Android Automotive OS (AAOS) के अपडेट बुलेटिन में, Android Automotive OS प्लैटफ़ॉर्म पर असर डालने वाली सुरक्षा से जुड़ी कमजोरियों की जानकारी होती है. AAOS के पूरे अपडेट में, जनवरी 2023 के Android सुरक्षा बुलेटिन में बताई गई सभी समस्याओं के साथ-साथ, 05-01-2023 या उसके बाद का सिक्योरिटी पैच लेवल शामिल होता है.
हमारा सुझाव है कि सभी ग्राहक अपने डिवाइसों पर ये अपडेट स्वीकार करें.
इनमें से सबसे गंभीर समस्या, प्लैटफ़ॉर्म ऐप्लिकेशन कॉम्पोनेंट में सुरक्षा से जुड़ी गंभीर समस्या है. इसकी वजह से, स्थानीय स्तर पर प्रिविलेज एस्कलेशन हो सकता है. इसके लिए, किसी अतिरिक्त प्रिविलेज की ज़रूरत नहीं होती. गंभीर समस्या का आकलन, इस बात पर आधारित होता है कि किसी डिवाइस पर, कमज़ोरी का फ़ायदा उठाने से क्या असर पड़ सकता है. यह आकलन इस आधार पर किया जाता है कि डेवलपमेंट के मकसद से, प्लैटफ़ॉर्म और सेवा को कमज़ोरी से बचाने वाली सुविधाएं बंद हैं या नहीं या उन्हें बाईपास कर दिया गया है.
सूचनाएं
- जनवरी 2023 के Android Security Bulletin में बताई गई सुरक्षा से जुड़ी समस्याओं के अलावा, जनवरी 2023 के Android Automotive OS Update Bulletin में भी AAOS से जुड़ी समस्याओं के लिए पैच शामिल हैं. इनके बारे में यहां बताया गया है.
01-01-2023 सुरक्षा पैच के लेवल पर मौजूद जोखिम की जानकारी
यहां दिए गए सेक्शन में, हम सुरक्षा से जुड़ी उन सभी कमजोरियों के बारे में जानकारी देते हैं जो 01-01-2023 के पैच लेवल पर लागू होती हैं. जोखिम, उस कॉम्पोनेंट के हिसाब से ग्रुप में बांट दिए जाते हैं जिस पर उनका असर पड़ता है. समस्याओं के बारे में यहां दी गई टेबल में बताया गया है. इनमें सीवीई आईडी, इससे जुड़े रेफ़रंस, जोखिम की संभावना का टाइप, गंभीरता, और अपडेट किए गए AOSP वर्शन (जहां लागू हो) शामिल हैं. अगर उपलब्ध हो, तो हम समस्या को हल करने वाले सार्वजनिक बदलाव को बग आईडी से लिंक करते हैं. जैसे, AOSP में किए गए बदलावों की सूची. जब एक ही गड़बड़ी से जुड़े कई बदलाव होते हैं, तो गड़बड़ी के आईडी के बाद के नंबरों से अतिरिक्त रेफ़रंस लिंक किए जाते हैं. Android 10 और उसके बाद के वर्शन वाले डिवाइसों को सुरक्षा अपडेट के साथ-साथ, Google Play के सिस्टम अपडेट भी मिल सकते हैं.
मीडिया फ़्रेमवर्क
इस सेक्शन में मौजूद जोखिम की वजह से, स्थानीय जानकारी को ज़ाहिर किया जा सकता है. इसके लिए, अतिरिक्त अनुमतियों की ज़रूरत नहीं होती.
| CVE | रेफ़रंस | टाइप | गंभीरता | AOSP के अपडेट किए गए वर्शन |
|---|---|---|---|---|
| CVE-2022-20353 | A-221041256 | आईडी | ज़्यादा | 10, 11 |
प्लैटफ़ॉर्म ऐप्लिकेशन
इस सेक्शन में मौजूद सबसे गंभीर जोखिम की वजह से, स्थानीय स्तर पर ऐक्सेस लेवल बढ़ सकता है. इसके लिए, ऐक्सेस करने की अतिरिक्त अनुमतियों की ज़रूरत नहीं होती.
| CVE | रेफ़रंस | टाइप | गंभीरता | AOSP के अपडेट किए गए वर्शन |
|---|---|---|---|---|
| CVE-2021-39738 | A-216190509 | EoP | ज़्यादा | 10, 11, 12, 12L |
| CVE-2022-20425 | A-255830464 | डीओएस | ज़्यादा | 10, 11 |
जोखिम के बारे में ज़्यादा जानकारी
यहां दिए गए सेक्शन में, सुरक्षा से जुड़ी उन कमजोरियों के बारे में जानकारी दी गई है जिन्हें ज़ाहिर करने के लिए उपलब्ध कराया जा रहा है. एसपीएल का पालन करने के लिए, इन समस्याओं को ठीक करना ज़रूरी नहीं है.
प्लैटफ़ॉर्म ऐप्लिकेशन
| CVE | रेफ़रंस | टाइप | गंभीरता | AOSP के अपडेट किए गए वर्शन |
|---|---|---|---|---|
| CVE-2022-20213 | A-183410508 | डीओएस | काफ़ी हद तक ठीक है | 10, 11, 12 |
| CVE-2022-20215 | A-183794206 | डीओएस | काफ़ी हद तक ठीक है | 10, 11, 12 |
| CVE-2022-20214 | A-183411210 | EoP | कम | 10, 11, 12 |
सिस्टम यूज़र इंटरफ़ेस (यूआई)
| CVE | रेफ़रंस | टाइप | गंभीरता | AOSP के अपडेट किए गए वर्शन |
|---|---|---|---|---|
| CVE-2022-20458 | A-205567776 | EoP | काफ़ी हद तक ठीक है | 12L |
Kernel कॉम्पोनेंट
| CVE | रेफ़रंस | टाइप | गंभीरता | सब-कॉम्पोनेंट |
|---|---|---|---|---|
| CVE-2022-28389 |
A-228694270
अपस्ट्रीम कर्नेल |
EoP | काफ़ी हद तक ठीक है | यूएसबी CAN बस ड्राइवर |
आम तौर पर पूछे जाने वाले सवाल और उनके जवाब
इस सेक्शन में, इस सूचना को पढ़ने के बाद पूछे जाने वाले आम सवालों के जवाब दिए गए हैं.
1. मुझे कैसे पता चलेगा कि मेरे डिवाइस को इन समस्याओं को ठीक करने के लिए अपडेट किया गया है या नहीं?
किसी डिवाइस के सुरक्षा पैच लेवल की जांच करने का तरीका जानने के लिए, Google डिवाइस अपडेट शेड्यूल पर दिए गए निर्देश पढ़ें.
- 01-01-2023 या उसके बाद के सुरक्षा पैच लेवल, 01-01-2023 के सुरक्षा पैच लेवल से जुड़ी सभी समस्याओं को ठीक करते हैं.
जिन डिवाइस मैन्युफ़ैक्चरर ने ये अपडेट शामिल किए हैं उन्हें पैच स्ट्रिंग के लेवल को इन पर सेट करना चाहिए:
- [ro.build.version.security_patch]:[2023-01-01]
Android 10 या उसके बाद के वर्शन वाले कुछ डिवाइसों के लिए, Google Play के सिस्टम अपडेट में तारीख की एक स्ट्रिंग होगी. यह स्ट्रिंग, 01-01-2023 के सुरक्षा पैच लेवल से मेल खाएगी. सुरक्षा से जुड़े अपडेट इंस्टॉल करने के तरीके के बारे में ज़्यादा जानने के लिए, कृपया यह लेख पढ़ें.
2. टाइप कॉलम में मौजूद एंट्री का क्या मतलब है?
जोखिम की जानकारी वाली टेबल के टाइप कॉलम में मौजूद एंट्री, सुरक्षा से जुड़े जोखिम की कैटगरी के बारे में बताती हैं.
| संक्षेपण | परिभाषा |
|---|---|
| आरसीई | रिमोट कोड को चलाना |
| EoP | प्रिविलेज एस्कलेशन |
| आईडी | जानकारी ज़ाहिर करना |
| डीओएस | सेवा में रुकावट |
| लागू नहीं | क्लासिफ़िकेशन उपलब्ध नहीं है |
3. रेफ़रंस कॉलम में मौजूद एंट्री का क्या मतलब है?
जोखिम की जानकारी वाली टेबल के रेफ़रंस कॉलम में मौजूद एंट्री में, उस संगठन की पहचान करने वाला प्रीफ़िक्स शामिल हो सकता है जिससे रेफ़रंस वैल्यू जुड़ी है.
| प्रीफ़िक्स | रेफ़रंस |
|---|---|
| A- | Android गड़बड़ी का आईडी |
| QC- | Qualcomm का रेफ़रंस नंबर |
| M- | MediaTek का रेफ़रंस नंबर |
| N- | NVIDIA का रेफ़रंस नंबर |
| B- | Broadcom का रेफ़रंस नंबर |
| U- | UNISOC का रेफ़रंस नंबर |
4. रेफ़रंस कॉलम में, Android बग आईडी के बगल में मौजूद * का क्या मतलब है?
सार्वजनिक तौर पर उपलब्ध नहीं होने वाली समस्याओं के रेफ़रंस आईडी के बगल में * का निशान होता है. आम तौर पर, उस समस्या का अपडेट, Pixel डिवाइसों के लिए उपलब्ध सबसे नए बाइनरी ड्राइवर में होता है. ये ड्राइवर, Google डेवलपर साइट से डाउनलोड किए जा सकते हैं.
5. सुरक्षा से जुड़ी जोखिम की आशंकाओं को इस बुलेटिन और डिवाइस / पार्टनर के सुरक्षा बुलेटिन, जैसे कि Pixel के बुलेटिन के बीच क्यों बांटा जाता है?
इस सुरक्षा बुलेटिन में दी गई सुरक्षा से जुड़ी जोखिमियों के आधार पर, Android डिवाइसों पर सबसे नए सिक्योरिटी पैच लेवल का एलान किया जाता है. सुरक्षा से जुड़ी अतिरिक्त जोखिमों को, डिवाइस या पार्टनर के सुरक्षा बुलेटिन में दर्ज किया जाता है. हालांकि, सुरक्षा पैच लेवल का एलान करने के लिए, इन जोखिमों की जानकारी देना ज़रूरी नहीं है. Android डिवाइस और चिपसेट बनाने वाली कंपनियां, अपने प्रॉडक्ट से जुड़ी सुरक्षा से जुड़ी कमजोरियों की जानकारी भी पब्लिश कर सकती हैं. जैसे, Google, Huawei, LGE, Motorola, Nokia या Samsung.
6. इस सूचना में, सुरक्षा पैच के दो लेवल क्यों हैं?
इस सूचना में दो सिक्योरिटी पैच लेवल हैं, ताकि Android पार्टनर, सभी Android डिवाइसों पर मौजूद मिलती-जुलती कमजोरियों के सबसेट को तेज़ी से ठीक कर सकें. Android पार्टनर को इस सूचना में बताई गई सभी समस्याओं को ठीक करने और सुरक्षा पैच के नए लेवल का इस्तेमाल करने का सुझाव दिया जाता है.
- जिन डिवाइसों में 01-01-2023 के सिक्योरिटी पैच लेवल का इस्तेमाल किया जाता है उनमें, उस सिक्योरिटी पैच लेवल से जुड़ी सभी समस्याएं शामिल होनी चाहिए. साथ ही, उनमें उन सभी समस्याओं के लिए ठीक किए गए वर्शन भी शामिल होने चाहिए जिनकी शिकायत, पिछले सिक्योरिटी बुलेटिन में की गई थी.
हमारा सुझाव है कि पार्टनर, एक ही अपडेट में उन सभी समस्याओं को ठीक करने के लिए सुधारों को बंडल करें जिन्हें वे ठीक कर रहे हैं.
वर्शन
| वर्शन | तारीख | नोट |
|---|---|---|
| 1.0 | 3 जनवरी, 2022 | बुलेटिन पब्लिश किया गया |