নভেম্বর 5, 2018 প্রকাশিত | 5 নভেম্বর, 2018 আপডেট করা হয়েছে
অ্যান্ড্রয়েড সিকিউরিটি বুলেটিনে অ্যান্ড্রয়েড ডিভাইসগুলিকে প্রভাবিত করে এমন নিরাপত্তা দুর্বলতার বিবরণ রয়েছে৷ 2018-11-05 বা তার পরের নিরাপত্তা প্যাচ স্তরগুলি এই সমস্ত সমস্যার সমাধান করে। একটি ডিভাইসের নিরাপত্তা প্যাচ স্তর কিভাবে পরীক্ষা করতে হয় তা জানতে, আপনার Android সংস্করণ চেক এবং আপডেট দেখুন।
অ্যান্ড্রয়েড অংশীদারদের প্রকাশনার অন্তত এক মাস আগে সমস্ত সমস্যা সম্পর্কে অবহিত করা হয়। এই সমস্যাগুলির জন্য সোর্স কোড প্যাচগুলি অ্যান্ড্রয়েড ওপেন সোর্স প্রজেক্ট (AOSP) সংগ্রহস্থলে প্রকাশ করা হয়েছে এবং এই বুলেটিন থেকে লিঙ্ক করা হয়েছে৷ এই বুলেটিনে AOSP-এর বাইরের প্যাচগুলির লিঙ্কও রয়েছে৷
এই বিভাগে সবচেয়ে গুরুতর দুর্বলতা একটি বিশেষভাবে তৈরি করা ফাইল ব্যবহার করে একটি প্রক্সিমেট আক্রমণকারীকে একটি সুবিধাপ্রাপ্ত প্রক্রিয়ার প্রেক্ষাপটে নির্বিচারে কোড চালানোর জন্য সক্ষম করতে পারে। প্ল্যাটফর্ম এবং পরিষেবা প্রশমনগুলি উন্নয়নের উদ্দেশ্যে বন্ধ করা হয়েছে বা সফলভাবে বাইপাস করা হয়েছে বলে ধরে নিয়ে দুর্বলতাকে কাজে লাগানোর প্রভাবের উপর ভিত্তি করে তীব্রতা মূল্যায়ন করা হয়।
আমাদের কাছে এই নতুন রিপোর্ট করা সমস্যাগুলির সক্রিয় গ্রাহক শোষণ বা অপব্যবহারের কোনও রিপোর্ট নেই। Android সিকিউরিটি প্ল্যাটফর্ম সুরক্ষা এবং Google Play Protect সম্পর্কে বিশদ বিবরণের জন্য Android এবং Google Play Protect প্রশমন বিভাগটি পড়ুন, যা Android প্ল্যাটফর্মের নিরাপত্তা উন্নত করে।
দ্রষ্টব্য: সর্বশেষ ওভার-দ্য-এয়ার আপডেট (OTA) এবং Google ডিভাইসগুলির জন্য ফার্মওয়্যার চিত্রের তথ্য নভেম্বর 2018 Pixel / Nexus নিরাপত্তা বুলেটিনে উপলব্ধ।
ঘোষণা
CVE-2018-9528, CVE-2018-9529, CVE-2018-9530, CVE-2018-9531, CVE-2018-9532, CVE-2018-9532, CVE-2018-9532 সহ Libxaac লাইব্রেরিতে বেশ কিছু নিরাপত্তা সমস্যা চিহ্নিত করা হয়েছে। -9534, CVE-2018-9535, CVE-2018-9569, CVE-2018-9570, CVE-2018-9571, CVE-2018-9572, CVE-2018-9573, CVE-2018-95518, CVE-2018-9572 , CVE-2018-9576, CVE-2018-9577, এবং CVE-2018-9578।
লাইব্রেরিটিকে পরীক্ষামূলক হিসেবে চিহ্নিত করা হয়েছে এবং এটি আর কোনো Android বিল্ডে অন্তর্ভুক্ত করা হয়নি।
অ্যান্ড্রয়েড এবং গুগল পরিষেবা প্রশমন
এটি Android নিরাপত্তা প্ল্যাটফর্ম এবং পরিষেবা সুরক্ষা যেমন Google Play Protect দ্বারা প্রদত্ত প্রশমনের একটি সারাংশ। এই ক্ষমতাগুলি Android-এ নিরাপত্তার দুর্বলতাগুলি সফলভাবে কাজে লাগানোর সম্ভাবনা কমিয়ে দেয়৷
- অ্যান্ড্রয়েড প্ল্যাটফর্মের নতুন সংস্করণে বর্ধিতকরণের মাধ্যমে অ্যান্ড্রয়েডে অনেক সমস্যার জন্য শোষণকে আরও কঠিন করা হয়েছে। আমরা সকল ব্যবহারকারীকে যেখানে সম্ভব Android এর সর্বশেষ সংস্করণে আপডেট করতে উৎসাহিত করি।
- Android নিরাপত্তা দল সক্রিয়ভাবে Google Play Protect- এর মাধ্যমে অপব্যবহারের জন্য নজরদারি করে এবং ব্যবহারকারীদের সম্ভাব্য ক্ষতিকারক অ্যাপ্লিকেশন সম্পর্কে সতর্ক করে। Google Play Protect ডিফল্টরূপে Google মোবাইল পরিষেবাগুলির সাথে ডিভাইসগুলিতে সক্রিয় থাকে এবং বিশেষত সেই ব্যবহারকারীদের জন্য গুরুত্বপূর্ণ যারা Google Play এর বাইরে থেকে অ্যাপগুলি ইনস্টল করেন৷
2018-11-01 নিরাপত্তা প্যাচ স্তরের দুর্বলতার বিবরণ
নীচের বিভাগগুলিতে, আমরা 2018-11-01 প্যাচ স্তরে প্রযোজ্য প্রতিটি নিরাপত্তা দুর্বলতার জন্য বিশদ প্রদান করি। দুর্বলতাগুলি যে উপাদানগুলিকে প্রভাবিত করে তার অধীনে গোষ্ঠীভুক্ত করা হয়। সমস্যাটির বর্ণনা এবং CVE, সংশ্লিষ্ট রেফারেন্স, দুর্বলতার ধরন , তীব্রতা এবং আপডেট করা AOSP সংস্করণ (যেখানে প্রযোজ্য) সহ একটি টেবিল রয়েছে। উপলভ্য হলে, আমরা পাবলিক পরিবর্তনকে লিঙ্ক করি যা সমস্যাটির সমাধান করেছে, যেমন AOSP পরিবর্তন তালিকা। যখন একাধিক পরিবর্তন একটি একক বাগের সাথে সম্পর্কিত হয়, তখন বাগ আইডি অনুসরণকারী সংখ্যার সাথে অতিরিক্ত উল্লেখ সংযুক্ত করা হয়।
ফ্রেমওয়ার্ক
এই বিভাগে সবচেয়ে গুরুতর দুর্বলতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে একটি বিশেষ সুবিধাপ্রাপ্ত প্রক্রিয়ার প্রেক্ষাপটে নির্বিচারে কোড কার্যকর করতে সক্ষম করতে পারে।
| সিভিই | তথ্যসূত্র | টাইপ | নির্দয়তা | AOSP সংস্করণ আপডেট করা হয়েছে |
|---|---|---|---|---|
| CVE-2018-9522 | এ-112550251 | ইওপি | উচ্চ | 9 |
| CVE-2018-9524 | এ-34170870 | ইওপি | উচ্চ | 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2018-9525 | এ-111330641 | ইওপি | উচ্চ | 9 |
মিডিয়া ফ্রেমওয়ার্ক
এই বিভাগে সবচেয়ে গুরুতর দুর্বলতা একটি বিশেষভাবে তৈরি করা ফাইল ব্যবহার করে একটি দূরবর্তী আক্রমণকারীকে একটি সুবিধাপ্রাপ্ত প্রক্রিয়ার প্রেক্ষাপটে নির্বিচারে কোড চালানোর জন্য সক্ষম করতে পারে।
| সিভিই | তথ্যসূত্র | টাইপ | নির্দয়তা | AOSP সংস্করণ আপডেট করা হয়েছে |
|---|---|---|---|---|
| CVE-2018-9527 | এ-112159345 | আরসিই | সমালোচনামূলক | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2018-9531 | এ-112661641 | আরসিই | সমালোচনামূলক | 9 |
| CVE-2018-9536 | এ-112662184 | ইওপি | সমালোচনামূলক | 9 |
| CVE-2018-9537 | এ-112891564 | ইওপি | সমালোচনামূলক | 9 |
| CVE-2018-9521 | এ-111874331 | আরসিই | উচ্চ | 9 |
| CVE-2018-9539 | এ-113027383 | ইওপি | উচ্চ | 8.0, 8.1, 9 |
পদ্ধতি
এই বিভাগে সবচেয়ে গুরুতর দুর্বলতা একটি দূরবর্তী আক্রমণকারীকে শুধুমাত্র অনুমতি সহ স্থানীয়ভাবে ইনস্টল করা অ্যাপ্লিকেশনগুলিতে সাধারণভাবে অ্যাক্সেসযোগ্য ডেটা অ্যাক্সেস করতে সক্ষম করতে পারে।
| সিভিই | তথ্যসূত্র | টাইপ | নির্দয়তা | AOSP সংস্করণ আপডেট করা হয়েছে |
|---|---|---|---|---|
| CVE-2018-9540 | এ-111450417 | আইডি | উচ্চ | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2018-9542 | এ-111896861 | আইডি | উচ্চ | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2018-9543 | এ-112868088 | আইডি | উচ্চ | 9 |
| CVE-2018-9544 | এ-113037220 | আইডি | উচ্চ | 9 |
| CVE-2018-9545 | এ-113111784 | আইডি | উচ্চ | 9 |
| CVE-2018-9541 | এ-111450531 | আইডি | পরিমিত | 9 |
| আইডি | উচ্চ | 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
2018-11-05 নিরাপত্তা প্যাচ স্তরের দুর্বলতার বিবরণ
নীচের বিভাগে, আমরা 2018-11-05 প্যাচ স্তরে প্রযোজ্য প্রতিটি নিরাপত্তা দুর্বলতার জন্য বিশদ প্রদান করি। দুর্বলতাগুলি যে উপাদানগুলিকে প্রভাবিত করে তার অধীনে গোষ্ঠীভুক্ত করা হয় এবং এতে CVE, সংশ্লিষ্ট রেফারেন্স, দুর্বলতার ধরন , তীব্রতা , উপাদান (যেখানে প্রযোজ্য) এবং আপডেট করা AOSP সংস্করণ (যেখানে প্রযোজ্য) এর মতো বিশদ অন্তর্ভুক্ত থাকে। উপলভ্য হলে, আমরা পাবলিক পরিবর্তনকে লিঙ্ক করি যা সমস্যাটির সমাধান করেছে, যেমন AOSP পরিবর্তন তালিকা। যখন একাধিক পরিবর্তন একটি একক বাগের সাথে সম্পর্কিত হয়, তখন বাগ আইডি অনুসরণকারী সংখ্যার সাথে অতিরিক্ত উল্লেখ সংযুক্ত করা হয়।
ফ্রেমওয়ার্ক
এই বিভাগে সবচেয়ে গুরুতর দুর্বলতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে একটি বিশেষ সুবিধাপ্রাপ্ত প্রক্রিয়ার প্রেক্ষাপটে নির্বিচারে কোড কার্যকর করতে সক্ষম করতে পারে।
| সিভিই | তথ্যসূত্র | টাইপ | নির্দয়তা | AOSP সংস্করণ আপডেট করা হয়েছে |
|---|---|---|---|---|
| CVE-2018-9523 | এ-112859604 | ইওপি | উচ্চ | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
কোয়ালকম উপাদান
এই বিভাগে সবচেয়ে গুরুতর দুর্বলতা একটি স্থানীয় দূষিত অ্যাপ্লিকেশনকে একটি বিশেষ সুবিধাপ্রাপ্ত প্রক্রিয়ার প্রেক্ষাপটে নির্বিচারে কোড কার্যকর করতে সক্ষম করতে পারে।
| সিভিই | তথ্যসূত্র | টাইপ | নির্দয়তা | উপাদান |
|---|---|---|---|---|
| CVE-2017-15818 | এ-68992408 QC-CR#2078580 | N/A | উচ্চ | ইকোসিস্টেম |
| CVE-2018-11995 | এ-71501677 QC-CR#2129639 | N/A | উচ্চ | বুটলোডার |
| CVE-2018-11905 | এ-112277889 QC-CR#2090797 | N/A | উচ্চ | DSP_পরিষেবা |
কোয়ালকম ক্লোজড সোর্স উপাদান
এই দুর্বলতাগুলি Qualcomm উপাদানগুলিকে প্রভাবিত করে এবং উপযুক্ত Qualcomm AMSS নিরাপত্তা বুলেটিনে বা নিরাপত্তা সতর্কতায় আরও বিস্তারিতভাবে বর্ণনা করা হয়েছে। এই সমস্যাগুলির তীব্রতা মূল্যায়ন সরাসরি Qualcomm দ্বারা প্রদান করা হয়।
| সিভিই | তথ্যসূত্র | টাইপ | নির্দয়তা | উপাদান |
|---|---|---|---|---|
| CVE-2017-18317 | A-78244877 * | N/A | সমালোচনামূলক | ক্লোজড সোর্স কম্পোনেন্ট |
| CVE-2018-5912 | A-79420111 * | N/A | সমালোচনামূলক | ক্লোজড সোর্স কম্পোনেন্ট |
| CVE-2018-11264 | A-109677962 * | N/A | সমালোচনামূলক | ক্লোজড সোর্স কম্পোনেন্ট |
| CVE-2016-10502 | A-68326808 * | N/A | উচ্চ | ক্লোজড সোর্স কম্পোনেন্ট |
| CVE-2017-18316 | A-78240714 * | N/A | উচ্চ | ক্লোজড সোর্স কম্পোনেন্ট |
| CVE-2017-18318 | A-78240675 * | N/A | উচ্চ | ক্লোজড সোর্স কম্পোনেন্ট |
| CVE-2017-18315 | A-78241957 * | N/A | উচ্চ | ক্লোজড সোর্স কম্পোনেন্ট |
| CVE-2018-11994 | A-72950294 * | N/A | উচ্চ | ক্লোজড সোর্স কম্পোনেন্ট |
| CVE-2018-11996 | A-74235967 * | N/A | উচ্চ | ক্লোজড সোর্স কম্পোনেন্ট |
| CVE-2018-5870 | A-77484722 * | N/A | উচ্চ | ক্লোজড সোর্স কম্পোনেন্ট |
| CVE-2018-5877 | A-77484786 * | N/A | উচ্চ | ক্লোজড সোর্স কম্পোনেন্ট |
| CVE-2018-5916 | A-79420492 * | N/A | উচ্চ | ক্লোজড সোর্স কম্পোনেন্ট |
| CVE-2018-5917 | A-79420096 * | N/A | উচ্চ | ক্লোজড সোর্স কম্পোনেন্ট |
| CVE-2018-11269 | A-109678529 * | N/A | উচ্চ | ক্লোজড সোর্স কম্পোনেন্ট |
সাধারণ প্রশ্ন এবং উত্তর
এই বিভাগটি সাধারণ প্রশ্নের উত্তর দেয় যা এই বুলেটিন পড়ার পরে হতে পারে।
1. এই সমস্যাগুলি সমাধান করার জন্য আমার ডিভাইস আপডেট করা হয়েছে কিনা তা আমি কীভাবে নির্ধারণ করব?
একটি ডিভাইসের নিরাপত্তা প্যাচ স্তর কিভাবে পরীক্ষা করতে হয় তা জানতে, আপনার Android সংস্করণ চেক এবং আপডেট দেখুন।
- 2018-11-01 এর নিরাপত্তা প্যাচ স্তর বা তার পরে 2018-11-01 নিরাপত্তা প্যাচ স্তরের সাথে সম্পর্কিত সমস্ত সমস্যার সমাধান করে।
- 2018-11-05 বা তার পরের নিরাপত্তা প্যাচ স্তরগুলি 2018-11-05 নিরাপত্তা প্যাচ স্তর এবং সমস্ত পূর্ববর্তী প্যাচ স্তরের সাথে সম্পর্কিত সমস্ত সমস্যার সমাধান করে।
এই আপডেটগুলি অন্তর্ভুক্ত করে এমন ডিভাইস নির্মাতাদের প্যাচ স্ট্রিং স্তর সেট করা উচিত:
- [ro.build.version.security_patch]:[2018-11-01]
- [ro.build.version.security_patch]:[2018-11-05]
2. কেন এই বুলেটিন দুটি নিরাপত্তা প্যাচ স্তর আছে?
এই বুলেটিনে দুটি নিরাপত্তা প্যাচ স্তর রয়েছে যাতে Android অংশীদারদের দুর্বলতাগুলির একটি উপসেটকে আরও দ্রুত ঠিক করার নমনীয়তা থাকে যা সমস্ত Android ডিভাইসে একই রকম। Android অংশীদারদের এই বুলেটিনে সমস্ত সমস্যা সমাধান করতে এবং সর্বশেষ নিরাপত্তা প্যাচ স্তর ব্যবহার করতে উত্সাহিত করা হয়৷
- 2018-11-01 নিরাপত্তা প্যাচ স্তর ব্যবহার করে এমন ডিভাইসগুলিতে সেই নিরাপত্তা প্যাচ স্তরের সাথে সম্পর্কিত সমস্ত সমস্যা এবং সেইসাথে পূর্ববর্তী নিরাপত্তা বুলেটিনে রিপোর্ট করা সমস্ত সমস্যার সমাধান অন্তর্ভুক্ত করতে হবে।
- যে ডিভাইসগুলি 2018-11-05 বা নতুনের নিরাপত্তা প্যাচ স্তর ব্যবহার করে সেগুলিকে অবশ্যই এই (এবং পূর্ববর্তী) নিরাপত্তা বুলেটিনে সমস্ত প্রযোজ্য প্যাচ অন্তর্ভুক্ত করতে হবে।
অংশীদারদের একটি একক আপডেটে তারা যে সমস্ত সমস্যার সমাধান করছে সেগুলিকে বান্ডিল করতে উত্সাহিত করা হয়৷
3. টাইপ কলামের এন্ট্রিগুলির অর্থ কী?
দুর্বলতার বিবরণ টেবিলের টাইপ কলামের এন্ট্রি নিরাপত্তা দুর্বলতার শ্রেণীবিভাগ উল্লেখ করে।
| সংক্ষিপ্ত রূপ | সংজ্ঞা |
|---|---|
| আরসিই | রিমোট কোড এক্সিকিউশন |
| ইওপি | বিশেষাধিকারের উচ্চতা |
| আইডি | তথ্য প্রকাশ |
| DoS | সেবা দিতে অস্বীকার করা |
| N/A | শ্রেণীবিভাগ উপলব্ধ নয় |
4. রেফারেন্স কলামের এন্ট্রিগুলির অর্থ কী?
দুর্বলতার বিবরণ সারণীর রেফারেন্স কলামের অধীনে এন্ট্রিতে একটি উপসর্গ থাকতে পারে যে সংস্থার রেফারেন্স মানটি চিহ্নিত করে।
| উপসর্গ | রেফারেন্স |
|---|---|
| ক- | অ্যান্ড্রয়েড বাগ আইডি |
| QC- | কোয়ালকম রেফারেন্স নম্বর |
| এম- | মিডিয়াটেক রেফারেন্স নম্বর |
| এন- | NVIDIA রেফারেন্স নম্বর |
| খ- | ব্রডকম রেফারেন্স নম্বর |
5. রেফারেন্স কলামে অ্যান্ড্রয়েড বাগ আইডির পাশে * এর অর্থ কী?
যে সমস্যাগুলি সর্বজনীনভাবে উপলব্ধ নয় সেগুলির রেফারেন্স কলামে Android বাগ আইডির পাশে একটি * থাকে৷ এই সমস্যার জন্য আপডেটটি সাধারণত Google বিকাশকারী সাইট থেকে উপলব্ধ Pixel/Nexus ডিভাইসগুলির জন্য সর্বশেষ বাইনারি ড্রাইভারগুলিতে থাকে৷
6. কেন এই বুলেটিন এবং ডিভাইস/পার্টনার সিকিউরিটি বুলেটিন, যেমন পিক্সেল/নেক্সাস বুলেটিন-এর মধ্যে নিরাপত্তা দুর্বলতা বিভক্ত?
এই নিরাপত্তা বুলেটিনে নথিভুক্ত নিরাপত্তা দুর্বলতাগুলিকে Android ডিভাইসে সর্বশেষ নিরাপত্তা প্যাচ স্তর ঘোষণা করতে হবে। নিরাপত্তা প্যাচ স্তর ঘোষণা করার জন্য ডিভাইস / অংশীদার নিরাপত্তা বুলেটিনগুলিতে নথিভুক্ত অতিরিক্ত নিরাপত্তা দুর্বলতাগুলির প্রয়োজন নেই৷ অ্যান্ড্রয়েড ডিভাইস এবং চিপসেট নির্মাতাদের তাদের নিজস্ব নিরাপত্তা ওয়েবসাইট যেমন Samsung , LGE , বা Pixel / Nexus নিরাপত্তা বুলেটিনগুলির মাধ্যমে তাদের ডিভাইসে অন্যান্য ফিক্সের উপস্থিতি নথিভুক্ত করতে উত্সাহিত করা হয়৷
সংস্করণ
| সংস্করণ | তারিখ | মন্তব্য |
|---|---|---|
| 1.0 | নভেম্বর 5, 2018 | বুলেটিন প্রকাশিত হয়েছে। |
| 1.1 | নভেম্বর 5, 2018 | AOSP লিঙ্কগুলি অন্তর্ভুক্ত করার জন্য বুলেটিন সংশোধন করা হয়েছে। |