Informace o bezpečnostním obsahu tvOS 12.1.1

Tento dokument popisuje bezpečnostní obsah tvOS 12.1.1.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple. Komunikaci se společností Apple můžete zašifrovat pomocí klíče PGP zabezpečení produktů Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

tvOS 12.1.1

AirPort

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Škodlivá aplikace si může navýšit oprávnění.

Popis: Problém se záměnou typů byl vyřešen vylepšením správy paměti.

CVE-2018-4303: Mohamed Ghannam (@_simo36)

Obrazy disků

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

CVE-2018-4427: Pangu Team

Jádro

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Místnímu uživateli se může podařit číst paměť jádra.

Popis: Problém s inicializací paměti byl vyřešen vylepšením správy paměti.

CVE-2018-4431: Tuto bezpečnostní slabinu nahlásil programu SecuriTeam Secure Disclosure společnosti Beyond Security nezávislý bezpečnostní výzkumník.

CVE-2018-4448: Brandon Azad

Jádro

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Útočníkovi s vysokými oprávněními se může podařit způsobit útok odmítnutím služby.

Popis: Problém s odmítnutím služby byl vyřešen odstraněním zranitelného kódu.

CVE-2018-4460: Kevin Backhouse z týmu Semmle Security Research

Jádro

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Místnímu uživateli se může podařit číst paměť jádra.

Popis: Problém s inicializací paměti byl vyřešen vylepšením správy paměti.

CVE-2018-4431: Tuto bezpečnostní slabinu nahlásil programu SecuriTeam Secure Disclosure společnosti Beyond Security nezávislý bezpečnostní výzkumník.

Jádro

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Škodlivá aplikace si může navýšit oprávnění.

Popis: Problém v logice byl vyřešen vylepšením omezení.

CVE-2018-4435: Jann Horn z týmu Google Project Zero, Juwei Lin(@panicaII) a Junzhi Lu z týmu TrendMicro Mobile Security ve spolupráci s iniciativou Zero Day společnosti Trend Micro

Jádro

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy stavu.

CVE-2018-4447: Juwei Lin(@panicaII) a Zhengyu Dong z týmu TrendMicro Mobile Security ve spolupráci s iniciativou Zero Day společnosti Trend Micro

Jádro

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování vstupů.

CVE-2018-4461: Ian Beer z týmu Google Project Zero

Profily

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Nedůvěryhodné konfigurační profily se můžou nesprávně zobrazovat jako ověřené.

Popis: V konfiguračních profilech existoval problém s ověřováním certifikátů. Problém byl vyřešen přidáním dodatečných kontrol.

CVE-2018-4436: James Seeley @Code4iOS, Joseph S. ze společnosti JJS Securities

WebKit

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

CVE-2018-4441: lokihardt z týmu Google Project Zero

CVE-2018-4442: lokihardt z týmu Google Project Zero

CVE-2018-4443: lokihardt z týmu Google Project Zero

WebKit

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Problém v logice způsoboval poškození paměti. Problém byl vyřešen vylepšením správy stavu.

CVE-2018-4438: lokihardt z týmu Google Project Zero, Qixun Zhao z týmu Qihoo 360 Vulcan

WebKit

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Zpracování škodlivého webového obsahu může vést k odhalení citlivých uživatelských informací.

Popis: Problém v logice byl vyřešen vylepšením správy stavu.

CVE-2018-4444: James Lee (@Windowsrcer) ze S2SWWW.com

WebKit

K dispozici pro: Apple TV 4K a Apple TV (4. generace)

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením správy paměti.

CVE-2018-4437: HyungSeok Han, DongHyeon Oh a Sang Kil Cha z týmu KAIST Softsec Lab, Korea

CVE-2018-4464: HyungSeok Han, DongHyeon Oh a Sang Kil Cha z týmu KAIST Softsec Lab, Korea

Další poděkování

Profily

Poděkování za pomoc zaslouží Luke Deshotels, Jordan Beichler a William Enck ze Státní univerzity v Severní Karolíně a Costin Carabaș a Răzvan Deaconescu z Polytechnické univerzity v Bukurešti.