Informace o bezpečnostním obsahu tvOS 11.3

Tento dokument popisuje bezpečnostní obsah tvOS 11.3.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple. Komunikaci se společností Apple můžete zašifrovat pomocí klíče PGP zabezpečení produktů Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

tvOS 11.3

CoreFoundation

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Aplikaci se může podařit navýšit si oprávnění.

Popis: Problém se souběhem byl vyřešen dodatečným ověřováním.

CVE-2018-4155: Samuel Groß (@5aelo)

CoreText

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Zpracování škodlivého řetězce může vést k odmítnutí služby.

Popis: Problém s odmítnutím služby byl vyřešen vylepšením správy paměti.

CVE-2018-4142: Robin Leroy ze společnosti Google Switzerland GmbH

Události souborového systému

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Aplikaci se může podařit navýšit si oprávnění.

Popis: Problém se souběhem byl vyřešen dodatečným ověřováním.

CVE-2018-4167: Samuel Groß (@5aelo)

Jádro

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Škodlivé aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením správy paměti.

CVE-2018-4150: anonymní výzkumník

Jádro

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Aplikaci se může podařit číst vyhrazenou paměť.

Popis: Problém s ověřováním byl vyřešen vylepšením sanitizace vstupů.

CVE-2018-4104: Národní centrum Spojeného království pro kyberbezpečnost (NCSC)

Jádro

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

CVE-2018-4143: derrek (@derrekr6)

Jádro

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Škodlivé aplikaci se může podařit rozpoznat rozvržení jádra.

Popis: V přechodech mezi stavy programu existoval problém s odhalením informací. Problém byl vyřešen vylepšením zpracovávání stavů.

CVE-2018-4185: Brandon Azad

libxml2

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2017-15412: Nick Wellnhofer

NSURLSession

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Aplikaci se může podařit navýšit si oprávnění.

Popis: Problém se souběhem byl vyřešen dodatečným ověřováním.

CVE-2018-4166: Samuel Groß (@5aelo)

Rychlý náhled

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Aplikaci se může podařit navýšit si oprávnění.

Popis: Problém se souběhem byl vyřešen dodatečným ověřováním.

CVE-2018-4157: Samuel Groß (@5aelo)

Zabezpečení

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Škodlivá aplikace si může navýšit oprávnění.

Popis: Problém s přetečením zásobníku byl vyřešen vylepšením ověřování velikosti.

CVE-2018-4144: Abraham Masri (@cheesecakeufo)

Předvolby systému

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Konfigurační profil může nesprávně zůstat v platnosti i po odebrání.

Popis: Existoval problém v součásti CFPreferences. Problém byl vyřešen vylepšením čištění předvoleb.

CVE-2018-4115: Johann Thalakada, Vladimir Zubkov a Matt Vlasach ze společnosti Wandera

WebKit

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Nečekaná interakce s typy indexování způsobovala chybu ASSERT.

Popis: Ve zpracovávání funkcí javascriptového jádra existoval problém s indexováním matic. Problém byl vyřešen vylepšením kontrol.

CVE-2018-4113: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Zpracování škodlivého webového obsahu může vést k odmítnutí služby.

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování vstupů.

CVE-2018-4146: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením správy paměti.

CVE-2018-4101: Yuan Deng z týmu Ant-financial Light-Year Security Lab

CVE-2018-4114: nalezeno programem OSS-Fuzz

CVE-2018-4118: Jun Kokatsu (@shhnjk)

CVE-2018-4119: anonymní výzkumník ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2018-4120: Hanming Zhang (@4shitak4) z týmu Qihoo 360 Vulcan

CVE-2018-4121: natashenka z týmu Google Project Zero

CVE-2018-4122: WanderingGlitch ze Zero Day Initiative společnosti Trend Micro

CVE-2018-4125: WanderingGlitch ze Zero Day Initiative společnosti Trend Micro

CVE-2018-4127: anonymní výzkumník ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2018-4128: Zach Markley

CVE-2018-4129: likemeng z týmu Baidu Security Lab ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2018-4130: Omair ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2018-4161: WanderingGlitch ze Zero Day Initiative společnosti Trend Micro

CVE-2018-4162: WanderingGlitch ze Zero Day Initiative společnosti Trend Micro

CVE-2018-4163: WanderingGlitch ze Zero Day Initiative společnosti Trend Micro

CVE-2018-4165: Hanming Zhang (@4shitak4) z týmu Qihoo 360 Vulcan

WebKit

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2018-4207: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2018-4208: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2018-4209: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Nečekaná interakce s typy indexování způsobovala chybu.

Popis: Ve zpracovávání funkcí javascriptového jádra existoval problém s indexováním matic. Problém byl vyřešen vylepšením kontrol.

CVE-2018-4210: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2018-4212: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2018-4213: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění kódu

Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením správy paměti.

CVE-2018-4145: Nalezeno programem OSS-Fuzz

Další poděkování

Zabezpečení

Poděkování za pomoc si zaslouží Abraham Masri (@cheesecakeufo).