Om sikkerhedsindholdet i tvOS 13
I dette dokument beskrives sikkerhedsindholdet i tvOS 13.
Om Apple-sikkerhedsopdateringer
Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden om Apple-sikkerhedsopdateringer.
Apple sikkerhedsdokumenterer om muligt henvisninger til sikkerhedsproblemer med et CVE-id.
Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed.
tvOS 13
AppleFirmwareUpdateKext
Fås til: Apple TV 4K og Apple TV HD
Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder
Beskrivelse: En sårbarhed i forbindelse med hukommelsesfejl er blevet rettet gennem forbedret låsning.
CVE-2019-8747: Mohamed Ghannam (@_simo36)
Lyd
Fås til: Apple TV 4K og Apple TV HD
Effekt: Behandling af et skadeligt lydarkiv kan medføre kørsel af vilkårlig kode
Beskrivelse: Der var et problem med beskadiget hukommelse, som er løst via forbedret statusadministration.
CVE-2019-8706: Yu Zhou fra Ant-financial Light-Year Security Lab
Lyd
Fås til: Apple TV 4K og Apple TV HD
Effekt: Behandling af et skadeligt lydarkiv kan medføre afsløring af beskyttet hukommelse
Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.
CVE-2019-8850: Anonym, der arbejder med Trend Micros Zero Day Initiative
CFNetwork
Fås til: Apple TV 4K og Apple TV HD
Effekt: Behandling af webindhold med skadelig kode kan føre til scriptingangreb på tværs af websteder
Beskrivelse: Problemet er løst ved forbedret kontrol.
CVE-2019-8753: Łukasz Pilorz fra Standard Chartered GBS Poland
CoreAudio
Fås til: Apple TV 4K og Apple TV HD
Effekt: Afspilning af et skadeligt lydarkiv kan medføre kørsel af vilkårlig kode
Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.
CVE-2019-8592: riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative
CoreCrypto
Fås til: Apple TV 4K og Apple TV HD
Effekt: Behandling af et stort input kan medføre DoS (Denial of Service)
Beskrivelse: Et Denial of Service-problem blev rettet via forbedret inputvalidering.
CVE-2019-8741: Nicky Mouha fra NIST
CoreAudio
Fås til: Apple TV 4K og Apple TV HD
Effekt: Behandling af en skadelig film kan medføre afsløring af proceshukommelse
Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret validering.
CVE-2019-8705: riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative
Foundation
Fås til: Apple TV 4K og Apple TV HD
Effekt: En ekstern hacker kan muligvis forårsage pludselig programlukning eller vilkårlig kørsel af kode
Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.
CVE-2019-8746: natashenka og Samuel Groß fra Google Project Zero
IOUSBDeviceFamily
Fås til: Apple TV 4K og Apple TV HD
Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder
Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.
CVE-2019-8718: Joshua Hill og Sem Voigtländer
Kernel
Fås til: Apple TV 4K og Apple TV HD
Effekt: Et program kan få adgang til hævede rettigheder
Beskrivelse: Problemet er løst ved forbedret godkendelse.
CVE-2019-8703: en anonym programmør
Kernel
Fås til: Apple TV 4K og Apple TV HD
Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder
Beskrivelse: En sårbarhed i forbindelse med hukommelsesfejl er blevet rettet gennem forbedret låsning.
CVE-2019-8740: Mohamed Ghannam (@_simo36)
Kernel
Fås til: Apple TV 4K og Apple TV HD
Effekt: En lokal app kan muligvis læse et vedvarende konto-id
Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret logik.
CVE-2019-8809: Apple
Kernel
Fås til: Apple TV 4K og Apple TV HD
Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder
Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.
CVE-2019-8712: Mohamed Ghannam (@_simo36)
Kernel
Fås til: Apple TV 4K og Apple TV HD
Effekt: Et skadeligt program kan muligvis aflæse opsætningen af kernehukommelsen
Beskrivelse: Der var et problem med beskadiget hukommelse under behandling af IPv6-pakker. Problemet er løst ved forbedret hukommelsesstyring.
CVE-2019-8744: Zhuo Liang fra Qihoo 360 Vulcan Team
Kernel
Fås til: Apple TV 4K og Apple TV HD
Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder
Beskrivelse: Der var et problem med beskadiget hukommelse, som er løst via forbedret statusadministration.
CVE-2019-8709: derrek (@derrekr6) derrek (@derrekr6)
Kernel
Fås til: Apple TV 4K og Apple TV HD
Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder
Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.
CVE-2019-8717: Jann Horn fra Google Project Zero
Kernel
Fås til: Apple TV 4K og Apple TV HD
Effekt: Et skadeligt program kan muligvis aflæse opsætningen af kernehukommelsen
Beskrivelse: Problemet er løst med forbedret tilladelseslogik.
CVE-2019-8780: Siguza
Tastaturer
Fås til: Apple TV 4K og Apple TV HD
Effekt: En lokal bruger kan forårsage, at der lækkes følsomme brugeroplysninger
Beskrivelse: Et godkendelsesproblem er løst via forbedret statusadministration.
CVE-2019-8704: 王 邦 宇 (wAnyBug.Com) fra SAINTSEC
libxml2
Fås til: Apple TV 4K og Apple TV HD
Effekt: Flere problemer i libxml2
Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret godkendelse af input.
CVE-2019-8749: Fundet af OSS-Fuzz
CVE-2019-8756: Fundet af OSS-Fuzz
libxslt
Fås til: Apple TV 4K og Apple TV HD
Effekt: Flere problemer i libxslt
Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret godkendelse af input.
CVE-2019-8750: Fundet af OSS-Fuzz
mDNSResponder
Fås til: Apple TV 4K og Apple TV HD
Effekt: En hacker, der er tæt på rent fysisk, vil muligvis være i stand til passivt at observere enhedsnavne i forbindelse med AWDL-kommunikation
Beskrivelse: Problemet blev løst ved at erstatte enhedsnavne med en tilfældig identifikator.
CVE-2019-8799: David Kreitschmann og Milan Stute fra Secure Mobile Networking Lab på Technische Universität Darmstadt
UIFoundation
Fås til: Apple TV 4K og Apple TV HD
Effekt: Behandling af et skadeligt tekstarkiv kan medføre kørsel af vilkårlig kode
Beskrivelse: Der var et problem med bufferoverløb, som blev løst gennem forbedret kontrol af grænser.
CVE-2019-8745: riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative
UIFoundation
Fås til: Apple TV 4K og Apple TV HD
Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder
Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.
CVE-2019-8831: riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative
WebKit
Fås til: Apple TV 4K og Apple TV HD
Effekt: Behandling af webindhold med skadelig kode kan føre til universel scripting på tværs af websteder
Beskrivelse: Et logikproblem er løst gennem forbedret statusadministration.
CVE-2019-8625: Sergei Glazunov fra Google Project Zero
CVE-2019-8719: Sergei Glazunov fra Google Project Zero
CVE-2019-8764: Sergei Glazunov fra Google Project Zero
WebKit
Fås til: Apple TV 4K og Apple TV HD
Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode
Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.
CVE-2019-8707: En anonym programmør, der arbejder med Trend Micros Zero Day Initiative, cc, der arbejder med Trend Micros Zero Day Initiative
CVE-2019-8710: Fundet af OSS-Fuzz
CVE-2019-8726: Jihui Lu fra Tencent KeenLab
CVE-2019-8728: Junho Jang fra LINE Security Team og Hanul Choi fra ABLY Corporation
CVE-2019-8733: Sergei Glazunov fra Google Project Zero
CVE-2019-8734: Fundet af OSS-Fuzz
CVE-2019-8735: G. Geshev, der arbejder med Trend Micros Zero Day Initiative
CVE-2019-8743: zhunki fra Codesafe Team hos Legendsec under Qi'anxin Group
CVE-2019-8751: Dongzhuo Zhao, der arbejder med ADLab fra Venustech
CVE-2019-8752: Dongzhuo Zhao, der arbejder med ADLab fra Venustech
CVE-2019-8763: Sergei Glazunov fra Google Project Zero
CVE-2019-8765: Samuel Groß fra Google Project Zero
CVE-2019-8766: Fundet af OSS-Fuzz
CVE-2019-8773: Fundet af OSS-Fuzz
WebKit
Fås til: Apple TV 4K og Apple TV HD
Effekt: Behandling af webindhold med skadelig kode kan føre til universel scripting på tværs af websteder
Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret logik.
CVE-2019-8762: Sergei Glazunov fra Google Project Zero
WebKit
Fås til: Apple TV 4K og Apple TV HD
Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode
Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret validering.
CVE-2020-9932: Dongzhuo Zhao, der arbejder med ADLab fra Venustech
Wi-Fi
Fås til: Apple TV 4K og Apple TV HD
Effekt: En enhed kan muligvis spores passivt via enhedens Wi-Fi-MAC-adresse
Beskrivelse: Et problem med brugeranonymitet er løst ved at fjerne den udsendende MAC-adresse.
CVE-2019-8854: Ta-Lun Yen fra UCCU Hacker og FuriousMacTeam fra United States Naval Academy og Mitre Cooperation
Yderligere anerkendelser
Lyd
Vi vil gerne takke riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative, for hjælpen.
boringssl
Vi vil gerne takke Nimrod Aviram fra Tel Aviv University, Robert Merget fra Ruhr University Bochum, Juraj Somorovsky fra Ruhr University Bochum og Thijs Alkemade (@xnyhps) fra Computest for hjælpen.
HomeKit
Vi vil gerne takke Tian Zhang for hjælpen.
Kernel
Vi vil gerne takke Brandon Azad fra Google Project Zero og Vlad Tsyrklevich for hjælpen.
Tastatur
Vi vil gerne takke Sara Haradhvala fra Harlen Web Consulting og en anonym programmør for hjælpen.
mDNSResponder
Vi vil gerne takke Gregor Lang fra e.solutions GmbH for hjælpen.
Profiler
Vi vil gerne takke Erik Johnson fra Vernon Hills High School, James Seeley (@Code4iOS) fra Shriver Job Corps og James Seeley (@Code4iOS) fra Shriver Job Corps for hjælpen.
WebKit
Vi vil gerne takke MinJeong Kim fra Information Security Lab, Chungnam National University, JaeCheol Ryou fra Information Security Lab, Chungnam National University i Sydkorea, Yiğit Can YILMAZ (@yilmazcanyigit), Zhihua Yao fra DBAPPSecurity Zion Lab, en anonym forsker og cc, der arbejder med Trend Micros Zero Day Initiative, for hjælpen.
Post tilføjet 8. oktober 2019, opdateret 29. oktober 2019
Oplysninger om produkter, der ikke er produceret af Apple, eller uafhængige websteder, der ikke styres eller testes af Apple, leveres uden Apples anbefaling eller godkendelse. Apple påtager sig intet ansvar, hvad angår valg, ydeevne eller brug af websteder eller produkter fra andre producenter. Apple giver ingen erklæringer med hensyn til nøjagtigheden eller pålideligheden af websteder fra andre producenter. Kontakt producenten for at få flere oplysninger.