Om sikkerhedsindholdet i tvOS 17.2

I dette dokument beskrives sikkerhedsindholdet i tvOS 17.2.

Om Apple-sikkerhedsopdateringer

Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden Apples sikkerhedsudgivelser.

Apples sikkerhedsdokumenter henviser om muligt til sikkerhedsrisici med et CVE-id.

Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed.

tvOS 17.2

AVEVideoEncoder

Fås til: Apple TV HD og Apple TV 4K (alle modeller)

Effekt: En app kan muligvis afsløre kernehukommelsen

Beskrivelse: Problemet er løst ved forbedret bortredigering af følsomme oplysninger.

CVE-2023-42884: en anonym programmør

ImageIO

Fås til: Apple TV HD og Apple TV 4K (alle modeller)

Effekt: Behandling af et billede kan medføre afvikling af vilkårlig kode

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-42898: Zhenjiang Zhao fra Pangu Team, Qianxin og Junsung Lee

CVE-2023-42899: Meysam Firouzi @R00tkitSMM og Junsung Lee

Kernel

Fås til: Apple TV HD og Apple TV 4K (alle modeller)

Effekt: En app kan muligvis frigøre sig fra sin sandbox

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-42914: Eloi Benoist-Vanderbeken (@elvanderb) fra Synacktiv (@Synacktiv)

Libsystem

Fås til: Apple TV HD og Apple TV 4K (alle modeller)

Effekt: En app kan muligvis få adgang til beskyttede brugerdata

Beskrivelse: Et problem med tilladelser blev løst ved at fjerne sårbar kode og tilføje yderligere kontrol.

CVE-2023-42893

Sandbox

Fås til: Apple TV HD og Apple TV 4K (alle modeller)

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Problemet er løst ved forbedret bortredigering af følsomme oplysninger.

CVE-2023-42936: Csaba Fitzl (@theevilbit) fra OffSec

TCC

Fås til: Apple TV HD og Apple TV 4K (alle modeller)

Effekt: En app kan muligvis frigøre sig fra sin sandbox

Beskrivelse: Et problem med stihåndtering er løst via forbedret validering.

CVE-2023-42947: Zhongquan Li (@Guluisacat) fra Dawn Security Lab hos JingDong

Transparency

Fås til: Apple TV HD og Apple TV 4K (alle modeller)

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Problemet er løst med forbedret begrænsning af adgangen til databeholdere.

CVE-2023-40389: Csaba Fitzl (@theevilbit) fra Offensive Security og Joshua Jewett (@JoshJewett33)

WebKit

Fås til: Apple TV HD og Apple TV 4K (alle modeller)

Effekt: Behandling af webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-42890: Pwn2car

WebKit

Fås til: Apple TV HD og Apple TV 4K (alle modeller)

Effekt: Behandling af et billede kan føre til DoS-angreb

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-42883: Zoom Offensive Security Team

WebKit

Fås til: Apple TV HD og Apple TV 4K (alle modeller)

Effekt: Behandling af webindhold kan afsløre følsomme oplysninger. Apple er opmærksom på, at dette problem kan være blevet aktivt udnyttet i tidligere versioner af iOS fra før iOS 16.7.1.

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2023-42916: Clément Lecigne fra Googles Threat Analysis Group

WebKit

Fås til: Apple TV HD og Apple TV 4K (alle modeller)

Effekt: Behandling af webindhold kan medføre kørsel af vilkårlig kode. Apple er opmærksom på, at dette problem kan være blevet aktivt udnyttet i tidligere versioner af iOS fra før iOS 16.7.1.

Beskrivelse: En sårbarhed i forbindelse med hukommelsesfejl er løst ved forbedret låsning.

CVE-2023-42917: Clément Lecigne fra Googles Threat Analysis Group

WebKit

Fås til: Apple TV HD og Apple TV 4K (alle modeller)

Effekt: Behandling af skadeligt webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Et use-after-free problem blev rettet ved forbedret hukommelseshåndtering.

CVE-2023-42950: Nan Wang (@eternalsakura13) fra 360 Vulnerability Research Institute og rushikesh nandedkar

Yderligere anerkendelser

WebSheet

Vi vil gerne takke Paolo Ruggero fra e-phors S.p.A. (A FINCANTIERI S.p.A. Company) for hjælpen.

Wi-Fi

Vi vil gerne takke Noah Roskin-Frazee og Prof. J. (ZeroClicks.ai Lab) for hjælpen.