نشرة أمان Android لشهر تشرين الثاني (نوفمبر) 2021

تاريخ النشر: 1 تشرين الثاني (نوفمبر) 2021 | تاريخ التعديل: 3 كانون الأول (ديسمبر) 2021

يحتوي نشرة أمان Android على تفاصيل حول ثغرات الأمان التي تؤثر في أجهزة Android. تعالج جميع هذه المشاكل مستويات تصحيحات الأمان بتاريخ ‎06-11-2021 أو الإصدارات الأحدث. لمعرفة كيفية التحقّق من مستوى تحديث الأمان على الجهاز، اطّلِع على مقالة التحقّق من إصدار Android على جهازك وتحديثه.

يتم إشعار شركاء Android بجميع المشاكل قبل شهر واحد على الأقل من نشرها. تم إصدار تصحيحات لرمز المصدر لهذه المشاكل في مستودع "المشروع المفتوح المصدر لنظام Android" ‏ (AOSP) ويمكن الوصول إليها من خلال الرابط في هذه النشرة. تتضمّن هذه النشرة أيضًا روابط إلى الرموز البرمجية الإضافية خارج إطار AOSP.

إنّ أخطر هذه المشاكل هي ثغرة أمنية خطيرة في مكوّن "النظام" يمكن أن تتيح لمهاجم عن بُعد استخدام عملية إرسال مُعدّة خصيصًا لتنفيذ رمز عشوائي في سياق عملية مفوَّضة. يستند تقييم الخطورة إلى التأثير الذي قد يحدثه استغلال الثغرة الأمنية على الجهاز المتأثّر، بافتراض أنّه تم إيقاف تدابير التخفيف من مخاطر النظام الأساسي والخدمة لأغراض تطوير التطبيقات أو إذا تم تجاوزها بنجاح.

يُرجى الرجوع إلى قسم الحماية التي يوفّرها Android و"Google Play للحماية" للاطّلاع على تفاصيل حول وسائل الحماية التي يوفّرها نظام Android و"Google Play للحماية"، والتي تحسّن من أمان نظام Android.

إجراءات التخفيف في Android وخدمات Google

في ما يلي ملخّص للإجراءات الوقائية التي يوفّرها نظام أمان Android وخدمات الحماية، مثل Google Play للحماية. تقلل هذه الإمكانات من احتمالية استغلال ثغرات الأمان بنجاح على Android.

  • إنّ استغلال العديد من المشاكل على Android أصبح أكثر صعوبة بسبب التحسينات في الإصدارات الأحدث من نظام Android الأساسي. وننصحك جميع المستخدمين بالتحديث إلى أحدث إصدار من Android كلما أمكن ذلك.
  • يعمل فريق أمان Android على رصد إساءة الاستخدام بنشاط من خلال Google Play للحماية، كما يحذّر المستخدمين من التطبيقات التي قد تتسبّب بضرر. تكون خدمات "Google Play للحماية" مفعّلة تلقائيًا على الأجهزة التي تم تثبيت خدمات Google للأجهزة الجوالة عليها، وهي مهمة بشكل خاص للمستخدمين الذين يثبّتون التطبيقات من خارج "متجر Google Play".

تفاصيل الثغرة الأمنية في مستوى رمز تصحيح الأمان بتاريخ 01‏/11‏/2021

في الأقسام أدناه، نقدّم تفاصيل عن كل من نقاط الضعف في الأمان التي تنطبق على مستوى التصحيح في 01‏-11‏-2021. يتم تجميع الثغرات الأمنية ضمن المكوّن الذي تؤثر فيه. يتم وصف المشاكل في الجداول أدناه، وتشمل معرّف CVE والمرجعات المرتبطة ونوع الثغرة الأمنية وخطورتها وإصدارات AOSP المعدَّلة (إن أمكن). نربط التغيير العلني الذي تم من خلاله حلّ المشكلة برقم تعريف الخطأ، مثل قائمة التغييرات في AOSP، إذا كان ذلك متاحًا. عندما تكون هناك تغييرات متعدّدة مرتبطة بخطأ واحد، يتم ربط إشارات إضافية بأرقام تتبع معرّف الخطأ. قد تتلقّى الأجهزة التي تعمل بنظام Android 10 والإصدارات الأحدث تحديثات الأمان بالإضافة إلى تحديثات نظام Google Play.

إطار العمل

يمكن أن تسمح أشد الثغرات خطورة في هذا القسم لصاخب محلي بالوصول إلى أذونات إضافية بدون الحاجة إلى تفاعل المستخدم.

CVE المراجع النوع درجة الخطورة إصدارات AOSP المعدَّلة
CVE-2021-0799 A-197647956 EoP عالية 12
CVE-2021-0921 A-195962697 EoP عالية 11
CVE-2021-0923 A-195338390 EoP عالية 12
CVE-2021-0926 A-191053931 EoP عالية 9 و10 و11 و12
CVE-2021-0933 A-172251622 EoP عالية 9 و10 و11 و12
CVE-2020-13871 A-192606047 رقم التعريف عالية 11
CVE-2021-0653 A-177931370 رقم التعريف عالية 9 و10 و11
CVE-2021-0922 A-195630721 EoP متوسط 11

إطار عمل الوسائط

يمكن أن تؤدي أخطر ثغرة أمنية في هذا القسم إلى السماح لتطبيق ضار على الجهاز بتجاوز متطلبات التفاعل مع المستخدمين من أجل الحصول على أذونات إضافية.

CVE المراجع النوع درجة الخطورة إصدارات AOSP المعدَّلة
CVE-2021-0928 A-188675581 EoP عالية 9 و10 و11
CVE-2021-0650 A-190286685 رقم التعريف عالية 9 و10 و11

النظام

يمكن أن تسمح الثغرة الأمنية الأكثر خطورة في هذا القسم لصاخب عن بُعد باستخدام عملية إرسال مصمّمة خصيصًا بتنفيذ رمز برمجي عشوائي في سياق عملية مميّزة.

CVE المراجع النوع درجة الخطورة إصدارات AOSP المعدَّلة
CVE-2021-0918 A-197536150 RCE حرِج 12
CVE-2021-0930 A-181660091 RCE حرِج 9 و10 و11 و12
CVE-2021-0434 A-167403112 [2] [3] [4] [5] [6] EoP عالية 9 و10 و11
CVE-2021-0649 A-191382886 [2] EoP عالية 11
CVE-2021-0932 A-173025705 EoP عالية 10
CVE-2021-0925 A-191444150 رقم التعريف عالية 12
CVE-2021-0931 A-180747689 رقم التعريف عالية 9 و10 و11 و12
CVE-2021-0919 A-197336441 DoS متوسط 9 و10 و11

تحديثات نظام Google Play

يتم تضمين المشاكل التالية في مكونات Project Mainline.

المكوّن CVE
التوصيل CVE-2021-0653
مكونات إطار عمل الوسائط CVE-2021-0650
التوصيل CVE-2021-0649

تفاصيل الثغرة الأمنية في مستوى رمز تصحيح الأمان بتاريخ 05‏-11‏-2021

في الأقسام أدناه، نقدّم تفاصيل عن كل من نقاط الضعف في الأمان التي تنطبق على مستوى التصحيح في 05‏-11‏-2021. يتم تجميع الثغرات الأمنية ضمن المكوّن الذي تؤثر فيه. يتم وصف المشاكل في الجداول أدناه، وتشمل معرّف CVE والمرجعات المرتبطة ونوع الثغرة الأمنية وخطورتها وإصدارات AOSP المعدَّلة (إن أمكن). نربط التغيير العلني الذي تم من خلاله حلّ المشكلة برقم تعريف الخطأ، مثل قائمة التغييرات في AOSP، إذا كان ذلك متاحًا. عندما تكون هناك تغييرات متعدّدة مرتبطة بخطأ واحد، يتم ربط إشارات إضافية بأرقام تتبع معرّف الخطأ.

مكوّنات النواة

يمكن أن تؤدي أشد الثغرات خطورة في هذا القسم إلى تصعيد الامتياز على مستوى الجهاز بسبب الاستخدام بعد انتهاء الفترة المجانية.
CVE المراجع النوع درجة الخطورة المكوّن
CVE-2021-0920 A-196926917
النواة من المصدر 		EoP عالية فرقعة
CVE-2021-0924 A-194461020
النواة من المصدر 		EoP عالية USB
CVE-2021-0929 A-187527909
النواة الأساسية [2] [3]		 EoP عالية ION

Android TV

يمكن أن تسمح أخطر ثغرة أمنية في هذا القسم لصاخبٍ قريب من الجهاز بالاقتران به بصمت وتنفيذ رمز عشوائي بدون أي امتيازات أو تفاعل من المستخدم.

CVE المراجع النوع درجة الخطورة المكوّن
CVE-2021-0889 A-180745296 RCE حرِج Android TV Remote Service
CVE-2021-0927 A-189824175 EoP عالية TvInputManager

مكونات MediaTek

تؤثر هذه الثغرة الأمنية في مكونات MediaTek، ويمكنك الحصول على مزيد من التفاصيل مباشرةً من MediaTek. تقدّم شركة MediaTek مباشرةً تقييمًا لشدة هذه المشكلة.

CVE المراجع درجة الخطورة المكوّن
CVE-2021-0672
 A-199678035
M-ALPS05969704 * 		عالية تطبيق المتصفح

مكوّنات Qualcomm المغلقة المصدر

تؤثر هذه الثغرات الأمنية في مكوّنات Qualcomm ذات المصدر المغلق، ويتم وصفها بمزيد من التفصيل في نشرة الأمان أو تنبيه الأمان المناسبَين من Qualcomm. تقدّم شركة Qualcomm مباشرةً تقييمًا لشدة هذه المشاكل.

CVE المراجع درجة الخطورة المكوّن
CVE-2021-1924
 A-187074639 * حرِج مكوّن مغلق المصدر
CVE-2021-1975
 A-187074053 * حرِج مكوّن مغلق المصدر
CVE-2021-1921
 A-187074562 * عالية مكوّن مغلق المصدر
CVE-2021-1973
 A-187074563 * عالية مكوّن مغلق المصدر
CVE-2021-1979
 A-187073200 * عالية مكوّن مغلق المصدر
CVE-2021-1981
 A-187074764 * عالية مكوّن مغلق المصدر
CVE-2021-1982
 A-187074484 * عالية مكوّن مغلق المصدر
CVE-2021-30254
 A-187074014 * عالية مكوّن مغلق المصدر
CVE-2021-30255
 A-187074054 * عالية مكوّن مغلق المصدر
CVE-2021-30284
 A-187074013 * عالية مكوّن مغلق المصدر

تفاصيل الثغرة الأمنية في مستوى رمز تصحيح الأمان بتاريخ 06‏-11‏-2021

في الأقسام أدناه، نقدّم تفاصيل عن كل من نقاط الضعف في الأمان التي تنطبق على مستوى التصحيح في 6‏-11‏-2021. يتم تجميع الثغرات الأمنية ضمن المكوّن الذي تؤثر فيه. يتم وصف المشاكل في الجداول أدناه، وتشمل معرّف CVE والمرجعات المرتبطة ونوع الثغرة الأمنية وخطورتها وإصدارات AOSP المعدَّلة (إن أمكن). نربط التغيير العلني الذي تم من خلاله حلّ المشكلة برقم تعريف الخطأ، مثل قائمة التغييرات في AOSP، إذا كان ذلك متاحًا. عندما تكون هناك تغييرات متعدّدة مرتبطة بخطأ واحد، يتم ربط إشارات إضافية بأرقام تتبع معرّف الخطأ.

مكوّنات النواة

يمكن أن تؤدي الثغرة الأمنية الواردة في هذا القسم إلى تصعيد الامتيازات على الجهاز بسبب الاستخدام بعد انتهاء الفترة المجانية.
CVE المراجع النوع درجة الخطورة المكوّن
CVE-2021-1048 A-204573007
النواة الأساسية 		EoP عالية فرقعة

الأسئلة الشائعة والأجوبة عنها

يجيب هذا القسم عن الأسئلة الشائعة التي قد تخطر لك بعد قراءة هذا الإشعار.

1. كيف يمكنني معرفة ما إذا كان جهازي محدّثًا لحلّ هذه المشاكل؟

لمعرفة كيفية التحقّق من مستوى تحديث الأمان على الجهاز، اطّلِع على مقالة التحقّق من إصدار Android على جهازك وتحديثه.

  • تعالج مستويات تصحيح الأمان في 1 تشرين الثاني (نوفمبر) 2021 أو الإصدارات الأحدث جميع المشاكل المرتبطة بمستوى تصحيح الأمان في 1 تشرين الثاني (نوفمبر) 2021.
  • تعالج مستويات تصحيحات الأمان بتاريخ 05‏-11‏-2021 أو الإصدارات الأحدث جميع المشاكل المرتبطة بمستوى تصحيح الأمان بتاريخ 05‏-11‏-2021 وجميع مستويات التصحيحات السابقة.
  • تعالج مستويات تصحيحات الأمان بتاريخ 06‏-11‏-2021 أو الإصدارات الأحدث جميع المشاكل المرتبطة بمستوى تصحيح الأمان بتاريخ 06‏-11‏-2021 وجميع مستويات التصحيحات السابقة.

على مصنعي الأجهزة الذين يضيفون هذه التعديلات ضبط مستوى سلسلة التصحيح على:

  • [ro.build.version.security_patch]:[2021-11-01]
  • [ro.build.version.security_patch]:[2021-11-05]
  • [ro.build.version.security_patch]:[2021-11-06]

في بعض الأجهزة التي تعمل بالإصدار 10 من Android أو الإصدارات الأحدث، سيتضمّن تحديث نظام Google Play سلسلة بيانات تتطابق مع مستوى تصحيح الأمان ‎01-11-2021. يُرجى الاطّلاع على هذه المقالة للحصول على مزيد من التفاصيل حول كيفية تثبيت updates. security.

2. لماذا تتضمّن هذه النشرة الإخبارية مستويَين لرمز تصحيح الأمان؟

تتضمّن هذه النشرة إشعارَين بمستوى تصحيح الأمان ليتمكّن شركاء Android من تعديل مجموعة فرعية من الثغرات الأمنية المشابهة على جميع أجهزة Android بشكل أسرع. ننصح شركاء Android بحلّ جميع المشاكل المذكورة في هذه النشرة واستخدام أحدث مستوى من تصحيحات الأمان.

  • يجب أن تتضمّن الأجهزة التي تستخدم مستوى تصحيح الأمان ‎01-11-2021 جميع المشاكل المرتبطة بهذا المستوى، بالإضافة إلى إصلاحات لجميع المشاكل التي تم الإبلاغ عنها في نشرات الأمان السابقة.
  • يجب أن تتضمّن الأجهزة التي تستخدم مستوى تصحيح الأمان بتاريخ 05‏/11‏/2021 أو إصدارًا أحدث جميع الرموز المتاحة لتصحيح الأمان في نشرة الأمان (هذه والسابقة).
  • يجب أن تتضمّن الأجهزة التي تستخدم مستوى تصحيح الأمان بتاريخ 06‏/11‏/2021 أو إصدارًا أحدث جميع الرموز المتاحة لتصحيح الأمان في نشرة الأمان (هذه والسابقة).

ننصح الشركاء بتجميع الإصلاحات لجميع المشاكل التي يعالجونها في تحديث واحد.

3. ما معنى الإدخالات في عمود النوع؟

تشير الإدخالات في عمود النوع من جدول تفاصيل الثغرة الأمنية إلى تصنيف الثغرة الأمنية.

الاختصار التعريف
RCE تنفيذ الرمز البرمجي عن بُعد
EoP تجاوز الأذونات
رقم التعريف الإفصاح عن المعلومات
DoS حجب الخدمة
لا ينطبق التصنيف غير متاح

‫4. ما المقصود بالإدخالات في عمود المراجع؟

قد تحتوي الإدخالات ضمن عمود المراجع في جدول تفاصيل الثغرة على بادئة تحدِّد المؤسسة التي تنتمي إليها قيمة المراجع.

بادئة مَراجع
A-‎ رقم تعريف الخطأ في Android
QC- الرقم المرجعي لشركة Qualcomm
M- الرقم المرجعي لشركة MediaTek
‫N-‎ الرقم المرجعي لشركة NVIDIA
B-‎ الرقم المرجعي لشركة Broadcom
U-‎ الرقم المرجعي لشركة UNISOC

‫5. ما المقصود بعلامة * بجانب رقم تعريف الخطأ في Android في عمود المراجع؟

تظهر علامة * بجانب الرقم التعريفي المرجعي المرتبط بالمشاكل التي لا تكون متاحة للجميع. يتضمّن تحديث هذه المشكلة بشكل عام أحدث برامج تشغيل ثنائية لأجهزة Pixel المتوفّرة من موقع Google Developer الإلكتروني.

‫6. لماذا يتم تقسيم الثغرات الأمنية بين هذه النشرة و نشرات أمان الأجهزة أو الشركاء، مثل نشرة Pixel؟

يجب الإفصاح عن مستوى رمز تصحيح الأمان الأحدث على أجهزة Android للثغرات الأمنية الموثَّقة في نشرة الأمان هذه. لا يلزم تحديد مستوى تصحيح الأمان عند الإبلاغ عن ثغرات أمان إضافية تم توثيقها في رسائل أمان الأجهزة أو الشركاء. قد ينشر أيضًا مصنعو أجهزة Android وشرائح المعالجة تفاصيل عن ثغرات الأمان الخاصة بمنتجاتهم، مثل Google أو Huawei أو LGE أو Motorola أو Nokia أو Samsung.

الإصدارات

الإصدار التاريخ الملاحظات
1 1 تشرين الثاني (نوفمبر) 2021 نشرة تم إصدارها
1.1 2 تشرين الثاني (نوفمبر) 2021 تم تعديل النشرة لتضمين روابط AOSP
1.2 3 كانون الأول (ديسمبر) 2021 جدول CVE المعدَّل