Informace o bezpečnostních aktualizacích Apple
Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.
Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.
Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.
tvOS 14,5
Vydáno 26. dubna 2021
AppleMobileFileIntegrity
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Škodlivé aplikaci se může podařit obejít předvolby soukromí.
Popis: Problém v ověřování podpisů kódu byl vyřešen vylepšením kontrol.
CVE-2021-1849: Siguza
Assets
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Místnímu uživateli se může podařit vytvářet nebo upravovat privilegované soubory.
Popis: Problém v logice byl vyřešen vylepšením omezení.
CVE-2021-1836: anonymní výzkumník
Audio
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Aplikaci se může podařit číst vyhrazenou paměť.
Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování.
CVE-2021-1808: JunDong Xie z týmu Ant Security Light-Year Lab
CFNetwork
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivého webového obsahu může vést k odhalení citlivých uživatelských informací.
Popis: Problém s inicializací paměti byl vyřešen vylepšením správy paměti.
CVE-2021-1857: anonymní výzkumník
CoreAudio
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivého zvukového souboru může odhalit obsah vyhrazené paměti.
Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.
CVE-2021-1846: JunDong Xie z týmu Ant Security Light-Year Lab
CoreAudio
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Škodlivé aplikaci se může podařit číst vyhrazenou paměť.
Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování.
CVE-2021-1809: JunDong Xie z týmu Ant Security Light-Year Lab
CoreText
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivého písma může vést k odhalení procesní paměti.
Popis: Problém v logice byl vyřešen vylepšením správy stavu.
CVE-2021-1811: Xingwei Lin z týmu Ant Security Light-Year Lab
FontParser
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivého souboru písma může vést ke spuštění libovolného kódu.
Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.
CVE-2021-1881: anonymní výzkumník, Xingwei Lin z týmu Ant Security Light-Year Lab, Mickey Jin ze společnosti Trend Micro a Hou JingYi (@hjy79425575) ze společnosti Qihoo 360
Foundation
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Aplikaci se může podařit navýšit si oprávnění.
Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování.
CVE-2021-1882: Gabe Kirkpatrick (@gabe_k)
Foundation
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Škodlivé aplikaci se může podařit získat kořenová oprávnění.
Popis: Problém s ověřováním byl vyřešen vylepšením logiky.
CVE-2021-1813: Cees Elzinga
Heimdal
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivých zpráv serveru může vést k poškození haldy.
Popis: Problém byl vyřešen vylepšením kontrol.
CVE-2021-1883: Gabe Kirkpatrick (@gabe_k)
Heimdal
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Vzdálenému útočníkovi se může podařit způsobit odmítnutí služby.
Popis: Problém se souběhem byl vyřešen vylepšením zamykání.
CVE-2021-1884: Gabe Kirkpatrick (@gabe_k)
ImageIO
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivého obrázku může vést ke spuštění libovolného kódu.
Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.
CVE-2021-1885: CFF z týmu Topsec Alpha Team
ImageIO
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivého obrázku může vést ke spuštění libovolného kódu.
Popis: Problém byl vyřešen vylepšením kontrol.
CVE-2021-30653: Ye Zhang z týmu Baidu Security
CVE-2021-1843: Ye Zhang z týmu Baidu Security
ImageIO
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivého obrázku může vést ke spuštění libovolného kódu.
Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.
CVE-2021-1858: Mickey Jin ze společnosti Trend Micro
iTunes Store
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Útočníkovi se prostřednictvím spuštění JavaScriptu může podařit spustit libovolný kód.
Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.
CVE-2021-1864: CodeColorist z týmu Ant-Financial LightYear Labs
Kernel
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Škodlivé aplikaci se může podařit odhalit obsah paměti jádra
Popis: Problém s inicializací paměti byl vyřešen vylepšením správy paměti.
CVE-2021-1860: @0xalsr
Kernel
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Škodlivé aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.
Popis: Problém s přetečením zásobníku byl vyřešen vylepšením kontroly rozsahu.
CVE-2021-1816: Tielei Wang z týmu Pangu Lab
Kernel
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.
Popis: Problém v logice byl vyřešen vylepšením správy stavu.
CVE-2021-1851: @0xalsr
Kernel
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Kopírované soubory nemusí mít očekávaná oprávnění souboru.
Popis: Problém byl vyřešen vylepšením logiky oprávnění.
CVE-2021-1832: anonymní výzkumník
Kernel
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Škodlivé aplikaci se může podařit odhalit obsah paměti jádra
Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.
CVE-2021-30660: Alex Plaskett
libxpc
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Škodlivé aplikaci se může podařit získat kořenová oprávnění.
Popis: Problém se souběhem byl vyřešen dodatečným ověřováním.
CVE-2021-30652: James Hutchins
libxslt
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivého souboru může vést k poškození haldy.
Popis: Problém s dvojitým uvolněním paměti byl vyřešen vylepšením správy paměti.
CVE-2021-1875: Nalezeno programem OSS-Fuzz
MobileInstallation
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Místnímu uživateli se může podařit upravit chráněné části souborového systému.
Popis: Problém v logice byl vyřešen vylepšením omezení.
CVE-2021-1822: Bruno Virlet ze společnosti The Grizzly Labs
Preferences
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Místnímu uživateli se může podařit upravit chráněné části souborového systému.
Popis: Problém s parsováním ve zpracování cest adresářů byl vyřešen lepším ověřováním cest.
CVE-2021-1815: Zhipeng Huo (@R3dF09) a Yuebin Sun (@yuebinsun2020) z týmu Tencent Security Xuanwu Lab (xlab.tencent.com)
CVE-2021-1739: Zhipeng Huo (@R3dF09) a Yuebin Sun (@yuebinsun2020) z týmu Tencent Security Xuanwu Lab (xlab.tencent.com)
CVE-2021-1740: Zhipeng Huo (@R3dF09) a Yuebin Sun (@yuebinsun2020) z týmu Tencent Security Xuanwu Lab (xlab.tencent.com)
Tailspin
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Místnímu útočníkovi se může podařit navýšit si oprávnění.
Popis: Problém v logice byl vyřešen vylepšením správy stavu.
CVE-2021-1868: Tim Michaud ze společnosti Zoom Communications
WebKit
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.
Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování.
CVE-2021-1844: Clément Lecigne z týmu Threat Analysis Group společnosti Google, Alison Huffman z týmu Microsoft Browser Vulnerability Research
WebKit
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivého webového obsahu může vést k útoku skriptováním napříč weby.
Popis: Problém s ověřováním vstupů byl vyřešen vylepšením ověřování vstupů.
CVE-2021-1825: Alex Camboe z týmu Cyber Solutions společnosti Aon
WebKit
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.
Popis: Problém s poškozením paměti byl vyřešen vylepšením správy stavu.
CVE-2021-1817: anonymní výzkumník
WebKit
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivého webového obsahu může vést k univerzálnímu skriptování napříč weby.
Popis: Problém v logice byl vyřešen vylepšením omezení.
CVE-2021-1826: anonymní výzkumník
WebKit
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivého webového obsahu může vést k odhalení procesní paměti.
Popis: Problém s inicializací paměti byl vyřešen vylepšením správy paměti.
CVE-2021-1820: anonymní výzkumník
WebKit Storage
K dispozici pro: Apple TV 4K a Apple TV HD
Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.. Apple ví o zprávě, že tento problém mohl být aktivně zneužit.
Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.
CVE-2021-30661: yangkang(@dnpushme) ze společnosti 360 ATA