Android सुरक्षा बुलेटिन—सितंबर 2020

पब्लिश करने की तारीख: 08 सितंबर, 2020 | अपडेट करने की तारीख: 10 सितंबर, 2020

Android सुरक्षा बुलेटिन में, Android डिवाइसों पर असर डालने वाली सुरक्षा से जुड़ी जोखिम की जानकारी होती है. 05-09-2020 या इसके बाद के सुरक्षा पैच लेवल, इन सभी समस्याओं को ठीक करते हैं. किसी डिवाइस के सुरक्षा पैच लेवल को देखने का तरीका जानने के लिए, अपना Android वर्शन देखना और उसे अपडेट करना लेख पढ़ें.

Android पार्टनर को पब्लिकेशन से कम से कम एक महीने पहले, सभी समस्याओं की सूचना दी जाती है. इन समस्याओं के लिए सोर्स कोड पैच, Android Open Source Project (AOSP) के रिपॉज़िटरी में रिलीज़ कर दिए गए हैं. साथ ही, इन्हें इस बुलेटिन से लिंक किया गया है. इस सूचना में, AOSP के बाहर के पैच के लिंक भी शामिल हैं.

इनमें से सबसे गंभीर समस्या, मीडिया फ़्रेमवर्क कॉम्पोनेंट में सुरक्षा से जुड़ी एक गंभीर समस्या है. इसकी वजह से, रिमोट से हमला करने वाला व्यक्ति, खास तौर पर तैयार की गई फ़ाइल का इस्तेमाल करके, किसी खास प्रोसेस के संदर्भ में मनमुताबिक कोड चला सकता है. गंभीरता का आकलन इस बात पर आधारित होता है कि किसी डिवाइस पर, कमज़ोरी का फ़ायदा उठाने से क्या असर पड़ सकता है. यह आकलन इस आधार पर किया जाता है कि डेवलपमेंट के मकसद से, प्लैटफ़ॉर्म और सेवा को कमज़ोरी से बचाने वाली सुविधाएं बंद हैं या नहीं या उन्हें बाईपास कर दिया गया है.

Android सुरक्षा प्लैटफ़ॉर्म की सुरक्षा से जुड़ी सुविधाओं और Google Play Protect के बारे में ज़्यादा जानने के लिए, Android और Google Play Protect के ज़रिए सुरक्षा को बेहतर बनाने के तरीके सेक्शन देखें. इन सुविधाओं से Android प्लैटफ़ॉर्म की सुरक्षा को बेहतर बनाया जाता है.

Android और Google की सेवाओं से जुड़ी समस्याओं को कम करना

इस लेख में, Android सुरक्षा प्लैटफ़ॉर्म और सेवा की सुरक्षा से जुड़ी सुविधाओं, जैसे कि Google Play Protect की मदद से, इस तरह के खतरों को कम करने के तरीकों के बारे में बताया गया है. इन सुविधाओं की मदद से, Android पर सुरक्षा से जुड़ी कमजोरियों का इस्तेमाल करने की संभावना कम हो जाती है.

  • Android प्लैटफ़ॉर्म के नए वर्शन में किए गए सुधारों की वजह से, Android पर कई समस्याओं का गलत इस्तेमाल करना मुश्किल हो गया है. हमारा सुझाव है कि सभी उपयोगकर्ता, जहां भी हो सके वहां Android के नए वर्शन पर अपडेट करें.
  • Android की सुरक्षा टीम, Google Play Protect की मदद से, ऐप्लिकेशन के गलत इस्तेमाल पर नज़र रखती है. साथ ही, उपयोगकर्ताओं को नुकसान पहुंचाने वाले ऐप्लिकेशन के बारे में चेतावनी देती है. Google मोबाइल सेवाओं वाले डिवाइसों पर, Google Play Protect डिफ़ॉल्ट रूप से चालू रहता है. यह सुविधा, खास तौर पर उन उपयोगकर्ताओं के लिए ज़रूरी है जो Google Play के अलावा किसी और से ऐप्लिकेशन इंस्टॉल करते हैं.

01-09-2020 सुरक्षा पैच के लेवल पर मौजूद जोखिम की जानकारी

यहां दिए गए सेक्शन में, हम सुरक्षा से जुड़ी उन सभी कमजोरियों के बारे में जानकारी देते हैं जो 01-09-2020 के पैच लेवल पर लागू होती हैं. जोखिम, उस कॉम्पोनेंट के हिसाब से ग्रुप में बांट दिए जाते हैं जिस पर उनका असर पड़ता है. इसमें समस्या के बारे में जानकारी दी गई है. साथ ही, एक टेबल में सीवीई, उससे जुड़े रेफ़रंस, सुरक्षा से जुड़ी समस्या का टाइप, गंभीरता, और अपडेट किए गए AOSP वर्शन (जहां लागू हो) की जानकारी दी गई है. अगर उपलब्ध हो, तो हम उस सार्वजनिक बदलाव को बग आईडी से लिंक करते हैं जिसकी वजह से समस्या हल हुई है. जैसे, AOSP में हुए बदलावों की सूची. जब एक ही गड़बड़ी से जुड़े कई बदलाव होते हैं, तो गड़बड़ी के आईडी के बाद के नंबरों से अतिरिक्त रेफ़रंस लिंक किए जाते हैं.

फ़्रेमवर्क

इस सेक्शन में मौजूद सबसे गंभीर जोखिम की वजह से, नुकसान पहुंचाने वाले किसी स्थानीय ऐप्लिकेशन को उपयोगकर्ता के इंटरैक्शन की ज़रूरी शर्तों को बायपास करने में मदद मिल सकती है. इससे, वह ऐप्लिकेशन अतिरिक्त अनुमतियों का ऐक्सेस पा सकता है.

CVE रेफ़रंस टाइप गंभीरता AOSP के अपडेट किए गए वर्शन
CVE-2020-0074 A-146204120 [2] EoP ज़्यादा 8.0, 8.1, 9, 10
CVE-2020-0388
 A-156123285 EoP ज़्यादा 10
CVE-2020-0391
 A-158570769 EoP ज़्यादा 9, 10
CVE-2020-0401
 A-150857253 EoP ज़्यादा 8.0, 8.1, 9, 10
CVE-2020-0382
 A-152944488 [2] आईडी ज़्यादा 10
CVE-2020-0389
 A-156959408 आईडी ज़्यादा 10
CVE-2020-0390
 A-157598026 आईडी ज़्यादा 10
CVE-2020-0395
 A-154124307 [2] आईडी ज़्यादा 8.0, 8.1, 9, 10
CVE-2020-0397
 A-155092443 [2] आईडी ज़्यादा 8.0, 8.1, 9, 10
CVE-2020-0399
 A-153993591 [2] [3] आईडी ज़्यादा 8.0, 8.1, 9, 10

मीडिया फ़्रेमवर्क

इस सेक्शन में मौजूद सबसे गंभीर जोखिम की वजह से, रिमोट से हमला करने वाला व्यक्ति, खास तौर पर तैयार की गई फ़ाइल का इस्तेमाल करके, किसी खास प्रोसेस के संदर्भ में मनमुताबिक कोड चला सकता है.

CVE रेफ़रंस टाइप गंभीरता AOSP के अपडेट किए गए वर्शन
CVE-2020-0245
 A-152496149 आईडी ज़्यादा 10
आरसीई सबसे अहम 8.0, 8.1, 9
CVE-2020-0392
 A-150226608 EoP ज़्यादा 9, 10
CVE-2020-0381
 A-150159669 आईडी ज़्यादा 8.0, 8.1, 9, 10
CVE-2020-0383
 A-150160279 आईडी ज़्यादा 8.0, 8.1, 9, 10
CVE-2020-0384
 A-150159906 आईडी ज़्यादा 8.0, 8.1, 9, 10
CVE-2020-0385
 A-150160041 आईडी ज़्यादा 8.0, 8.1, 9, 10
CVE-2020-0393
 A-154123412 आईडी ज़्यादा 9, 10

सिस्टम

इस सेक्शन में मौजूद सबसे गंभीर जोखिम की वजह से, रिमोट से हमलावर किसी खास तरीके से तैयार किए गए ट्रांसमिशन का इस्तेमाल करके, किसी खास प्रोसेस के संदर्भ में मनमुताबिक कोड चला सकता है.

CVE रेफ़रंस टाइप गंभीरता AOSP के अपडेट किए गए वर्शन
CVE-2020-0380
 A-146398979 आरसीई सबसे अहम 8.0, 8.1, 9, 10
CVE-2020-0396
 A-155094269 [2] [3] [4] [5] [6] [7] [8] [9] आईडी सबसे अहम 8.0, 8.1, 9, 10
CVE-2020-0386
 A-155650356 EoP ज़्यादा 8.0, 8.1, 9, 10
CVE-2020-0394
 A-155648639 EoP ज़्यादा 8.0, 8.1, 9, 10
CVE-2020-0379
 A-150156492 आईडी ज़्यादा 8.0, 8.1, 9, 10

Google Play के सिस्टम अपडेट

Project Mainline के कॉम्पोनेंट में ये समस्याएं शामिल हैं.

कॉम्पोनेंट CVE
मीडिया कोडेक CVE-2020-0245
मीडिया फ़्रेमवर्क के कॉम्पोनेंट CVE-2020-0383

05-09-2020 सुरक्षा पैच के लेवल पर मौजूद जोखिम की जानकारी

यहां दिए गए सेक्शन में, हम सुरक्षा से जुड़ी उन सभी कमजोरियों के बारे में जानकारी देते हैं जो 05-09-2020 के पैच लेवल पर लागू होती हैं. जोखिम को उस कॉम्पोनेंट के तहत ग्रुप किया जाता है जिस पर उनका असर पड़ता है. इसमें CVE, उससे जुड़े रेफ़रंस, जोखिम का टाइप, गंभीरता, कॉम्पोनेंट (जहां लागू हो), और अपडेट किए गए AOSP वर्शन (जहां लागू हो) जैसी जानकारी शामिल होती है. अगर उपलब्ध हो, तो हम समस्या को ठीक करने वाले सार्वजनिक बदलाव को बग आईडी से लिंक करते हैं. जैसे, AOSP में हुए बदलावों की सूची. जब एक ही गड़बड़ी से जुड़े कई बदलाव होते हैं, तो बग आईडी के बाद के नंबर से अतिरिक्त रेफ़रंस लिंक किए जाते हैं.

कर्नेल

इस सेक्शन में मौजूद सबसे गंभीर जोखिम की वजह से, कोई लोकल हमलावर, खास तौर पर तैयार की गई फ़ाइल का इस्तेमाल करके, किसी खास प्रोसेस के संदर्भ में मनमुताबिक कोड चला सकता है.

CVE रेफ़रंस टाइप गंभीरता कॉम्पोनेंट
CVE-2019-19769
 A-150693748
अपस्ट्रीम कर्नेल [2] 		EoP ज़्यादा स्टोरेज सबसिस्टम
CVE-2020-0404
 A-111893654
अपस्ट्रीम कर्नेल 		EoP ज़्यादा यूएसबी ड्राइवर
CVE-2020-0407
 A-153450752* आईडी ज़्यादा F2FS

MediaTek के कॉम्पोनेंट

इन कमजोरियों का असर MediaTek के कॉम्पोनेंट पर पड़ता है. ज़्यादा जानकारी के लिए, सीधे MediaTek से संपर्क करें. इन समस्याओं की गंभीरता का आकलन, सीधे तौर पर MediaTek करता है.

CVE रेफ़रंस गंभीरता कॉम्पोनेंट
CVE-2020-0123
 A-149871374
DTV02098055* 		ज़्यादा Android TV का साउंड ड्राइवर
CVE-2020-0229
 A-156333725
ALPS05023182* 		ज़्यादा mdla
CVE-2020-0278
 A-160812574
ALPS05132252 * 		ज़्यादा ATF
CVE-2020-0342
 A-160812576
ALPS05132765* 		ज़्यादा ATF

Qualcomm के कॉम्पोनेंट

इन समस्याओं का असर Qualcomm के कॉम्पोनेंट पर पड़ता है. इनके बारे में ज़्यादा जानकारी, Qualcomm के सुरक्षा बुलेटिन या सुरक्षा चेतावनी में दी गई है. इन समस्याओं की गंभीरता का आकलन, सीधे तौर पर Qualcomm करता है.

CVE रेफ़रंस गंभीरता कॉम्पोनेंट
CVE-2019-10527
 A-147102899
QC-CR#2421611
QC-CR#2421602 [2]
QC-CR#2419153* 		ज़्यादा कर्नेल
CVE-2019-14117
 A-147104886
QC-CR#2525999 		ज़्यादा कर्नेल
CVE-2020-3613
 A-148816706
QC-CR#2239987 		ज़्यादा कर्नेल
CVE-2020-3656
 A-157905780
QC-CR#2580967 		ज़्यादा कर्नेल
CVE-2020-11124
 A-157906588
QC-CR#2611487 		ज़्यादा कर्नेल

Qualcomm के क्लोज़्ड-सोर्स कॉम्पोनेंट

इन कमजोरियों का असर, Qualcomm के क्लोज़्ड-सोर्स कॉम्पोनेंट पर पड़ता है. इनके बारे में ज़्यादा जानकारी, Qualcomm के सुरक्षा बुलेटिन या सुरक्षा चेतावनी में दी गई है. इन समस्याओं की गंभीरता का आकलन, सीधे तौर पर Qualcomm करता है.

CVE रेफ़रंस गंभीरता कॉम्पोनेंट
CVE-2019-10628
 A-147102780* सबसे अहम क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2019-10629
 A-147101658* सबसे अहम क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2019-13994
 A-147104051* सबसे अहम क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-3621
 A-148816726* सबसे अहम क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-3634
 A-150695049* सबसे अहम क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2019-10596
 A-147104369* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2019-13992
 A-147102898* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2019-13995
 A-147104253* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2019-14074
 A-145546792* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-3617
 A-150697774* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-3620
 A-148817068* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-3622
 A-148817285* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-3629
 A-148816991* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-3671
 A-148529608* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11129
 A-157905420* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11133
 A-157905987* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट
CVE-2020-11135
 A-157906313* ज़्यादा क्लोज़्ड-सोर्स कॉम्पोनेंट

आम तौर पर पूछे जाने वाले सवाल और उनके जवाब

इस सेक्शन में, इस सूचना को पढ़ने के बाद पूछे जाने वाले आम सवालों के जवाब दिए गए हैं.

1. मुझे कैसे पता चलेगा कि मेरे डिवाइस को इन समस्याओं को ठीक करने के लिए अपडेट किया गया है या नहीं?

किसी डिवाइस के सुरक्षा पैच लेवल को देखने का तरीका जानने के लिए, अपना Android वर्शन देखना और उसे अपडेट करना लेख पढ़ें.

  • 01-09-2020 या उसके बाद के सुरक्षा पैच के लेवल, 01-09-2020 के सुरक्षा पैच के लेवल से जुड़ी सभी समस्याओं को ठीक करते हैं.
  • 05-09-2020 या उसके बाद के सिक्योरिटी पैच लेवल, 05-09-2020 के सिक्योरिटी पैच लेवल और सभी पिछले पैच लेवल से जुड़ी सभी समस्याओं को ठीक करते हैं.

जिन डिवाइस मैन्युफ़ैक्चरर ने ये अपडेट शामिल किए हैं उन्हें पैच स्ट्रिंग के लेवल को इन पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[2020-09-01]
  • [ro.build.version.security_patch]:[2020-09-05]

Android 10 या उसके बाद के वर्शन वाले कुछ डिवाइसों के लिए, Google Play के सिस्टम अपडेट में तारीख की एक स्ट्रिंग होगी. यह स्ट्रिंग, 01-09-2020 के सुरक्षा पैच लेवल से मेल खाएगी. सुरक्षा से जुड़े अपडेट इंस्टॉल करने के तरीके के बारे में ज़्यादा जानने के लिए, कृपया यह लेख पढ़ें.

2. इस सूचना में, सुरक्षा पैच के दो लेवल क्यों हैं?

इस बुलेटिन में सुरक्षा पैच के दो लेवल हैं, ताकि Android पार्टनर, सभी Android डिवाइसों में मौजूद कमज़ोरियों के सबसेट को तेज़ी से ठीक कर सकें. Android पार्टनर को इस सूचना में बताई गई सभी समस्याओं को ठीक करने और सुरक्षा पैच के नए लेवल का इस्तेमाल करने का सुझाव दिया जाता है.

  • जिन डिवाइसों में 01-09-2020 के सिक्योरिटी पैच लेवल का इस्तेमाल किया जाता है उनमें, उस सिक्योरिटी पैच लेवल से जुड़ी सभी समस्याएं शामिल होनी चाहिए. साथ ही, उनमें उन सभी समस्याओं के लिए ठीक किए गए वर्शन भी शामिल होने चाहिए जिनकी शिकायत, पिछले सिक्योरिटी बुलेटिन में की गई थी.
  • जिन डिवाइसों में 05-09-2020 या उसके बाद के सिक्योरिटी पैच लेवल का इस्तेमाल किया जाता है उनमें इस और पिछले सिक्योरिटी बुलेटिन में बताए गए सभी लागू पैच शामिल होने चाहिए.

हमारा सुझाव है कि पार्टनर, एक ही अपडेट में उन सभी समस्याओं को ठीक करने के लिए, सुधारों को बंडल करें जिन्हें वे ठीक कर रहे हैं.

3. टाइप कॉलम में मौजूद एंट्री का क्या मतलब है?

जोखिम की जानकारी वाली टेबल के टाइप कॉलम में मौजूद एंट्री, सुरक्षा जोखिम की कैटगरी के बारे में बताती हैं.

संक्षेपण परिभाषा
आरसीई रिमोट कोड को चलाना
EoP प्रिविलेज एस्कलेशन
आईडी जानकारी ज़ाहिर करना
डीओएस सेवा में रुकावट
लागू नहीं क्लासिफ़िकेशन उपलब्ध नहीं है

4. रेफ़रंस कॉलम में मौजूद एंट्री का क्या मतलब है?

जोखिम की जानकारी वाली टेबल के रेफ़रंस कॉलम में मौजूद एंट्री में, उस संगठन की पहचान करने वाला प्रीफ़िक्स हो सकता है जिससे रेफ़रंस वैल्यू जुड़ी है.

प्रीफ़िक्स रेफ़रंस
A- Android गड़बड़ी का आईडी
QC- Qualcomm का रेफ़रंस नंबर
M- MediaTek का रेफ़रंस नंबर
N- NVIDIA का रेफ़रंस नंबर
B- Broadcom का रेफ़रंस नंबर

5. रेफ़रंस कॉलम में, Android बग आईडी के बगल में मौजूद * का क्या मतलब है?

सार्वजनिक तौर पर उपलब्ध न होने वाली समस्याओं के लिए, रेफ़रंस कॉलम में Android बग आईडी के बगल में * का निशान दिखता है. आम तौर पर, उस समस्या का अपडेट, Pixel डिवाइसों के लिए नए बाइनरी ड्राइवर में होता है. ये ड्राइवर, Google डेवलपर साइट से उपलब्ध होते हैं.

6. सुरक्षा से जुड़ी समस्याओं को इस सूचना और डिवाइस / पार्टनर की सुरक्षा से जुड़ी सूचनाओं, जैसे कि Pixel सूचना के बीच क्यों बांटा जाता है?

इस सुरक्षा बुलेटिन में दी गई सुरक्षा से जुड़ी जोखिमियों के आधार पर, Android डिवाइसों पर सुरक्षा पैच का नया लेवल तय किया जाता है. सुरक्षा से जुड़ी अतिरिक्त जोखिम, डिवाइस और पार्टनर के सुरक्षा बुलेटिन में दर्ज किए जाते हैं. हालांकि, सुरक्षा पैच लेवल का एलान करने के लिए, इन जोखिमों की जानकारी देना ज़रूरी नहीं है. Android डिवाइस और चिपसेट बनाने वाली कंपनियां, अपने प्रॉडक्ट से जुड़ी सुरक्षा से जुड़ी कमजोरियों की जानकारी भी पब्लिश कर सकती हैं. जैसे, Google, Huawei, LGE, Motorola, Nokia या Samsung.

वर्शन

वर्शन तारीख नोट
1.0 8 सितंबर, 2020 बुलेटिन पब्लिश किया गया
1.1 10 सितंबर, 2020 AOSP लिंक शामिल करने के लिए, बुलेटिन में बदलाव किया गया