Om sikkerhedsindholdet i tvOS 13

I dette dokument beskrives sikkerhedsindholdet i tvOS 13.

Om Apple-sikkerhedsopdateringer

Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden om Apple-sikkerhedsopdateringer.

Apple sikkerhedsdokumenterer om muligt henvisninger til sikkerhedsproblemer med et CVE-id.

Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed.

tvOS 13

Udgivet 24. september 2019

AppleFirmwareUpdateKext

Fås til: Apple TV 4K og Apple TV HD

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: En sårbarhed i forbindelse med hukommelsesfejl er blevet rettet gennem forbedret låsning.

CVE-2019-8747: Mohamed Ghannam (@_simo36)

Post tilføjet 29. oktober 2019

Lyd

Fås til: Apple TV 4K og Apple TV HD

Effekt: Behandling af et skadeligt lydarkiv kan medføre kørsel af vilkårlig kode

Beskrivelse: Der var et problem med beskadiget hukommelse, som er løst via forbedret statusadministration.

CVE-2019-8706: Yu Zhou fra Ant-financial Light-Year Security Lab

Post tilføjet 29. oktober 2019

Lyd

Fås til: Apple TV 4K og Apple TV HD

Effekt: Behandling af et skadeligt lydarkiv kan medføre afsløring af beskyttet hukommelse

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2019-8850: Anonym, der arbejder med Trend Micros Zero Day Initiative

Post tilføjet den 4. december 2019

CFNetwork

Fås til: Apple TV 4K og Apple TV HD

Effekt: Behandling af webindhold med skadelig kode kan føre til scriptingangreb på tværs af websteder

Beskrivelse: Problemet er løst ved forbedret kontrol.

CVE-2019-8753: Łukasz Pilorz fra Standard Chartered GBS Poland

Post tilføjet 29. oktober 2019

CoreAudio

Fås til: Apple TV 4K og Apple TV HD

Effekt: Afspilning af et skadeligt lydarkiv kan medføre kørsel af vilkårlig kode

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2019-8592: riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative

Post tilføjet 6. november 2019

CoreCrypto

Fås til: Apple TV 4K og Apple TV HD

Effekt: Behandling af et stort input kan medføre DoS (Denial of Service)

Beskrivelse: Et Denial of Service-problem blev rettet via forbedret inputvalidering.

CVE-2019-8741: Nicky Mouha fra NIST

Post tilføjet 29. oktober 2019

CoreAudio

Fås til: Apple TV 4K og Apple TV HD

Effekt: Behandling af en skadelig film kan medføre afsløring af proceshukommelse

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret validering.

CVE-2019-8705: riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative

Post tilføjet 8. oktober 2019

Foundation

Fås til: Apple TV 4K og Apple TV HD

Effekt: En ekstern hacker kan muligvis forårsage pludselig programlukning eller vilkårlig kørsel af kode

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2019-8746: Natalie Silvanovich og Samuel Groß fra Google Project Zero

Post tilføjet 29. oktober 2019

IOUSBDeviceFamily

Fås til: Apple TV 4K og Apple TV HD

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2019-8718: Joshua Hill og Sem Voigtländer

Post tilføjet 29. oktober 2019

Kernel

Fås til: Apple TV 4K og Apple TV HD

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: En sårbarhed i forbindelse med hukommelsesfejl er blevet rettet gennem forbedret låsning.

CVE-2019-8740: Mohamed Ghannam (@_simo36)

Post tilføjet 29. oktober 2019

Kernel

Fås til: Apple TV 4K og Apple TV HD

Effekt: En lokal app kan muligvis læse et vedvarende konto-id

Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret logik.

CVE-2019-8809: Apple

Post tilføjet 29. oktober 2019

Kernel

Fås til: Apple TV 4K og Apple TV HD

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2019-8712: Mohamed Ghannam (@_simo36)

Post tilføjet 29. oktober 2019

Kernel

Fås til: Apple TV 4K og Apple TV HD

Effekt: Et skadeligt program kan muligvis aflæse opsætningen af kernehukommelsen

Beskrivelse: Der var et problem med beskadiget hukommelse under behandling af IPv6-pakker. Problemet er løst ved forbedret hukommelsesstyring.

CVE-2019-8744: Zhuo Liang fra Qihoo 360 Vulcan Team

Post tilføjet 29. oktober 2019

Kernel

Fås til: Apple TV 4K og Apple TV HD

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Der var et problem med beskadiget hukommelse, som er løst via forbedret statusadministration.

CVE-2019-8709: derrek (@derrekr6) derrek (@derrekr6)

Post tilføjet 29. oktober 2019

Kernel

Fås til: Apple TV 4K og Apple TV HD

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2019-8717: Jann Horn fra Google Project Zero

Post tilføjet 8. oktober 2019

Kernel

Fås til: Apple TV 4K og Apple TV HD

Effekt: Et skadeligt program kan muligvis aflæse opsætningen af kernehukommelsen

Beskrivelse: Problemet er løst med forbedret tilladelseslogik.

CVE-2019-8780: Siguza

Post tilføjet 8. oktober 2019

Tastaturer

Fås til: Apple TV 4K og Apple TV HD

Effekt: En lokal bruger kan forårsage, at der lækkes følsomme brugeroplysninger

Beskrivelse: Et godkendelsesproblem er løst via forbedret statusadministration.

CVE-2019-8704: 王 邦 宇 (wAnyBug.Com) fra SAINTSEC

libxml2

Fås til: Apple TV 4K og Apple TV HD

Effekt: Flere problemer i libxml2

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2019-8749: Fundet af OSS-Fuzz

CVE-2019-8756: Fundet af OSS-Fuzz

Post tilføjet 8. oktober 2019

libxslt

Fås til: Apple TV 4K og Apple TV HD

Effekt: Flere problemer i libxslt

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2019-8750: Fundet af OSS-Fuzz

Post tilføjet 29. oktober 2019

mDNSResponder

Fås til: Apple TV 4K og Apple TV HD

Effekt: En hacker, der er tæt på rent fysisk, vil muligvis være i stand til passivt at observere enhedsnavne i forbindelse med AWDL-kommunikation

Beskrivelse: Problemet blev løst ved at erstatte enhedsnavne med en tilfældig identifikator.

CVE-2019-8799: David Kreitschmann og Milan Stute fra Secure Mobile Networking Lab på Technische Universität Darmstadt

Post tilføjet 29. oktober 2019

UIFoundation

Fås til: Apple TV 4K og Apple TV HD

Effekt: Behandling af et skadeligt tekstarkiv kan medføre kørsel af vilkårlig kode

Beskrivelse: Der var et problem med bufferoverløb, som blev løst gennem forbedret kontrol af grænser.

CVE-2019-8745: riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative

Post tilføjet 8. oktober 2019

UIFoundation

Fås til: Apple TV 4K og Apple TV HD

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2019-8831: riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative

Post tilføjet 18. november 2019

WebKit

Fås til: Apple TV 4K og Apple TV HD

Effekt: Behandling af webindhold med skadelig kode kan føre til universel scripting på tværs af websteder

Beskrivelse: Et logikproblem er løst gennem forbedret statusadministration.

CVE-2019-8625: Sergei Glazunov fra Google Project Zero

CVE-2019-8719: Sergei Glazunov fra Google Project Zero

CVE-2019-8764: Sergei Glazunov fra Google Project Zero

Post tilføjet 8. oktober 2019, opdateret 29. oktober 2019

WebKit

Fås til: Apple TV 4K og Apple TV HD

Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2019-8707: En anonym programmør, der arbejder med Trend Micros Zero Day Initiative, cc, der arbejder med Trend Micros Zero Day Initiative

CVE-2019-8710: Fundet af OSS-Fuzz

CVE-2019-8726: Jihui Lu fra Tencent KeenLab

CVE-2019-8728: Junho Jang fra LINE Security Team og Hanul Choi fra ABLY Corporation

CVE-2019-8733: Sergei Glazunov fra Google Project Zero

CVE-2019-8734: Fundet af OSS-Fuzz

CVE-2019-8735: G. Geshev, der arbejder med Trend Micros Zero Day Initiative

CVE-2019-8743: zhunki fra Codesafe Team hos Legendsec under Qi'anxin Group

CVE-2019-8751: Dongzhuo Zhao, der arbejder med ADLab fra Venustech

CVE-2019-8752: Dongzhuo Zhao, der arbejder med ADLab fra Venustech

CVE-2019-8763: Sergei Glazunov fra Google Project Zero

CVE-2019-8765: Samuel Groß fra Google Project Zero

CVE-2019-8766: Fundet af OSS-Fuzz

CVE-2019-8773: Fundet af OSS-Fuzz

Post tilføjet 8. oktober 2019, opdateret 29. oktober 2019

WebKit

Fås til: Apple TV 4K og Apple TV HD

Effekt: Behandling af webindhold med skadelig kode kan føre til universel scripting på tværs af websteder

Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret logik.

CVE-2019-8762: Sergei Glazunov fra Google Project Zero

Post tilføjet 18. november 2019

WebKit

Fås til: Apple TV 4K og Apple TV HD

Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret validering.

CVE-2020-9932: Dongzhuo Zhao, der arbejder med ADLab fra Venustech

Post tilføjet 28. juli 2020

Wi-Fi

Fås til: Apple TV 4K og Apple TV HD

Effekt: En enhed kan muligvis spores passivt via enhedens Wi-Fi-MAC-adresse

Beskrivelse: Et problem med brugeranonymitet er løst ved at fjerne den udsendende MAC-adresse.

CVE-2019-8854: Ta-Lun Yen fra UCCU Hacker og FuriousMacTeam fra United States Naval Academy og Mitre Cooperation

Post tilføjet den 4. december 2019

Yderligere anerkendelser

Lyd

Vi vil gerne takke riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative, for hjælpen.

Post tilføjet 29. oktober 2019

boringssl

Vi vil gerne takke Nimrod Aviram fra Tel Aviv University, Robert Merget fra Ruhr University Bochum, Juraj Somorovsky fra Ruhr University Bochum og Thijs Alkemade (@xnyhps) fra Computest for hjælpen.

Post tilføjet 8. oktober 2019, opdateret 29. oktober 2019

HomeKit

Vi vil gerne takke Tian Zhang for hjælpen.

Post tilføjet 29. oktober 2019

Kernel

Vi vil gerne takke Brandon Azad fra Google Project Zero og Vlad Tsyrklevich for hjælpen.

Post opdateret 28. juli 2020

Tastatur

Vi vil gerne takke Sara Haradhvala fra Harlen Web Consulting og en anonym programmør for hjælpen.

Post opdateret 28. juli 2020

mDNSResponder

Vi vil gerne takke Gregor Lang fra e.solutions GmbH for hjælpen.

Post tilføjet 29. oktober 2019

Profiler

Vi vil gerne takke Erik Johnson fra Vernon Hills High School, James Seeley (@Code4iOS) fra Shriver Job Corps og James Seeley (@Code4iOS) fra Shriver Job Corps for hjælpen.

Post opdateret 29. oktober 2019

WebKit

Vi vil gerne takke MinJeong Kim fra Information Security Lab, Chungnam National University, JaeCheol Ryou fra Information Security Lab, Chungnam National University i Sydkorea, Yiğit Can YILMAZ (@yilmazcanyigit), Zhihua Yao fra DBAPPSecurity Zion Lab, en anonym forsker og cc, der arbejder med Trend Micros Zero Day Initiative, for hjælpen.

Post tilføjet 8. oktober 2019, opdateret 29. oktober 2019

Oplysninger om produkter, der ikke er produceret af Apple, eller uafhængige websteder, der ikke styres eller testes af Apple, leveres uden Apples anbefaling eller godkendelse. Apple påtager sig intet ansvar, hvad angår valg, ydeevne eller brug af websteder eller produkter fra andre producenter. Apple giver ingen erklæringer med hensyn til nøjagtigheden eller pålideligheden af websteder fra andre producenter. Kontakt producenten for at få flere oplysninger.

Udgivelsesdato: