Informationen zum Sicherheitsinhalt von tvOS 9.2.2

In diesem Dokument wird der Sicherheitsinhalt von tvOS 9.2.2 beschrieben.

Informationen zu Apple-Sicherheitsupdates

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen finden Sie auf der Seite Apple-Sicherheitsupdates.

Weitere Informationen zur Sicherheit finden Sie auf der Seite zur Apple-Produktsicherheit. Ihre Kommunikation mit Apple können Sie mit dem PGP-Schlüssel für die Apple-Produktsicherheit verschlüsseln.

Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.

tvOS 9.2.2

CFNetwork-Anmeldedaten

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Ein Angreifer in einer privilegierten Netzwerkposition kann vertrauliche Benutzerdaten offenlegen

Beschreibung: Mit den im Schlüsselbund gesicherten Anmeldedaten für die HTTP-Authentifizierung bestand ein Downgrade-Problem. Dieses wurde behoben, indem die Authentifizierungstypen jetzt zusammen mit den Anmeldedaten gespeichert werden.

CVE-2016-4644: Jerry Decime, über CERT koordiniert

CFNetwork-Proxys

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Ein Angreifer in einer privilegierten Netzwerkposition kann vertrauliche Benutzerdaten offenlegen

Beschreibung: Es bestand ein Validierungsproblem bei der Analyse von 407-Antworten. Dieses Problem wurde durch eine verbesserte Antwortüberprüfung behoben.

CVE-2016-4643: Xiaofeng Zheng vom Blue Lotus Team, Universität Tsinghua; Jerry Decime, über CERT koordiniert

CFNetwork-Proxys

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Ein Programm kann ein Passwort ohne Wissen des Benutzers unverschlüsselt über das Netzwerk senden

Beschreibung: Die Proxy-Authentifizierung meldete fälschlicherweise, dass HTTP-Proxys Anmeldedaten sicher erhalten hätten. Dieses Problem wurde durch verbesserte Warnungen behoben.

CVE-2016-4642: Jerry Decime, über CERT koordiniert

CoreGraphics

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Ein entfernter Angreifer kann willkürlichen Code ausführen

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2016-4637: Tyler Bohan von Cisco Talos (talosintel.com/vulnerability-reports)

ImageIO

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Ein entfernter Angreifer kann einen Denial-of-Service-Angriff verursachen

Beschreibung: Ein Problem mit der Speichernutzung wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2016-4632: Evgeny Sidorov von Yandex

ImageIO

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Ein entfernter Angreifer kann willkürlichen Code ausführen

Beschreibung: Mehrere Speicherfehler wurden durch eine verbesserte Speicherverwaltung behoben.

CVE-2016-4631: Tyler Bohan von Cisco Talos (talosintel.com/vulnerability-reports)

ImageIO

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Bilddatei kann zur Ausführung willkürlichen Codes führen

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2016-7705: Craig Young von Tripwire VERT

IOAcceleratorFamily

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Ein lokaler Benutzer kann willkürlichen Code mit Kernel-Rechten ausführen

Beschreibung: Ein Problem mit einem Rückverweis auf einen Nullzeiger wurde durch eine verbesserte Überprüfung behoben.

CVE-2016-4627: Ju Zhu von Trend Micro

IOHIDFamily

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Ein lokaler Benutzer kann willkürlichen Code mit Kernel-Rechten ausführen

Beschreibung: Ein Problem mit einem Rückverweis auf einen Nullzeiger wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2016-4626: Stefan Esser von SektionEins

Kernel

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Ein lokaler Benutzer kann willkürlichen Code mit Kernel-Rechten ausführen

Beschreibung: Mehrere Speicherfehler wurden durch eine verbesserte Speicherverwaltung behoben.

CVE-2016-1863: Ian Beer von Google Project Zero

CVE-2016-4653: Ju Zhu von Trend Micro

CVE-2016-4582: Shrek_wzw und Proteas vom Qihoo 360 Nirvan Team

Kernel

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Ein lokaler Benutzer kann einen Denial-of-Service des Systems verursachen

Beschreibung: Ein Problem mit einem Rückverweis auf einen Nullzeiger wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2016-1865: CESG, Marco Grassi (@marcograss) von KeenLab (@keen_lab), Tencent

libxml2

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Die Analyse eines in böser Absicht erstellten XML-Dokuments kann zur Preisgabe von Benutzerdaten führen

Beschreibung: Bei der Analyse von in böser Absicht erstellten XML-Dateien kam es zu einem Zugriffsproblem. Dieses Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2016-4449: Kostya Serebryany

libxml2

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Mehrere Schwachstellen in libxml2

Beschreibung: Mehrere Speicherfehler wurden durch eine verbesserte Speicherverwaltung behoben.

CVE-2015-8317: Hanno Boeck

CVE-2016-1836: Wei Lei und Liu Yang von der Nanyang Technological University

CVE-2016-4447: Wei Lei und Liu Yang von der Nanyang Technological University

CVE-2016-4448: Apple

CVE-2016-4483: Gustavo Grieco

CVE-2016-4614: Nick Wellnhofer

CVE-2016-4615: Nick Wellnhofer

CVE-2016-4616: Michael Paddon

libxslt

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Mehrere Schwachstellen in libxslt

Beschreibung: Mehrere Speicherfehler wurden durch eine verbesserte Speicherverwaltung behoben.

CVE-2016-1683: Nicolas Grégoire

CVE-2016-1684: Nicolas Grégoire

CVE-2016-4607: Nick Wellnhofer

CVE-2016-4608: Nicolas Grégoire

CVE-2016-4609: Nick Wellnhofer

CVE-2016-4610: Nick Wellnhofer

Sandbox-Profile

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Ein lokales Programm kann auf die Prozessliste zugreifen

Beschreibung: Es bestand ein Zugriffsproblem mit privilegierten API-Aufrufen. Dieses Problem wurde durch zusätzliche Einschränkungen behoben.

CVE-2016-4594: Stefan Esser von SektionEins

WebKit

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung willkürlichen Codes führen

Beschreibung: Mehrere Speicherfehler wurden durch eine verbesserte Speicherverwaltung behoben.

CVE-2016-4586: Apple

CVE-2016-4588: Apple

CVE-2016-4589: Tongbo Luo und Bo Qu von Palo Alto Networks

CVE-2016-4622: Samuel Gross in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

CVE-2016-4623: Apple

CVE-2016-4624: Apple

WebKit

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Durch Analyse von in böser Absicht erstellten Webinhalten können Bilddaten einer anderen Website offengelegt werden

Beschreibung: Bei der Verarbeitung von SVG trat ein Problem mit dem Zeitverhalten auf. Dieses Problem wurde durch eine verbesserte Überprüfung behoben.

CVE-2016-4583: Roeland Krak

WebKit

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Durch die Verarbeitung von in böser Absicht erstellten Webinhalten kann Prozessspeicher offengelegt werden

Beschreibung: Ein Problem mit der Speicherinitialisierung wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2016-4587: Apple

WebKit

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Durch Aufrufen einer in böser Absicht erstellten Website können vertrauliche Daten offengelegt werden

Beschreibung: Es bestand ein Zugriffsproblem bei der Verarbeitung der Location-Variable. Dieses Problem wurde durch zusätzliche Eigentümerschaftsüberprüfungen behoben.

CVE-2016-4591: ma.la von LINE Corporation

WebKit

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zu einem Denial-of-Service des Systems führen

Beschreibung: Ein Problem mit der Speichernutzung wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2016-4592: Mikhail

Laden von WebKit-Seiten

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung

willkürlichen Codes führen

Beschreibung: Mehrere Speicherfehler wurden

durch eine verbesserte Speicherverwaltung behoben.

CVE-2016-4584: Chris Vienneau

Laden von WebKit-Seiten

Verfügbar für: Apple TV (4. Generation)

Auswirkung: Eine in böser Absicht erstellte Website kann Daten von verschiedenen Quellen exfiltrieren.

Beschreibung: In Safari trat bei der URL-Weiterleitung ein Cross-Site-Scripting-Problem auf. Dieses Problem wurde durch eine verbesserte Überprüfung der URL bei der Weiterleitung behoben.

CVE-2016-4585: Takeshi Terada von Mitsui Bussan Secure Directions, Inc. (www.mbsd.jp)