Informationen zum Sicherheitsinhalt von tvOS 12.1

In diesem Dokument wird der Sicherheitsinhalt von tvOS 12.1 beschrieben.

Informationen zu Apple-Sicherheitsupdates

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen finden Sie auf der Seite Apple-Sicherheitsupdates.

Weitere Informationen zur Sicherheit finden Sie auf der Seite zur Apple-Produktsicherheit. Ihre Kommunikation mit Apple können Sie mit dem PGP-Schlüssel für die Apple-Produktsicherheit verschlüsseln.

Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.

tvOS 12.1

CoreCrypto

Verfügbar für: Apple TV 4K und Apple TV (4. Generation)

Auswirkung: Ein Angreifer ist möglicherweise in der Lage, eine Schwachstelle im Miller-Rabin-Primzahltest auszunutzen und Primzahlen falsch zu identifizieren.

Beschreibung: Es bestand ein Problem mit der Methode zum Ermitteln von Primzahlen. Dieses Problem wurde durch die Verwendung pseudozufälliger Grundlagen zum Testen von Primzahlen behoben.

CVE-2018-4398: Martin Albrecht, Jake Massimo und Kenny Paterson von Royal Holloway, University of London und Juraj Somorovsky von der Ruhr-Universität Bochum

ICU

Verfügbar für: Apple TV 4K und Apple TV (4. Generation)

Auswirkung: Die Verarbeitung eines in böser Absicht erstellten Strings kann zu einer Heapbeschädigung führen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2018-4394: Erik Verbruggen von The Qt Company

IPSec

Verfügbar für: Apple TV 4K und Apple TV (4. Generation)

Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2018-4371: Tim Michaud (@TimGMichaud) von der Leviathan Security Group

Kernel

Verfügbar für: Apple TV 4K und Apple TV (4. Generation)

Auswirkung: Ein Programm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch Entfernen des angreifbaren Codes behoben.

CVE-2018-4420: Mohamed Ghannam (@_simo36)

Kernel

Verfügbar für: Apple TV 4K und Apple TV (4. Generation)

Auswirkung: Ein Programm kann eingeschränkten Speicher lesen.

Beschreibung: Ein Problem mit der Speicherinitialisierung wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2018-4413: Juwei Lin (@panicaII) vom TrendMicro Mobile Security Team

Kernel

Verfügbar für: Apple TV 4K und Apple TV (4. Generation)

Auswirkung: Ein Programm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2018-4419: Mohamed Ghannam (@_simo36)

Mail

Verfügbar für: Apple TV 4K und Apple TV (4. Generation)

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Nachricht kann zu einem Denial-of-Service führen

Beschreibung: Ein Problem mit der Ressourcenausschöpfung wurde durch eine bessere Eingabeüberprüfung behoben.

CVE-2018-4381: Angel Ramirez

NetworkExtension

Verfügbar für: Apple TV 4K und Apple TV (4. Generation)

Auswirkung: Bei Verbindung mit einem VPN-Server können DNS-Anfragen an einen DNS-Proxy preisgegeben werden.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2018-4369: Ein anonymer Forscher

WebKit

Verfügbar für: Apple TV 4K und Apple TV (4. Generation)

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Mehrere Speicherfehler wurden durch eine verbesserte Speicherverwaltung behoben.

CVE-2018-4372: HyungSeok Han, DongHyeon Oh und Sang Kil Cha vom KAIST Softsec Lab, Korea

CVE-2018-4382: lokihardt von Google Project Zero

CVE-2018-4386: lokihardt von Google Project Zero

CVE-2018-4392: zhunki vom 360 ESG Codesafe Team

CVE-2018-4416: lokihardt von Google Project Zero

WebKit

Verfügbar für: Apple TV 4K und Apple TV (4. Generation)

Auswirkung: Eine in böser Absicht erstellte Website kann einen Denial-of-Service verursachen.

Beschreibung: Ein Problem mit der Ressourcenausschöpfung wurde durch eine bessere Eingabeüberprüfung behoben.

CVE-2018-4409: Sabri Haddouche (@pwnsdx) von der Wire Swiss GmbH

WebKit

Verfügbar für: Apple TV 4K und Apple TV (4. Generation)

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von Code führen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Überprüfung behoben.

CVE-2018-4378: HyungSeok Han, DongHyeon Oh und Sang Kil Cha von KAIST Softsec Lab, Korea, Zhunki vom 360 ESG Codesafe Team

WLAN

Verfügbar für: Apple TV 4K und Apple TV (4. Generation)

Auswirkung: Ein Angreifer in einer privilegierten Position kann einen Denial-of-Service-Angriff verursachen.

Beschreibung: Ein Denial-of-Service-Problem wurde durch eine verbesserte Prüfung behoben.

CVE-2018-4368: Milan Stute und Alex Mariotto vom Secure Mobile Networking Lab an der Technischen Universität Darmstadt

Zusätzliche Danksagung

Zertifikatsignatur

Wir möchten uns bei Yiğit Can YILMAZ (@yilmazcanyigit) für die Unterstützung bedanken.

coreTLS

Wir danken Eyal Ronen (Weizmann Institute), Robert Gillham (University of Adelaide), Daniel Genkin (University of Michigan), Adi Shamir (Weizmann Institute), David Wong (NCC Group) und Yuval Yarom (University of Adelaide und Data61) für ihre Unterstützung.

Sicherheit

Wir möchten uns bei Marinos Bernitsas von Parachute für die Unterstützung bedanken.