Android सुरक्षा बुलेटिन—जुलाई 2021

7 जुलाई, 2021 को प्रकाशित | 21 जुलाई 2021 को अपडेट किया गया

Android सुरक्षा बुलेटिन में Android उपकरणों को प्रभावित करने वाली सुरक्षा कमजोरियों का विवरण होता है। 2021-07-05 या बाद के सुरक्षा पैच स्तर इन सभी मुद्दों को संबोधित करते हैं। कैसे एक डिवाइस की सुरक्षा पैच के स्तर की जाँच, देखने के लिए जानने के लिए चेक करें और अपने Android संस्करण को अद्यतन

प्रकाशन से कम से कम एक महीने पहले Android भागीदारों को सभी मुद्दों के बारे में सूचित किया जाता है। इन मुद्दों के लिए स्रोत कोड पैच अगले 48 घंटों में Android ओपन सोर्स प्रोजेक्ट (AOSP) रिपॉजिटरी में जारी कर दिए जाएंगे। हम इस बुलेटिन को AOSP लिंक के साथ उपलब्ध होने पर संशोधित करेंगे।

इन मुद्दों में सबसे गंभीर सिस्टम घटक में एक उच्च सुरक्षा भेद्यता है जो एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकता है। गंभीरता आकलन प्रभाव है कि असुरक्षा का शोषण संभवतः, एक प्रभावित डिवाइस पर होता है यह सोचते हैं प्लेटफ़ॉर्म और सेवा mitigations विकास प्रयोजनों के लिए बंद कर दिया जाता है या यदि सफलतापूर्वक नजरअंदाज पर आधारित है।

का संदर्भ लें Android और Google Play सुरक्षित mitigations जानकारी के लिए खंड पर Android सुरक्षा मंच सुरक्षा और Google Play सुरक्षित है, जो Android मंच की सुरक्षा में सुधार।

Android और Google सेवा में कमी

यह द्वारा प्रदान की mitigations का सार है Android सुरक्षा मंच जैसे और सेवा सुरक्षा गूगल प्ले सुरक्षित । ये क्षमताएं इस संभावना को कम करती हैं कि Android पर सुरक्षा कमजोरियों का सफलतापूर्वक शोषण किया जा सकता है।

  • एंड्रॉइड प्लेटफॉर्म के नए संस्करणों में एन्हांसमेंट द्वारा एंड्रॉइड पर कई मुद्दों के लिए शोषण को और अधिक कठिन बना दिया गया है। हम सभी उपयोगकर्ताओं को जहां संभव हो, Android के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित करते हैं।
  • एंड्रॉयड सुरक्षा टीम सक्रिय रूप से के माध्यम से दुरुपयोग के लिए पर नज़र रखता है गूगल सुरक्षित खेलते हैं और के बारे में उपयोगकर्ताओं को चेतावनी दी है संभावित हानिकारक एप्लिकेशन । Google Play सुरक्षित के साथ उपकरणों पर डिफ़ॉल्ट रूप से सक्षम Google मोबाइल सेवाओं , और उपयोगकर्ताओं को, जो Google Play के बाहर से एप्लिकेशन इंस्टॉल के लिए विशेष रूप से महत्वपूर्ण है।

2021-07-01 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2021-07-01 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। मुद्दे नीचे की तालिका में वर्णित है और CVE आईडी, जुड़े संदर्भ, शामिल कर रहे हैं जोखिम के प्रकार , गंभीरता , और अद्यतन AOSP संस्करणों (जहां लागू हो)। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं। एंड्रॉयड 10 और बाद के साथ उपकरण सुरक्षा अद्यतन के साथ ही प्राप्त हो सकता है गूगल प्ले सिस्टम अद्यतन

ढांचा

इस खंड में सबसे गंभीर भेद्यता स्थानीय दुर्भावनापूर्ण एप्लिकेशन को अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए उपयोगकर्ता इंटरैक्शन आवश्यकताओं को बायपास करने में सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0441 ए-174495520 [ 2 ] ईओपी उच्च 1 1
सीवीई-2021-0486 ए-171430330 [ 2 ] ईओपी उच्च 10, 11

मीडिया फ्रेमवर्क

इस खंड में सबसे गंभीर भेद्यता एक स्थानीय दुर्भावनापूर्ण एप्लिकेशन को विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने में सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0587 ए-१८५२५९७५८ ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0601 ए-१८०६४३८०२ ईद उच्च 8.1, 9, 10, 11

प्रणाली

इस खंड में सबसे गंभीर भेद्यता स्थानीय दुर्भावनापूर्ण एप्लिकेशन को अतिरिक्त अनुमतियों तक पहुंच प्राप्त करने के लिए उपयोगकर्ता इंटरैक्शन आवश्यकताओं को बायपास करने में सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2020-0417 ए-154319182 ईओपी उच्च 8.1, 9, 10
सीवीई-2021-0585 ए-184963385 ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0586 ए-182584940 ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0589 ए-१८०९३९९८२ ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0594 ए-176445224 ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0600 ए-179042963 ईओपी उच्च 8.1, 9, 10, 11
सीवीई-2021-0602 ए-177573895 ईओपी उच्च 10, 11
सीवीई-2021-0588 ए-177238342 ईद उच्च 8.1, 9
सीवीई-2021-0590 ए-175213041 [ 2 ] ईद उच्च 8.1, 9, 10, 11
सीवीई-2021-0596 ए-181346550 ईद उच्च 8.1, 9, 10, 11
सीवीई-2021-0597 ए-1764 96502 ईद उच्च 8.1, 9, 10, 11
सीवीई-2021-0599 ए-175614289 ईद उच्च 8.1, 9, 10, 11
सीवीई-2021-0604 ए-179910660 ईद उच्च 8.1, 9, 10, 11

Google Play सिस्टम अपडेट

निम्नलिखित मुद्दों को प्रोजेक्ट मेनलाइन घटकों में शामिल किया गया है।

अंग सीवीई
मीडिया प्रदाता सीवीई-2021-0441
मीडिया कोडेक सीवीई-2021-0601
प्रसार का ढेर सीवीई-2021-0590

2021-07-05 सुरक्षा पैच स्तर की भेद्यता विवरण

नीचे दिए गए अनुभागों में, हम 2021-07-05 पैच स्तर पर लागू होने वाली प्रत्येक सुरक्षा भेद्यता के लिए विवरण प्रदान करते हैं। कमजोरियों को उनके द्वारा प्रभावित घटक के अंतर्गत वर्गीकृत किया जाता है। मुद्दे नीचे की तालिका में वर्णित है और CVE आईडी, जुड़े संदर्भ, शामिल कर रहे हैं जोखिम के प्रकार , गंभीरता , और अद्यतन AOSP संस्करणों (जहां लागू हो)। उपलब्ध होने पर, हम उस सार्वजनिक परिवर्तन को जोड़ते हैं जिसने समस्या को बग आईडी से संबोधित किया, जैसे AOSP परिवर्तन सूची। जब एक से अधिक परिवर्तन एक बग से संबंधित होते हैं, तो अतिरिक्त संदर्भ बग आईडी के बाद की संख्याओं से जुड़े होते हैं।

ढांचा

इस खंड में भेद्यता एक स्थानीय हमलावर को संवेदनशील डेटा तक पहुंच प्राप्त करने के लिए विशेषाधिकार प्राप्त पहुंच के साथ सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2020-0368 ए-143230980 [ 2 ] ईद उच्च 1 1

प्रणाली

इस खंड में सबसे गंभीर भेद्यता एक विशेष रूप से तैयार की गई फ़ाइल का उपयोग करके एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में मनमाने कोड को निष्पादित करने के लिए एक दूरस्थ हमलावर को सक्षम कर सकती है।

सीवीई संदर्भ प्रकार तीव्रता अपडेट किया गया एओएसपी संस्करण
सीवीई-2021-0514 ए-162604069 [ 2 ] [ 3 ] आरसीई उच्च 8.1, 9, 10, 11
सीवीई-2021-0515 ए-167389063 [ 2 ] [ 3 ] आरसीई उच्च 8.1, 9, 10, 11
सीवीई-2021-0603 ए-182809425 ईओपी उच्च 1 1

मीडियाटेक घटक

यह भेद्यता मीडियाटेक घटकों को प्रभावित करती है और अधिक विवरण सीधे मीडियाटेक से उपलब्ध हैं। इस मुद्दे की गंभीरता का आकलन सीधे मीडियाटेक द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अंग
सीवीई-2021-0577
ए-१८७१६१७७१
एम ALPS05544148 *
उच्च एफएलवी एक्सट्रैक्टर

वाइडवाइन डीआरएम

यह भेद्यता वाइडवाइन डीआरएम घटकों को प्रभावित करती है और अधिक विवरण सीधे वाइडवाइन डीआरएम से उपलब्ध हैं। इस मुद्दे की गंभीरता का आकलन सीधे वाइडवाइन डीआरएम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अंग
सीवीई-2021-0592
ए-188061006 * नाजुक वाइडवाइन

क्वालकॉम घटक

ये भेद्यताएं क्वालकॉम घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा चेतावनी में और अधिक विस्तार से वर्णित हैं। इन मुद्दों की गंभीरता का आकलन सीधे क्वालकॉम द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अंग
सीवीई-2021-1965
ए-184561775
क्यूसी-सीआर#2867353
नाजुक WLAN
सीवीई-2021-1907 ए-१८४५६१५६३
क्यूसी-सीआर#२७६६३६३
उच्च WLAN
सीवीई-2021-1931 ए-179057550
क्यूसी-सीआर#2820093
उच्च बूटलोडर
सीवीई-2021-1940 ए-184561360
क्यूसी-सीआर#2830334
उच्च गुठली
सीवीई-2021-1943 ए-१८४५६१३६१
क्यूसी-सीआर#2836205
उच्च WLAN
सीवीई-2021-1945 ए-184561583
क्यूसी-सीआर#2838849
उच्च WLAN
सीवीई-2021-1954 ए-184561797
क्यूसी-सीआर#2842475
उच्च WLAN
सीवीई-2021-1955 ए-184561582
क्यूसी-सीआर#2810235
क्यूसी-सीआर#२८५७०४९
क्यूसी-सीआर#२८५७०५२
उच्च WLAN
सीवीई-2021-1964 ए-184561362
क्यूसी-सीआर#२८५६२१२
उच्च WLAN
सीवीई-2021-1970 ए-184561587
क्यूसी-सीआर#२८५७०८४
उच्च WLAN

क्वालकॉम बंद-स्रोत घटक

ये कमजोरियां क्वालकॉम के क्लोज्ड-सोर्स घटकों को प्रभावित करती हैं और उपयुक्त क्वालकॉम सुरक्षा बुलेटिन या सुरक्षा अलर्ट में अधिक विस्तार से वर्णित हैं। mइन मुद्दों की गंभीरता का आकलन सीधे Qualcomm द्वारा प्रदान किया जाता है।

सीवीई संदर्भ तीव्रता अंग
सीवीई-2020-11307 ए-175038120 * नाजुक बंद स्रोत घटक
सीवीई-2021-1938 ए-184561642 * उच्च बंद स्रोत घटक
सीवीई-2021-1953 ए-184561249 * उच्च बंद स्रोत घटक

सामान्य प्रश्न और उत्तर

यह खंड उन सामान्य प्रश्नों के उत्तर देता है जो इस बुलेटिन को पढ़ने के बाद उत्पन्न हो सकते हैं।

1. मैं कैसे निर्धारित करूं कि इन समस्याओं को दूर करने के लिए मेरा डिवाइस अपडेट किया गया है या नहीं?

कैसे एक डिवाइस की सुरक्षा पैच के स्तर की जाँच, देखने के लिए जानने के लिए चेक करें और अपने Android संस्करण को अद्यतन

  • 2021-07-01 या बाद के सुरक्षा पैच स्तर 2021-07-01 सुरक्षा पैच स्तर से जुड़े सभी मुद्दों को संबोधित करते हैं।
  • 2021-07-05 या बाद के सुरक्षा पैच स्तर 2021-07-05 सुरक्षा पैच स्तर और पिछले सभी पैच स्तरों से जुड़े सभी मुद्दों को संबोधित करते हैं।

इन अद्यतनों को शामिल करने वाले डिवाइस निर्माताओं को पैच स्ट्रिंग स्तर को इस पर सेट करना चाहिए:

  • [ro.build.version.security_patch]:[२०२१-०७-०१]
  • [ro.build.version.security_patch]:[२०२१-०७-०५]

Android 10 या उसके बाद के कुछ उपकरणों के लिए, Google Play सिस्टम अपडेट में एक दिनांक स्ट्रिंग होगी जो 2021-07-01 सुरक्षा पैच स्तर से मेल खाती है। कृपया देखें यह लेख कैसे सुरक्षा अद्यतन स्थापित करने के लिए पर अधिक जानकारी के लिए।

2. इस बुलेटिन में दो सुरक्षा पैच स्तर क्यों हैं?

इस बुलेटिन में दो सुरक्षा पैच स्तर हैं ताकि Android भागीदारों के पास कमजोरियों के एक सबसेट को ठीक करने की सुविधा हो जो सभी Android उपकरणों में अधिक तेज़ी से समान हो। Android भागीदारों को इस बुलेटिन में सभी समस्याओं को ठीक करने और नवीनतम सुरक्षा पैच स्तर का उपयोग करने के लिए प्रोत्साहित किया जाता है।

  • 2021-07-01 सुरक्षा पैच स्तर का उपयोग करने वाले उपकरणों में उस सुरक्षा पैच स्तर से संबंधित सभी समस्याओं के साथ-साथ पिछले सुरक्षा बुलेटिन में रिपोर्ट की गई सभी समस्याओं के समाधान शामिल होने चाहिए।
  • जो डिवाइस 2021-07-05 या इससे बाद के सुरक्षा पैच स्तर का उपयोग करते हैं, उनमें इस (और पिछले) सुरक्षा बुलेटिन में सभी लागू पैच शामिल होने चाहिए।

भागीदारों को उन सभी समस्याओं के समाधान को बंडल करने के लिए प्रोत्साहित किया जाता है जिन्हें वे एक ही अद्यतन में संबोधित कर रहे हैं।

3. क्या प्रकार स्तंभ मतलब में प्रविष्टियों करते हैं?

असुरक्षा की प्रकार स्तंभ में प्रविष्टियां विवरण तालिका संदर्भ सुरक्षा भेद्यता के वर्गीकरण।

संक्षिप्त परिभाषा
आरसीई रिमोट कोड निष्पादन
ईओपी विशेषाधिकार का उन्नयन
ईद जानकारी प्रकटीकरण
करने योग्य सेवा की मनाई
एन/ए वर्गीकरण उपलब्ध नहीं है

4. संदर्भ स्तंभ मतलब में प्रविष्टियों करते हैं?

भेद्यता विवरण तालिका के संदर्भ स्तंभ के अंतर्गत प्रविष्टियां एक उपसर्ग संगठन है जो करने के लिए संदर्भ मूल्य अंतर्गत आता है की पहचान हो सकती है।

उपसर्ग संदर्भ
ए- एंड्रॉइड बग आईडी
क्यूसी- क्वालकॉम संदर्भ संख्या
म- मीडियाटेक संदर्भ संख्या
एन- NVIDIA संदर्भ संख्या
बी ब्रॉडकॉम संदर्भ संख्या

5. संदर्भ स्तंभ मतलब में एंड्रॉयड बग आईडी के लिए एक * अगले करता है?

जो समस्याएं सार्वजनिक रूप से उपलब्ध नहीं हैं उनमें संबंधित संदर्भ आईडी के आगे एक * होता है। कि इस मुद्दे के लिए अद्यतन आम तौर पर पिक्सेल से उपलब्ध उपकरणों के लिए नवीनतम द्विआधारी ड्राइवरों में निहित है गूगल डेवलपर साइट

6. सुरक्षा कमजोरियों को इस बुलेटिन और डिवाइस/पार्टनर सुरक्षा बुलेटिन, जैसे कि Pixel बुलेटिन के बीच क्यों विभाजित किया गया है?

इस सुरक्षा बुलेटिन में प्रलेखित सुरक्षा भेद्यताएं Android उपकरणों पर नवीनतम सुरक्षा पैच स्तर घोषित करने के लिए आवश्यक हैं। सुरक्षा पैच स्तर घोषित करने के लिए डिवाइस/पार्टनर सुरक्षा बुलेटिन में प्रलेखित अतिरिक्त सुरक्षा भेद्यताएं आवश्यक नहीं हैं। एंड्रॉयड डिवाइस और चिपसेट निर्माता भी इस तरह के रूप में अपने उत्पादों, के लिए सुरक्षा भेद्यता विवरण विशिष्ट प्रकाशित कर सकते हैं गूगल , Huawei , LGE , मोटोरोला , नोकिया , या सैमसंग

संस्करणों

संस्करण तारीख टिप्पणियाँ
1.0 7 जुलाई, 2021 बुलेटिन प्रकाशित
१.१ 9 जुलाई 2021 AOSP लिंक्स को शामिल करने के लिए संशोधित बुलेटिन
1.2 15 जुलाई 2021 संशोधित सीवीई तालिका
1.3 21 जुलाई 2021 संशोधित सीवीई तालिका