Acerca del contenido de seguridad de tvOS 17.6

En este documento se describe el contenido de seguridad de tvOS 17.6.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, comunicará ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.

Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante CVE-ID.

Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.

tvOS 17.6

AppleMobileFileIntegrity

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: una app podría evitar las preferencias de privacidad.

Descripción: se ha solucionado un problema de degradación con restricciones adicionales de firma de código.

CVE-2024-40774: Mickey Jin (@patch1t)

CoreGraphics

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: el procesamiento de un archivo creado con fines malintencionados podría provocar el cierre inesperado de la app.

Descripción: se ha solucionado un problema de lectura fuera de los límites al mejorar la validación de las entradas.

CVE-2024-40799: D4m0n

dyld

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: un atacante malintencionado que tenga funciones arbitrarias de lectura y escritura podría ser capaz de omitir la autenticación de puntero.

Descripción: se ha solucionado una condición de carrera mediante una validación adicional.

CVE-2024-40815: w0wbox

Family Sharing

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: es posible que una app pueda leer información de ubicación confidencial.

Descripción: este problema se ha solucionado con una protección de datos mejorada.

CVE-2024-40795: Csaba Fitzl (@theevilbit) de Kandji

ImageIO

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: procesar una imagen podría provocar una denegación de servicio.

Descripción: se trata de una vulnerabilidad en el código fuente abierto y el Software Apple se encuentra entre los proyectos afectados. El CVE-ID fue asignado por un tercero. Más información sobre el tema y el CVE-ID en cve.org.

CVE-2023-6277

CVE-2023-52356

ImageIO

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: el procesamiento de un archivo creado con fines malintencionados podría provocar el cierre inesperado de la app.

Descripción: se ha solucionado un problema de lectura fuera de los límites al mejorar la validación de las entradas.

CVE-2024-40806: Yisumi

ImageIO

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: el procesamiento de un archivo creado con fines malintencionados podría provocar el cierre inesperado de la app.

Descripción: se ha solucionado un problema de acceso fuera de los límites al mejorar la comprobación de los límites.

CVE-2024-40777: Junsung Lee en colaboración con Trend Micro Zero Day Initiative, Amir Bazine y Karsten König de CrowdStrike Counter Adversary Operations

ImageIO

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: el procesamiento de un archivo creado con fines malintencionados podría provocar el cierre inesperado de la app.

Descripción: se ha solucionado un desbordamiento de enteros mediante la mejora de la validación de las entradas.

CVE-2024-40784: Junsung Lee en colaboración con Trend Micro Zero Day Initiative y Gandalf4a

Kernel

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: un atacante local podría determinar el diseño de memoria de kernel.

Descripción: se ha solucionado un problema de revelación de información mediante mejorando la eliminación de datos privados para las entradas de registro.

CVE-2024-27863: CertiK SkyFall Team

Kernel

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: un atacante local podría provocar un apagado inesperado del sistema.

Descripción: se ha solucionado un problema de confusión de tipo mejorando la gestión de la memoria.

CVE-2024-40788: Minghao Lin y Jiaxun Zhu de Zhejiang University

libxpc

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: una app podría evitar las preferencias de privacidad.

Descripción: se ha solucionado un problema de permisos con restricciones adicionales.

CVE-2024-40805

Sandbox

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: una app podría evitar las preferencias de privacidad.

Descripción: para resolver este problema se ha mejorado la gestión del estado.

CVE-2024-40824: Wojciech Regula de SecuRing (wojciechregula.blog) y Zhongquan Li (@Guluisacat) de Dawn Security Lab JingDong

WebKit

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: el procesamiento de contenido web creado con fines malintencionados puede provocar un fallo inesperado del proceso.

Descripción: se ha solucionado un problema de uso posterior a la liberación mediante la mejora de la gestión de la memoria.

CVE-2024-40776: Huang Xilin de Ant Group Light-Year Security Lab

CVE-2024-40782: Maksymilian Motyl

WebKit

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: el procesamiento de contenido web creado con fines malintencionados puede provocar un fallo inesperado del proceso.

Descripción: se ha solucionado una lectura fuera de los límites mejorando la comprobación de límites.

CVE-2024-40779: Huang Xilin de Ant Group Light-Year Security Lab

CVE-2024-40780: Huang Xilin de Ant Group Light-Year Security Lab

WebKit

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar un ataque de ejecución de secuencias de comandos entre sitios

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2024-40785: Johan Carlsson (joaxcar)

WebKit

Disponible para: Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: el procesamiento de contenido web creado con fines malintencionados puede provocar un fallo inesperado del proceso.

Descripción: se ha solucionado un problema de acceso fuera de los límites al mejorar la comprobación de los límites.

CVE-2024-40789: Seunghyun Lee (@0x10n) de KAIST Hacking Lab en colaboración con Trend Micro Zero Day Initiative