Informace o bezpečnostním obsahu tvOS 17.2

Tenhle dokument popisuje bezpečnostní obsah tvOS 17.2.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

tvOS 17.2

AVEVideoEncoder

K dispozici pro: Apple TV HD a Apple TV 4K (všechny modely)

Dopad: Aplikaci se může podařit odhalit obsah paměti jádra.

Popis: Problém byl vyřešen vylepšením mazání citlivých údajů.

CVE-2023-42884: anonymní výzkumník

ImageIO

K dispozici pro: Apple TV HD a Apple TV 4K (všechny modely)

Dopad: Zpracování obrázku může vést ke spuštění libovolného kódu.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2023-42898: Zhenjiang Zhao z týmu Pangu Team, Qianxin a Junsung Lee

CVE-2023-42899: Meysam Firouzi @R00tkitSMM a Junsung Lee

Kernel

K dispozici pro: Apple TV HD a Apple TV 4K (všechny modely)

Dopad: Aplikaci se může podařit uniknout ze sandboxu.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2023-42914: Eloi Benoist-Vanderbeken (@elvanderb) z týmu Synacktiv (@Synacktiv)

Libsystem

K dispozici pro: Apple TV HD a Apple TV 4K (všechny modely)

Dopad: Aplikaci se může podařit získat přístup ke chráněným údajům uživatele.

Popis: Problém s oprávněními byl vyřešen odebráním zranitelného kódu a přidáním dalších kontrol.

CVE-2023-42893

Sandbox

K dispozici pro: Apple TV HD a Apple TV 4K (všechny modely)

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen vylepšením mazání citlivých údajů.

CVE-2023-42936: Csaba Fitzl (@theevilbit) z OffSec

TCC

K dispozici pro: Apple TV HD a Apple TV 4K (všechny modely)

Dopad: Aplikaci se může podařit uniknout ze sandboxu.

Popis: Problém se zpracováváním cest byl vyřešen vylepšením ověřování.

CVE-2023-42947: Zhongquan Li (@Guluisacat) ze společnosti Dawn Security Lab of JingDong

Transparency

K dispozici pro: Apple TV HD a Apple TV 4K (všechny modely)

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen vylepšením omezení přístupu k datovému kontejneru.

CVE-2023-40389: Csaba Fitzl (@theevilbit) z týmu Offensive Security a Joshua Jewett (@JoshJewett33)

WebKit

K dispozici pro: Apple TV HD a Apple TV 4K (všechny modely)

Dopad: Zpracování obsahu webové stránky může vést ke spuštění libovolného kódu.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2023-42890: Pwn2car

WebKit

K dispozici pro: Apple TV HD a Apple TV 4K (všechny modely)

Dopad: Zpracování obrázku může vést k odepření služby.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2023-42883: Zoom Offensive Security Team

WebKit

K dispozici pro: Apple TV HD a Apple TV 4K (všechny modely)

Dopad: Zpracování webového obsahu může vést k odhalení citlivých informací. Apple má informace o tom, že tento problém mohl být zneužit ve verzích iOS vydaných před iOS 16.7.1.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.

CVE-2023-42916: Clément Lecigne z týmu Google Threat Analysis Group

WebKit

K dispozici pro: Apple TV HD a Apple TV 4K (všechny modely)

Dopad: Zpracování webového obsahu může vést ke spuštění libovolného kódu. Apple má informace o tom, že tento problém mohl být zneužit ve verzích iOS vydaných před iOS 16.7.1.

Popis: Bezpečnostní slabina spočívající v poškození paměti byla vyřešena vylepšením zamykání.

CVE-2023-42917: Clément Lecigne z týmu Google Threat Analysis Group

WebKit

K dispozici pro: Apple TV HD a Apple TV 4K (všechny modely)

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2023-42950: Nan Wang (@eternalsakura13) ze společnosti 360 Vulnerability Research Institute a rushikesh nandedkar

Další poděkování

WebSheet

Poděkování za pomoc si zaslouží Paolo Ruggero ze společnosti e-phors S.p.A. (ze skupiny FINCANTIERI S.p.A.).

Wi-Fi

Poděkování za pomoc zaslouží Noah Roskin-Frazee a Prof. J. (ZeroClicks.ai Lab).