5 फरवरी, 2018 को प्रकाशित | 2 अप्रैल 2018 को अपडेट किया गया
Android सुरक्षा बुलेटिन में Android उपकरणों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण होता है। 2018-02-05 या बाद के सुरक्षा पैच स्तर इन सभी मुद्दों को संबोधित करते हैं। किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपना Android संस्करण जांचें और अपडेट करें देखें.
प्रकाशन से कम से कम एक महीने पहले Android भागीदारों को सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए स्रोत कोड पैच एंड्रॉइड ओपन सोर्स प्रोजेक्ट (एओएसपी) रिपोजिटरी में जारी किए गए हैं और इस बुलेटिन से जुड़े हुए हैं। इस बुलेटिन में एओएसपी के बाहर पैच के लिंक भी शामिल हैं।
इन मुद्दों में सबसे गंभीर मीडिया ढांचे में एक महत्वपूर्ण सुरक्षा भेद्यता है जो एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकता है। गंभीरता का आकलन इस प्रभाव पर आधारित है कि भेद्यता का शोषण संभवतः एक प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफॉर्म और सेवा शमन को विकास उद्देश्यों के लिए बंद कर दिया गया है या सफलतापूर्वक बायपास कर दिया गया है।
हमारे पास इन नए रिपोर्ट किए गए मुद्दों के सक्रिय ग्राहक शोषण या दुरुपयोग की कोई रिपोर्ट नहीं है। Android सुरक्षा प्लेटफ़ॉर्म सुरक्षा और Google Play प्रोटेक्ट पर विवरण के लिए Android और Google Play प्रोटेक्ट मिटिगेशन अनुभाग देखें, जो Android प्लेटफ़ॉर्म की सुरक्षा में सुधार करते हैं।
नोट: Google उपकरणों के लिए नवीनतम ओवर-द-एयर अपडेट (OTA) और फर्मवेयर छवियों की जानकारी फरवरी 2018 पिक्सेल / Nexus सुरक्षा बुलेटिन में उपलब्ध है।
Android और Google सेवा में कमी
यह Android सुरक्षा प्लेटफ़ॉर्म और Google Play Protect जैसी सेवा सुरक्षा द्वारा प्रदान किए गए शमन का सारांश है। ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा कमजोरियों का सफलतापूर्वक शोषण किया जा सकता है।
- एंड्रॉइड प्लेटफॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा एंड्रॉइड पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
- एंड्रॉइड सुरक्षा टीम सक्रिय रूप से Google Play Protect के माध्यम से दुरुपयोग की निगरानी करती है और उपयोगकर्ताओं को संभावित रूप से हानिकारक एप्लिकेशन के बारे में चेतावनी देती है। Google Play Protect Google मोबाइल सेवाओं वाले उपकरणों पर डिफ़ॉल्ट रूप से सक्षम होता है, और यह उन उपयोगकर्ताओं के लिए विशेष रूप से महत्वपूर्ण है जो Google Play के बाहर से ऐप्स इंस्टॉल करते हैं।
2018-02-01 सुरक्षा पैच स्तर—भेद्यता विवरण
नीचे दिए गए अनुभागों में, हम 2018-02-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उस घटक के तहत वर्गीकृत किया जाता है जो वे प्रभावित करते हैं। समस्या का विवरण और सीवीई, संबंधित संदर्भ, भेद्यता के प्रकार , गंभीरता , और अद्यतन एओएसपी संस्करण (जहां लागू हो) के साथ एक तालिका है। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।
मीडिया ढांचा
इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अपडेट किया गया एओएसपी संस्करण |
|---|---|---|---|---|
| सीवीई-2017-13228 | ए-69478425 | आरसीई | नाजुक | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13231 | ए-67962232 | ईओपी | उच्च | 8.0, 8.1 |
| सीवीई-2017-13232 | ए-68953950 | पहचान | उच्च | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13230 | ए-65483665 | करने योग्य | उच्च | 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| आरसीई | नाजुक | 5.1.1, 6.0, 6.0.1 | ||
| सीवीई-2017-13233 | ए-62851602 | करने योग्य | उच्च | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| सीवीई-2017-13234 | ए-68159767 | करने योग्य | उच्च | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
व्यवस्था
इस खंड में सबसे गंभीर भेद्यता स्थानीय दुर्भावनापूर्ण एप्लिकेशन को सामान्य रूप से विशेषाधिकार प्राप्त प्रक्रियाओं तक सीमित आदेशों को निष्पादित करने में सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अपडेट किया गया एओएसपी संस्करण |
|---|---|---|---|---|
| सीवीई-2017-13236 | ए-68217699 [ 2 ] | ईओपी | संतुलित | 8.0, 8.1 |
2018-02-05 सुरक्षा पैच स्तर—भेद्यता विवरण
नीचे दिए गए अनुभागों में, हम 2018-02-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उस घटक के तहत समूहीकृत किया जाता है जो वे प्रभावित करते हैं और इसमें सीवीई, संबंधित संदर्भ, भेद्यता के प्रकार , गंभीरता , घटक (जहां लागू हो), और अद्यतन एओएसपी संस्करण (जहां लागू हो) जैसे विवरण शामिल होते हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।
एचटीसी घटक
इस खंड में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को डेटा तक अनधिकृत पहुंच प्राप्त करने में सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अवयव |
|---|---|---|---|---|
| सीवीई-2017-13238 | ए-64610940 * | पहचान | उच्च | बूटलोडर |
| सीवीई-2017-13247 | ए-71486645 * | ईओपी | संतुलित | बूटलोडर |
कर्नेल घटक
इस खंड में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने में सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अवयव |
|---|---|---|---|---|
| सीवीई-2017-15265 | ए-67900971 अपस्ट्रीम कर्नेल | ईओपी | उच्च | ALSA |
| सीवीई-2015-9016 | ए-63083046 अपस्ट्रीम कर्नेल | ईओपी | उच्च | बहु-कतार ब्लॉक IO |
| सीवीई-2017-13273 | ए-65853158 * | ईओपी | उच्च | गुठली |
एनवीआईडीआईए घटक
इस खंड में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने में सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अवयव |
|---|---|---|---|---|
| सीवीई-2017-6279 | ए-65023166 * एन-सीवीई-2017-6279 | ईओपी | उच्च | मीडिया ढांचा |
| सीवीई-2017-6258 | ए-38027496 * एन-सीवीई-2017-6258 | ईओपी | उच्च | मीडिया ढांचा |
क्वालकॉम घटक
इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अवयव |
|---|---|---|---|---|
| सीवीई-2017-15860 | ए-68992416 क्यूसी-सीआर#2082544 [ 2 ] | आरसीई | नाजुक | Wlan |
| सीवीई-2017-11041 | ए-35269676 * क्यूसी-सीआर#2053101 | ईओपी | उच्च | मीडिया ढांचा |
| सीवीई-2017-17767 | ए-64750179 * क्यूसी-सीआर#2115779 | ईओपी | उच्च | मीडिया ढांचा |
| सीवीई-2017-17765 | ए-68992445 क्यूसी-सीआर#2115112 | ईओपी | उच्च | Wlan |
| सीवीई-2017-15862 | ए-68992439 क्यूसी-सीआर#2114426 | ईओपी | उच्च | Wlan |
| सीवीई-2017-14884 | ए-68992429 क्यूसी-सीआर#2113052 | ईओपी | उच्च | Wlan |
| सीवीई-2017-15829 | ए-68992397 क्यूसी-सीआर#2097917 | ईओपी | उच्च | ग्राफिक्स_लिनक्स |
| सीवीई-2017-15820 | ए-68992396 क्यूसी-सीआर#2093377 | ईओपी | उच्च | ग्राफिक्स_लिनक्स |
| सीवीई-2017-17764 | ए-68992443 क्यूसी-सीआर#2114789 | ईओपी | उच्च | Wlan |
| सीवीई-2017-15861 | ए-68992434 क्यूसी-सीआर#2114187 | ईओपी | उच्च | Wlan |
क्वालकॉम बंद-स्रोत घटक
ये भेद्यताएं क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम एएमएसएस सुरक्षा बुलेटिन या सुरक्षा चेतावनी में और विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।
| सीवीई | संदर्भ | टाइप | तीव्रता | अवयव |
|---|---|---|---|---|
| सीवीई-2017-14910 | ए-62212114 * | एन/ए | उच्च | बंद स्रोत घटक |
सामान्य प्रश्न और उत्तर
यह खंड उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।
1. मैं कैसे निर्धारित करूं कि इन समस्याओं को दूर करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?
किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपना Android संस्करण जांचें और अपडेट करें देखें.
- 2018-02-01 या बाद के सुरक्षा पैच स्तर 2018-02-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों को संबोधित करते हैं।
- 2018-02-05 या बाद के सुरक्षा पैच स्तर 2018-02-05 सुरक्षा पैच स्तर और पिछले सभी पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।
इन अद्यतनों को शामिल करने वाले डिवाइस निर्माताओं को पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:
- [ro.build.version.security_patch]:[2018-02-01]
- [ro.build.version.security_patch]:[2018-02-05]
2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?
इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि Android भागीदारों के पास कमजोरियों के एक सबसेट को ठीक करने की सुविधा हो जो सभी Android उपकरणों में अधिक तेज़ी से समान हो। Android भागीदारों को इस बुलेटिन में सभी समस्याओं को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।
- 2018-02-01 सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में उस सुरक्षा पैच स्तर से जुड़े सभी मुद्दों के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट की गई सभी समस्याओं के समाधान शामिल होने चाहिए।
- 2018-02-05 या नए के सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल होने चाहिए।
भागीदारों को उन सभी समस्याओं के समाधान को बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे एक ही अद्यतन में संबोधित कर रहे हैं।
3. टाइप कॉलम में प्रविष्टियों का क्या अर्थ है?
भेद्यता विवरण तालिका के प्रकार कॉलम में प्रविष्टियां सुरक्षा भेद्यता के वर्गीकरण का संदर्भ देती हैं।
| संक्षेपाक्षर | परिभाषा |
|---|---|
| आरसीई | रिमोट कोड निष्पादन |
| ईओपी | विशेषाधिकार का उन्नयन |
| पहचान | जानकारी प्रकटीकरण |
| करने योग्य | सेवा की मनाई |
| एन/ए | वर्गीकरण उपलब्ध नहीं है |
4. सन्दर्भ कॉलम में प्रविष्टियों का क्या अर्थ है?
भेद्यता विवरण तालिका के संदर्भ कॉलम के अंतर्गत प्रविष्टियों में उस संगठन की पहचान करने वाला एक उपसर्ग हो सकता है जिससे संदर्भ मान संबंधित है।
| उपसर्ग | संदर्भ |
|---|---|
| ए- | एंड्रॉइड बग आईडी |
| क्यूसी- | क्वालकॉम संदर्भ संख्या |
| एम- | मीडियाटेक संदर्भ संख्या |
| एन- | NVIDIA संदर्भ संख्या |
| बी- | ब्रॉडकॉम संदर्भ संख्या |
5. संदर्भ कॉलम में Android बग आईडी के आगे * का क्या अर्थ है?
जो समस्याएं सार्वजनिक रूप से उपलब्ध नहीं हैं उनमें संदर्भ कॉलम में Android बग आईडी के आगे एक * होता है। उस समस्या के लिए अद्यतन आम तौर पर Google डेवलपर साइट से उपलब्ध Nexus उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में शामिल होता है।
6. सुरक्षा भेद्यताएं इस बुलेटिन और डिवाइस/पार्टनर सुरक्षा बुलेटिन, जैसे कि पिक्सेल/नेक्सस बुलेटिन के बीच क्यों विभाजित हैं?
इस सुरक्षा बुलेटिन में प्रलेखित सुरक्षा भेद्यताएं Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। सुरक्षा पैच स्तर घोषित करने के लिए डिवाइस/पार्टनर सुरक्षा बुलेटिन में प्रलेखित अतिरिक्त सुरक्षा भेद्यताएं आवश्यक नहीं हैं। एंड्रॉइड डिवाइस और चिपसेट निर्माताओं को सैमसंग , एलजीई , या पिक्सेल / नेक्सस सुरक्षा बुलेटिन जैसी अपनी सुरक्षा वेबसाइटों के माध्यम से अपने उपकरणों पर अन्य सुधारों की उपस्थिति का दस्तावेजीकरण करने के लिए प्रोत्साहित किया जाता है।
संस्करणों
| संस्करण | दिनांक | टिप्पणियाँ |
|---|---|---|
| 1.0 | फरवरी 5, 2018 | बुलेटिन प्रकाशित हो चुकी है।. |
| 1.1 | फरवरी 7, 2018 | एओएसपी लिंक शामिल करने के लिए बुलेटिन में संशोधन। |
| 1.2 | फरवरी 14, 2018 | सीवीई-2017-13273, सीवीई-2017-15860, सीवीई-2017-15861 और सीवीई-2017-15862 के लिए संशोधित सीवीई नंबर। |
| 1.3 | 2 अप्रैल 2018 | CVE-2017-15817 को फरवरी Android बुलेटिन से फरवरी पिक्सेल बुलेटिन में स्थानांतरित किया गया। |