उच्च | बूटलोडर |
क्वालकॉम बंद-स्रोत घटक
ये भेद्यताएं क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम एएमएसएस सुरक्षा बुलेटिन या सुरक्षा चेतावनी में और विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अवयव |
|---|---|---|---|---|
| सीवीई-2017-14911 | ए-62212946 * | एन/ए | नाजुक | बंद स्रोत घटक |
| सीवीई-2017-14906 | ए-32584150 * | एन/ए | उच्च | बंद स्रोत घटक |
| सीवीई-2017-14912 | ए-62212739 * | एन/ए | उच्च | बंद स्रोत घटक |
| सीवीई-2017-14913 | ए-62212298 * | एन/ए | उच्च | बंद स्रोत घटक |
| सीवीई-2017-14915 | ए-62212632 * | एन/ए | उच्च | बंद स्रोत घटक |
| सीवीई-2013-4397 | ए-65944893 * | एन/ए | उच्च | बंद स्रोत घटक |
| सीवीई-2017-11010 | ए-66913721 * | एन/ए | उच्च | बंद स्रोत घटक |
सामान्य प्रश्न और उत्तर
यह खंड उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।
1. मैं कैसे निर्धारित करूं कि इन समस्याओं को दूर करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?
किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपना Android संस्करण जांचें और अपडेट करें देखें.
- 2018-01-01 या बाद के सुरक्षा पैच स्तर 2018-01-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों को संबोधित करते हैं।
- 2018-01-05 या बाद के सुरक्षा पैच स्तर 2018-01-05 सुरक्षा पैच स्तर और पिछले सभी पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।
इन अद्यतनों को शामिल करने वाले डिवाइस निर्माताओं को पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:
- [ro.build.version.security_patch]:[2018-01-01]
- [ro.build.version.security_patch]:[2018-01-05]
2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?
इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि Android भागीदारों के पास कमजोरियों के एक सबसेट को ठीक करने की सुविधा हो जो सभी Android उपकरणों में अधिक तेज़ी से समान हो। Android भागीदारों को इस बुलेटिन में सभी समस्याओं को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।
- 2018-01-01 सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में उस सुरक्षा पैच स्तर से जुड़े सभी मुद्दों के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट की गई सभी समस्याओं के समाधान शामिल होने चाहिए।
- जो डिवाइस 2018-01-05 या नए के सुरक्षा पैच स्तर का उपयोग करते हैं, उनमें इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल होने चाहिए।
भागीदारों को उन सभी समस्याओं के समाधान को बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे एक ही अद्यतन में संबोधित कर रहे हैं।
3. टाइप कॉलम में प्रविष्टियों का क्या अर्थ है?
भेद्यता विवरण तालिका के प्रकार कॉलम में प्रविष्टियां सुरक्षा भेद्यता के वर्गीकरण का संदर्भ देती हैं।
| संक्षेपाक्षर | परिभाषा |
|---|---|
| आरसीई | रिमोट कोड निष्पादन |
| ईओपी | विशेषाधिकार का उन्नयन |
| पहचान | जानकारी प्रकटीकरण |
| करने योग्य | सेवा की मनाई |
| एन/ए | वर्गीकरण उपलब्ध नहीं है |
4. सन्दर्भ कॉलम में प्रविष्टियों का क्या अर्थ है?
भेद्यता विवरण तालिका के संदर्भ कॉलम के अंतर्गत प्रविष्टियों में उस संगठन की पहचान करने वाला एक उपसर्ग हो सकता है जिससे संदर्भ मान संबंधित है।
| उपसर्ग | संदर्भ |
|---|---|
| ए- | एंड्रॉइड बग आईडी |
| क्यूसी- | क्वालकॉम संदर्भ संख्या |
| एम- | मीडियाटेक संदर्भ संख्या |
| एन- | NVIDIA संदर्भ संख्या |
| बी- | ब्रॉडकॉम संदर्भ संख्या |
5. संदर्भ कॉलम में Android बग आईडी के आगे * का क्या अर्थ है?
जो समस्याएं सार्वजनिक रूप से उपलब्ध नहीं हैं उनमें संदर्भ कॉलम में Android बग आईडी के आगे एक * होता है। उस समस्या के लिए अद्यतन आम तौर पर Google डेवलपर साइट से उपलब्ध Nexus उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में शामिल होता है।
6. सुरक्षा भेद्यताएं इस बुलेटिन और डिवाइस/पार्टनर सुरक्षा बुलेटिन, जैसे कि पिक्सेल/नेक्सस बुलेटिन के बीच क्यों विभाजित हैं?
इस सुरक्षा बुलेटिन में प्रलेखित सुरक्षा भेद्यताएं Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। सुरक्षा पैच स्तर घोषित करने के लिए डिवाइस/पार्टनर सुरक्षा बुलेटिन में प्रलेखित अतिरिक्त सुरक्षा भेद्यताएं आवश्यक नहीं हैं। एंड्रॉइड डिवाइस और चिपसेट निर्माताओं को सैमसंग , एलजीई , या पिक्सेल / नेक्सस सुरक्षा बुलेटिन जैसी अपनी सुरक्षा वेबसाइटों के माध्यम से अपने उपकरणों पर अन्य सुधारों की उपस्थिति का दस्तावेजीकरण करने के लिए प्रोत्साहित किया जाता है।
संस्करणों
| संस्करण | दिनांक | टिप्पणियाँ |
|---|---|---|
| 1.0 | 2 जनवरी 2018 | बुलेटिन प्रकाशित हो चुकी है।. |
| 1.1 | 3 जनवरी 2018 | CVE-2017-13218 के बारे में घोषणा के साथ बुलेटिन अपडेट किया गया। |
| 1.2 | जनवरी 5, 2018 | AOSP लिंक्स को शामिल करने के लिए बुलेटिन में संशोधन किया गया। |
| 1.3 | 29 जनवरी 2018 | CVE-2017-13225 Pixel / Nexus सुरक्षा बुलेटिन में ले जाया गया। |