Android सुरक्षा बुलेटिन—जनवरी 2024

3 जनवरी 2024 को प्रकाशित | 16 जनवरी, 2024 को अपडेट किया गया

एंड्रॉइड सुरक्षा बुलेटिन में एंड्रॉइड डिवाइसों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण शामिल है। 2024-01-05 या उसके बाद के सुरक्षा पैच स्तर इन सभी मुद्दों का समाधान करते हैं। किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपने Android संस्करण की जांच करें और अपडेट करें देखें।

एंड्रॉइड भागीदारों को प्रकाशन से कम से कम एक महीने पहले सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए सोर्स कोड पैच अगले 48 घंटों में एंड्रॉइड ओपन सोर्स प्रोजेक्ट (एओएसपी) रिपॉजिटरी में जारी किए जाएंगे। जब AOSP लिंक उपलब्ध होंगे तो हम इस बुलेटिन को AOSP लिंक के साथ संशोधित करेंगे।

इनमें से सबसे गंभीर समस्या फ़्रेमवर्क घटक में एक उच्च सुरक्षा भेद्यता है जो बिना किसी अतिरिक्त निष्पादन विशेषाधिकार की आवश्यकता के विशेषाधिकार के स्थानीय स्तर पर वृद्धि का कारण बन सकती है। गंभीरता का मूल्यांकन उस प्रभाव पर आधारित है जो भेद्यता का शोषण संभवतः प्रभावित डिवाइस पर होगा, यह मानते हुए कि प्लेटफ़ॉर्म और सेवा शमन को विकास उद्देश्यों के लिए बंद कर दिया गया है या यदि सफलतापूर्वक बायपास किया गया है।

एंड्रॉइड सुरक्षा प्लेटफ़ॉर्म सुरक्षा और Google Play प्रोटेक्ट पर विवरण के लिए एंड्रॉइड और Google Play प्रोटेक्ट शमन अनुभाग देखें, जो एंड्रॉइड प्लेटफ़ॉर्म की सुरक्षा में सुधार करते हैं।

Android और Google सेवा शमन

यह एंड्रॉइड सुरक्षा प्लेटफ़ॉर्म और Google Play प्रोटेक्ट जैसी सेवा सुरक्षा द्वारा प्रदान किए गए शमन का सारांश है। ये क्षमताएं इस संभावना को कम कर देती हैं कि एंड्रॉइड पर सुरक्षा कमजोरियों का सफलतापूर्वक फायदा उठाया जा सकता है।

  • एंड्रॉइड प्लेटफ़ॉर्म के नए संस्करणों में संवर्द्धन द्वारा एंड्रॉइड पर कई मुद्दों का शोषण और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, एंड्रॉइड के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
  • एंड्रॉइड सुरक्षा टीम सक्रिय रूप से Google Play प्रोटेक्ट के माध्यम से दुरुपयोग की निगरानी करती है और उपयोगकर्ताओं को संभावित रूप से हानिकारक एप्लिकेशन के बारे में चेतावनी देती है। Google Play प्रोटेक्ट Google मोबाइल सेवाओं वाले उपकरणों पर डिफ़ॉल्ट रूप से सक्षम है, और यह उन उपयोगकर्ताओं के लिए विशेष रूप से महत्वपूर्ण है जो Google Play के बाहर से ऐप्स इंस्टॉल करते हैं।

2024-01-01 सुरक्षा पैच स्तर भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2024-01-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा कमजोरियों का विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत समूहीकृत किया जाता है। मुद्दों का वर्णन नीचे दी गई तालिकाओं में किया गया है और इसमें सीवीई आईडी, संबंधित संदर्भ, भेद्यता का प्रकार , गंभीरता और अद्यतन एओएसपी संस्करण (जहां लागू हो) शामिल हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को लिंक करते हैं जिसने समस्या को बग आईडी से संबोधित किया है, जैसे एओएसपी परिवर्तन सूची। जब एकाधिक परिवर्तन एक ही बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद वाले नंबरों से जुड़े होते हैं। एंड्रॉइड 10 और उसके बाद वाले डिवाइसों को सुरक्षा अपडेट के साथ-साथ Google Play सिस्टम अपडेट भी प्राप्त हो सकते हैं।

रूपरेखा

इस अनुभाग में सबसे गंभीर भेद्यता के कारण विशेषाधिकार में स्थानीय वृद्धि हो सकती है और किसी अतिरिक्त निष्पादन विशेषाधिकार की आवश्यकता नहीं है।

सीवीई संदर्भ प्रकार तीव्रता अद्यतन AOSP संस्करण
सीवीई-2023-21245 ए-222446076 [ 2 ] ईओपी उच्च 11, 12, 12एल, 13, 14
सीवीई-2024-0015 ए-300090204 ईओपी उच्च 11, 12, 12एल, 13
सीवीई-2024-0018 ए-300476626 ईओपी उच्च 11, 12, 12एल, 13, 14
सीवीई-2024-0023 ए-283099444 [ 2 ] ईओपी उच्च 11, 12, 12एल, 13, 14
सीवीई-2024-0019 ए-294104969 पहचान उच्च 12, 12एल, 13, 14

प्रणाली

इस अनुभाग में सबसे गंभीर भेद्यता के कारण विशेषाधिकार में स्थानीय वृद्धि हो सकती है और किसी अतिरिक्त निष्पादन विशेषाधिकार की आवश्यकता नहीं है।

सीवीई संदर्भ प्रकार तीव्रता अद्यतन AOSP संस्करण
सीवीई-2024-0021 ए-282934003 ईओपी उच्च 13, 14
सीवीई-2023-40085 ए-269271098 पहचान उच्च 12, 12एल, 13
सीवीई-2024-0016 ए-279169188 [ 2 ] पहचान उच्च 11, 12, 12एल, 13, 14
सीवीई-2024-0017 ए-285142084 पहचान उच्च 11, 12, 12एल, 13, 14
सीवीई-2024-0020 ए-299614635 पहचान उच्च 11, 12, 12एल, 13, 14

Google Play सिस्टम अपडेट

प्रोजेक्ट मेनलाइन घटकों में निम्नलिखित मुद्दे शामिल हैं।

उप-घटक सीवीई
मीडिया कोडेक्स सीवीई-2024-0018

2024-01-05 सुरक्षा पैच स्तर भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2024-01-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा कमजोरियों का विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत समूहीकृत किया जाता है। मुद्दों का वर्णन नीचे दी गई तालिकाओं में किया गया है और इसमें सीवीई आईडी, संबंधित संदर्भ, भेद्यता का प्रकार , गंभीरता और अद्यतन एओएसपी संस्करण (जहां लागू हो) शामिल हैं। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को लिंक करते हैं जिसने समस्या को बग आईडी से संबोधित किया है, जैसे एओएसपी परिवर्तन सूची। जब एकाधिक परिवर्तन एक ही बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद वाले नंबरों से जुड़े होते हैं।

बांह के घटक

ये कमजोरियाँ आर्म घटकों को प्रभावित करती हैं और अधिक विवरण सीधे आर्म से उपलब्ध हैं। इन मुद्दों की गंभीरता का आकलन सीधे एआरएम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता उप-घटक
सीवीई-2023-4295
 ए-275619408 * उच्च माली
सीवीई-2023-5427
 ए-308188337 * उच्च माली

कल्पना प्रौद्योगिकी

यह भेद्यता इमेजिनेशन टेक्नोलॉजीज घटकों को प्रभावित करती है और अधिक विवरण सीधे इमेजिनेशन टेक्नोलॉजीज से उपलब्ध हैं। इस मुद्दे की गंभीरता का आकलन सीधे इमेजिनेशन टेक्नोलॉजीज द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता उप-घटक
सीवीई-2023-21165
 ए-292001469 * उच्च पॉवरवीआर-जीपीयू

मीडियाटेक घटक

ये कमजोरियाँ मीडियाटेक घटकों को प्रभावित करती हैं और अधिक विवरण सीधे मीडियाटेक से उपलब्ध हैं। इन मुद्दों की गंभीरता का आकलन सीधे मीडियाटेक द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता उप-घटक
सीवीई-2023-32874
 ए-309364195
एम-MOLY01161803 *		 उच्च मॉडेम आईएमएस स्टैक
सीवीई-2023-32872
 ए-309367791
एम-एएलपीएस08308607 *		 उच्च कुंजी स्थापित करें

यूनिसोक घटक

ये कमजोरियाँ Unisoc घटकों को प्रभावित करती हैं और अधिक विवरण सीधे Unisoc से उपलब्ध हैं। इन मुद्दों की गंभीरता का आकलन सीधे यूनिसोक द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता उप-घटक
सीवीई-2023-48340
 ए-311290655
यू-2228010 *		 उच्च एंड्रॉयड
सीवीई-2023-48341
 ए-311288752
यू-2227052 *		 उच्च एंड्रॉयड
सीवीई-2023-48342
 ए-311288747
यू-2227689 *		 उच्च एंड्रॉयड
सीवीई-2023-48343
 ए-311290653
यू-2227689 *		 उच्च एंड्रॉयड
सीवीई-2023-48344
 ए-311282174
यू-2266624 *		 उच्च एंड्रॉयड
सीवीई-2023-48348
 ए-311279656
यू-2227052 *		 उच्च एंड्रॉयड
सीवीई-2023-48349
 ए-311279652
यू-2219058 *		 उच्च एंड्रॉयड
सीवीई-2023-48350
 ए-311279655
यू-2219062 *		 उच्च एंड्रॉयड
सीवीई-2023-48351
 ए-311273934
यू-2219064 *		 उच्च एंड्रॉयड
सीवीई-2023-48352
 ए-311273933
यू-2153501 *		 उच्च एंड्रॉयड

क्वालकॉम घटक

ये कमजोरियाँ क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में आगे विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता उप-घटक
सीवीई-2023-33094
 ए-295908146
क्यूसी-सीआर#3490029 [ 2 ]		 उच्च प्रदर्शन
सीवीई-2023-33108
 ए-294872878
क्यूसी-सीआर#3594896		 उच्च प्रदर्शन
सीवीई-2023-33110
 ए-303101147
क्यूसी-सीआर#3459076 [ 2 ]		 उच्च ऑडियो
सीवीई-2023-33113
 ए-303101624
क्यूसी-सीआर#3495200 [ 2 ]		 उच्च गुठली
सीवीई-2023-33114
 ए-303101495
क्यूसी-सीआर#3520999 [ 2 ]		 उच्च गुठली
सीवीई-2023-33117
 ए-303101067
क्यूसी-सीआर#3531543		 उच्च ऑडियो
सीवीई-2023-33120
 ए-303101456
क्यूसी-सीआर#3538938 [ 2 ] [ 3 ]		 उच्च ऑडियो
सीवीई-2023-43514
 ए-303101664
क्यूसी-सीआर#3613254		 उच्च गुठली

क्वालकॉम बंद-स्रोत घटक

ये कमजोरियाँ क्वालकॉम बंद-स्रोत घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में आगे विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता उप-घटक
सीवीई-2023-21651
 ए-268059825 * गंभीर बंद-स्रोत घटक
सीवीई-2023-33025
 ए-290061199 * गंभीर बंद-स्रोत घटक
सीवीई-2023-33036
 ए-290061245 * गंभीर बंद-स्रोत घटक
सीवीई-2022-33275
 ए-280342403 * उच्च बंद-स्रोत घटक
सीवीई-2023-28544
 ए-280342360 * उच्च बंद-स्रोत घटक
सीवीई-2023-28548
 ए-280342264 * उच्च बंद-स्रोत घटक
सीवीई-2023-28557
 ए-280342461 * उच्च बंद-स्रोत घटक
सीवीई-2023-28558
 ए-280342364 * उच्च बंद-स्रोत घटक
सीवीई-2023-28559
 ए-280342379 * उच्च बंद-स्रोत घटक
सीवीई-2023-28560
 ए-280342458 * उच्च बंद-स्रोत घटक
सीवीई-2023-28564
 ए-280342073 * उच्च बंद-स्रोत घटक
सीवीई-2023-28565
 ए-280341573 * उच्च बंद-स्रोत घटक
सीवीई-2023-28567
 ए-280341537 * उच्च बंद-स्रोत घटक
सीवीई-2023-33014
 ए-290060890 * उच्च बंद-स्रोत घटक
सीवीई-2023-33030
 ए-290061201 * उच्च बंद-स्रोत घटक
सीवीई-2023-33032
 ए-290061658 * उच्च बंद-स्रोत घटक
सीवीई-2023-33033
 ए-290060591 * उच्च बंद-स्रोत घटक
सीवीई-2023-33037
 ए-290061062 * उच्च बंद-स्रोत घटक
सीवीई-2023-33040
 ए-290061061 * उच्च बंद-स्रोत घटक
सीवीई-2023-33043
 ए-295039021 * उच्च बंद-स्रोत घटक
सीवीई-2023-33044
 ए-295039321 * उच्च बंद-स्रोत घटक
सीवीई-2023-33062
 ए-303101463 * उच्च बंद-स्रोत घटक
सीवीई-2023-33109
 ए-303102144 * उच्च बंद-स्रोत घटक
सीवीई-2023-33112
 ए-303101016 * उच्च बंद-स्रोत घटक
सीवीई-2023-43511
 ए-303101323 * उच्च बंद-स्रोत घटक

सामान्य प्रश्न और उत्तर

यह अनुभाग उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि मेरा डिवाइस इन समस्याओं के समाधान के लिए अपडेट किया गया है या नहीं?

किसी डिवाइस के सुरक्षा पैच स्तर की जांच करने का तरीका जानने के लिए, अपने Android संस्करण की जांच करें और अपडेट करें देखें।

  • 2024-01-01 या बाद के सुरक्षा पैच स्तर 2024-01-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों का समाधान करते हैं।
  • 2024-01-05 या बाद के सुरक्षा पैच स्तर 2024-01-05 सुरक्षा पैच स्तर और सभी पिछले पैच स्तरों से जुड़े सभी मुद्दों का समाधान करते हैं।

जिन डिवाइस निर्माताओं में ये अपडेट शामिल हैं, उन्हें पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[2024-01-01]
  • [ro.build.version.security_patch]:[2024-01-05]

एंड्रॉइड 10 या उसके बाद के कुछ उपकरणों के लिए, Google Play सिस्टम अपडेट में एक दिनांक स्ट्रिंग होगी जो 2024-01-01 सुरक्षा पैच स्तर से मेल खाती है। सुरक्षा अद्यतन स्थापित करने के तरीके के बारे में अधिक जानकारी के लिए कृपया यह आलेख देखें।

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि एंड्रॉइड भागीदारों के पास सभी एंड्रॉइड डिवाइसों में समान कमजोरियों के एक उपसमूह को अधिक तेज़ी से ठीक करने की सुविधा हो। एंड्रॉइड भागीदारों को इस बुलेटिन में सभी मुद्दों को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

  • जो डिवाइस 2024-01-01 सुरक्षा पैच स्तर का उपयोग करते हैं, उनमें उस सुरक्षा पैच स्तर से जुड़े सभी मुद्दों के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट किए गए सभी मुद्दों के समाधान भी शामिल होने चाहिए।
  • जो डिवाइस 2024-01-05 या नए सुरक्षा पैच स्तर का उपयोग करते हैं, उन्हें इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल करने होंगे।

साझेदारों को उन सभी समस्याओं के समाधान को एक ही अपडेट में बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे संबोधित कर रहे हैं।

3. प्रकार कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के प्रकार कॉलम में प्रविष्टियाँ सुरक्षा भेद्यता के वर्गीकरण का संदर्भ देती हैं।

संक्षेपाक्षर परिभाषा
आरसीई रिमोट कोड निष्पादन
ईओपी विशेषाधिकार का उन्नयन
पहचान जानकारी प्रकटीकरण
करने योग्य सेवा की मनाई
एन/ए वर्गीकरण उपलब्ध नहीं है

4. संदर्भ कॉलम में प्रविष्टियों का क्या अर्थ है?

भेद्यता विवरण तालिका के संदर्भ कॉलम के अंतर्गत प्रविष्टियों में उस संगठन की पहचान करने वाला एक उपसर्ग हो सकता है जिससे संदर्भ मान संबंधित है।

उपसर्ग संदर्भ
ए- एंड्रॉइड बग आईडी
QC- क्वालकॉम संदर्भ संख्या
एम- मीडियाटेक संदर्भ संख्या
एन- NVIDIA संदर्भ संख्या
बी- ब्रॉडकॉम संदर्भ संख्या
यू के आकार UNISOC संदर्भ संख्या

5. संदर्भ कॉलम में एंड्रॉइड बग आईडी के आगे * का क्या मतलब है?

जो मुद्दे सार्वजनिक रूप से उपलब्ध नहीं हैं, उनके संबंधित संदर्भ आईडी के आगे * है। उस समस्या का अद्यतन आम तौर पर Google डेवलपर साइट पर उपलब्ध पिक्सेल उपकरणों के लिए नवीनतम बाइनरी ड्राइवरों में शामिल होता है।

6. सुरक्षा कमजोरियाँ इस बुलेटिन और डिवाइस/साझेदार सुरक्षा बुलेटिन, जैसे कि पिक्सेल बुलेटिन, के बीच विभाजित क्यों हैं?

इस सुरक्षा बुलेटिन में दर्ज की गई सुरक्षा कमजोरियाँ एंड्रॉइड डिवाइस पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। डिवाइस/साझेदार सुरक्षा बुलेटिन में दर्ज अतिरिक्त सुरक्षा कमजोरियाँ सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक नहीं हैं। एंड्रॉइड डिवाइस और चिपसेट निर्माता Google , Huawei , LGE , Motorola , Nokia , या Samsung जैसे अपने उत्पादों के लिए विशिष्ट सुरक्षा भेद्यता विवरण भी प्रकाशित कर सकते हैं।

संस्करणों

संस्करण तारीख टिप्पणियाँ
1.0 3 जनवरी 2024 बुलेटिन प्रकाशित.
1.1 16 जनवरी 2024 एओएसपी लिंक को शामिल करने के लिए बुलेटिन को संशोधित किया गया।