Android सुरक्षा बुलेटिन—दिसंबर 2018

3 दिसंबर 2018 को प्रकाशित | 5 दिसंबर 2018 को अपडेट किया गया

Android सुरक्षा बुलेटिन में Android उपकरणों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण होता है। 2018-12-05 या बाद के सुरक्षा पैच स्तर इन सभी मुद्दों को संबोधित करते हैं। किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपना Android संस्करण जांचें और अपडेट करें देखें.

प्रकाशन से कम से कम एक महीने पहले Android भागीदारों को सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए स्रोत कोड पैच एंड्रॉइड ओपन सोर्स प्रोजेक्ट (एओएसपी) रिपोजिटरी में जारी किए गए हैं और इस बुलेटिन से जुड़े हुए हैं। इस बुलेटिन में एओएसपी के बाहर पैच के लिंक भी शामिल हैं।

इन मुद्दों में सबसे गंभीर मीडिया ढांचे में एक महत्वपूर्ण सुरक्षा भेद्यता है जो एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकता है। गंभीरता का आकलन इस प्रभाव पर आधारित है कि भेद्यता का शोषण संभवतः एक प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफॉर्म और सेवा शमन को विकास उद्देश्यों के लिए बंद कर दिया गया है या सफलतापूर्वक बायपास कर दिया गया है।

हमारे पास इन नए रिपोर्ट किए गए मुद्दों के सक्रिय ग्राहक शोषण या दुरुपयोग की कोई रिपोर्ट नहीं है। Android सुरक्षा प्लेटफ़ॉर्म सुरक्षा और Google Play प्रोटेक्ट पर विवरण के लिए Android और Google Play प्रोटेक्ट मिटिगेशन अनुभाग देखें, जो Android प्लेटफ़ॉर्म की सुरक्षा में सुधार करते हैं।

नोट: Google उपकरणों के लिए नवीनतम ओवर-द-एयर अपडेट (OTA) और फर्मवेयर छवियों की जानकारी दिसंबर 2018 पिक्सेल / Nexus सुरक्षा बुलेटिन में उपलब्ध है।

Android और Google सेवा में कमी

यह Android सुरक्षा प्लेटफ़ॉर्म और Google Play Protect जैसी सेवा सुरक्षा द्वारा प्रदान किए गए शमन का सारांश है। ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा कमजोरियों का सफलतापूर्वक शोषण किया जा सकता है।

  • एंड्रॉइड प्लेटफॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा एंड्रॉइड पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
  • एंड्रॉइड सुरक्षा टीम सक्रिय रूप से Google Play Protect के माध्यम से दुरुपयोग की निगरानी करती है और उपयोगकर्ताओं को संभावित रूप से हानिकारक एप्लिकेशन के बारे में चेतावनी देती है। Google Play Protect Google मोबाइल सेवाओं वाले उपकरणों पर डिफ़ॉल्ट रूप से सक्षम होता है, और यह उन उपयोगकर्ताओं के लिए विशेष रूप से महत्वपूर्ण है जो Google Play के बाहर से ऐप्स इंस्टॉल करते हैं।

2018-12-01 सुरक्षा पैच स्तर भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2018-12-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। समस्या का विवरण और सीवीई, संबंधित संदर्भ, भेद्यता के प्रकार , गंभीरता , और अद्यतन एओएसपी संस्करण (जहां लागू हो) के साथ एक तालिका है। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।

रूपरेखा

इस खंड में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने में सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2018-9547 ए-114223584 ईओपी उच्च 8.1, 9
सीवीई-2018-9548 ए-112555574 पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

मीडिया ढांचा

इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2018-9549 ए-112160868 आरसीई नाजुक 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2018-9550 ए-112660981 आरसीई नाजुक 9
सीवीई-2018-9551 ए-112891548 आरसीई नाजुक 9
सीवीई-2018-9552 ए-113260892 पहचान नाजुक 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2018-9553 ए-116615297 आरसीई उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2018-9538 ए-112181526 ईओपी उच्च 8.1, 9
सीवीई-2018-9554 ए-114770654 पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1

व्यवस्था

इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार किए गए ट्रांसमिशन का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2018-9555 ए-112321180 आरसीई नाजुक 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2018-9556 ए-1111118184 आरसीई नाजुक 9
सीवीई-2018-9557 ए-35385357 * ईओपी उच्च 7.0, 7.1.1, 7.1.2
सीवीई-2018-9558 ए-112161557 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2018-9559 ए-112731440 ईओपी उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
सीवीई-2018-9560 ए-79946737 ईओपी उच्च 9
सीवीई-2018-9562 ए-113164621 पहचान उच्च 9
सीवीई-2018-9566 ए-74249842 पहचान उच्च 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

2018-12-05 सुरक्षा पैच स्तर भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2018-12-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उस घटक के तहत वर्गीकृत किया जाता है जो वे प्रभावित करते हैं और इसमें सीवीई, संबद्ध संदर्भ, भेद्यता के प्रकार , गंभीरता , घटक (जहां लागू हो), और अद्यतन एओएसपी संस्करण (जहां लागू हो) जैसे विवरण शामिल होते हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।

व्यवस्था

इस खंड में सबसे गंभीर भेद्यता दूरस्थ सूचना प्रकटीकरण का कारण बन सकती है, जिसमें अतिरिक्त निष्पादन विशेषाधिकारों की आवश्यकता नहीं है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2018-9565 ए-16680558 * पहचान उच्च OMA-डीएम

एचटीसी घटक

इस खंड में सबसे गंभीर भेद्यता एक स्थानीय हमलावर को अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए उपयोगकर्ता इंटरैक्शन आवश्यकताओं को बायपास करने में सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2018-9567 ए-65543936 * ईओपी उच्च बूटलोडर

कर्नेल घटक

इस खंड में सबसे गंभीर भेद्यता एक स्थानीय हमलावर को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाना कोड निष्पादित करने में सक्षम कर सकती है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2018-10840 ए-116406508
अपस्ट्रीम कर्नेल		 ईओपी उच्च ext4 फाइल सिस्टम
सीवीई-2018-9568 ए-113509306
अपस्ट्रीम कर्नेल		 ईओपी उच्च नेटवर्क

क्वालकॉम घटक

ये भेद्यताएं क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में और अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2018-11960 ए-114042002
क्यूसी-सीआर#2264832		 एन/ए उच्च HWEngines
सीवीई-2018-11961 ए-114040881
क्यूसी-सीआर#2261813		 एन/ए उच्च GPS_AP_LINUX
सीवीई-2018-11963 ए-114041685
क्यूसी-सीआर#2220770		 एन/ए उच्च ऑटोमोटिव मल्टीमीडिया

क्वालकॉम बंद-स्रोत घटक

ये भेद्यताएं क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में और अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ टाइप तीव्रता अवयव
सीवीई-2017-8248 ए-78135902 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2017-11004 ए-66913713 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2017-18141 ए-67712316 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2018-5913 ए-79419833 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2018-11279 ए-109678200 * एन/ए नाजुक बंद स्रोत घटक
सीवीई-2017-18319 ए-78284753 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-18321 ए-78283451 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-18322 ए-78285196 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-18323 ए-78284194 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-18324 ए-78284517 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-18327 ए-78240177 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-18331 ए-78239686 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-18332 ए-78284545 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-18160 ए-109660689 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-18326 ए-78240324 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-8276 ए-68141338 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-18328 ए-78286046 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-18329 ए-73539037 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-18330 ए-73539235 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-3595 ए-71501115 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-18320 ए-33757308 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-11999 ए-74236942 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-5867 ए-77485184 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-5868 ए-77484529 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-5869 ए-33385206 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2017-5754 ए-79419639 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-5915 ए-79420511 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-11267 ए-109678338 * एन/ए उच्च बंद स्रोत घटक
सीवीई-2018-11922 ए-112279564 * एन/ए उच्च बंद स्रोत घटक

सामान्य प्रश्न और उत्तर

यह खंड उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि इन समस्याओं को दूर करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?

किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपना Android संस्करण जांचें और अपडेट करें देखें.

  • 2018-12-01 या बाद के सुरक्षा पैच स्तर 2018-12-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों को संबोधित करते हैं।
  • 2018-12-05 या बाद के सुरक्षा पैच स्तर 2018-12-05 सुरक्षा पैच स्तर और पिछले सभी पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।

इन अद्यतनों को शामिल करने वाले डिवाइस निर्माताओं को पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[2018-12-01]
  • [ro.build.version.security_patch]:[2018-12-05]

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि Android भागीदारों के पास कमजोरियों के एक सबसेट को ठीक करने की सुविधा हो जो सभी Android उपकरणों में अधिक तेज़ी से समान हो। Android भागीदारों को इस बुलेटिन में सभी समस्याओं को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

  • 2018-12-01 सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में उस सुरक्षा पैच स्तर से जुड़े सभी मुद्दों के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट की गई सभी समस्याओं के समाधान शामिल होने चाहिए।
  • जो डिवाइस 2018-12-05 या इससे नए सुरक्षा पैच स्तर का उपयोग करते हैं, उनमें इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल होने चाहिए।

भागीदारों को उन सभी समस्याओं के समाधान को बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे एक ही अद्यतन में संबोधित कर रहे हैं।

3. टाइप कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के प्रकार कॉलम में प्रविष्टियां सुरक्षा भेद्यता के वर्गीकरण का संदर्भ देती हैं।

संक्षेपाक्षर परिभाषा
आरसीई रिमोट कोड निष्पादन
ईओपी विशेषाधिकार का उन्नयन
पहचान जानकारी प्रकटीकरण
करने योग्य सेवा की मनाई
एन/ए वर्गीकरण उपलब्ध नहीं है

4. सन्दर्भ कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के संदर्भ कॉलम के अंतर्गत प्रविष्टियों में उस संगठन की पहचान करने वाला एक उपसर्ग हो सकता है जिससे संदर्भ मान संबंधित है।

उपसर्ग संदर्भ
ए- एंड्रॉइड बग आईडी
क्यूसी- क्वालकॉम संदर्भ संख्या
एम- मीडियाटेक संदर्भ संख्या
एन- NVIDIA संदर्भ संख्या
बी- ब्रॉडकॉम संदर्भ संख्या

5. संदर्भ कॉलम में Android बग आईडी के आगे * का क्या अर्थ है?

जो समस्याएं सार्वजनिक रूप से उपलब्ध नहीं हैं उनमें संदर्भ कॉलम में Android बग आईडी के आगे एक * होता है। उस समस्या के लिए अद्यतन आम तौर पर Google डेवलपर साइट से उपलब्ध पिक्सेल / नेक्सस उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में निहित है।

6. सुरक्षा भेद्यताएं इस बुलेटिन और डिवाइस/पार्टनर सुरक्षा बुलेटिन, जैसे कि Pixel/Nexus बुलेटिन के बीच क्यों विभाजित हैं?

इस सुरक्षा बुलेटिन में प्रलेखित सुरक्षा भेद्यताएं Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। सुरक्षा पैच स्तर घोषित करने के लिए डिवाइस/पार्टनर सुरक्षा बुलेटिन में प्रलेखित अतिरिक्त सुरक्षा भेद्यताएं आवश्यक नहीं हैं। एंड्रॉइड डिवाइस और चिपसेट निर्माताओं को सैमसंग , एलजीई , या पिक्सेल / नेक्सस सुरक्षा बुलेटिन जैसी अपनी सुरक्षा वेबसाइटों के माध्यम से अपने उपकरणों पर अन्य सुधारों की उपस्थिति का दस्तावेजीकरण करने के लिए प्रोत्साहित किया जाता है।

संस्करणों

संस्करण दिनांक टिप्पणियाँ
1.0 दिसंबर 3, 2018 बुलेटिन प्रकाशित
1.1 दिसंबर 5, 2018 AOSP लिंक्स को शामिल करने के लिए बुलेटिन में संशोधन किया गया।