Informationen zum Sicherheitsinhalt von tvOS 15.2

In diesem Dokument wird der Sicherheitsinhalt von tvOS 15.2 beschrieben.

Informationen zu Apple-Sicherheitsupdates

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, besprochen und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen findest du auf der Seite Apple-Sicherheitsupdates.

Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.

Weitere Informationen zur Sicherheit findest du auf der Seite zur Apple-Produktsicherheit.

tvOS 15.2

Audio

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Analyse einer in böswilliger Absicht erstellten Audiodatei kann zur Preisgabe von Benutzerinformationen führen.

Beschreibung: Ein Problem mit einem Pufferüberlauf wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30960: JunDong Xie von Ant Security Light-Year Lab

CFNetwork Proxies

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Der Benutzerverkehr kann trotz PAC-Konfigurationen unerwartet zu einem Proxyserver durchgelassen werden.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-30966: Michal Rajcan von Jamf, Matt Vlasach von Jamf (Wandera)

ColorSync

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Bilddatei kann zur Ausführung willkürlichen Codes führen.

Beschreibung: Ein Problem mit korrumpiertem Speicher bei der Verarbeitung von ICC-Profilen wurde durch verbesserte Eingabeprüfung behoben.

CVE-2021-30926: Jeremy Brown

CVE-2021-30942: Mateusz Jurczyk von Google Project Zero

CoreAudio

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Analyse einer in böswilliger Absicht erstellten Audiodatei kann zur Preisgabe von Benutzerinformationen führen.

Beschreibung: Ein Problem mit der Speicherinitialisierung wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30962: JunDong Xie von Ant Security Light-Year Lab

CoreAudio

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Audiodatei kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Pufferüberlauf wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30957: JunDong Xie von Ant Security Light-Year Lab

CoreAudio

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Wiedergabe einer in böser Absicht erstellten Audiodatei kann zur Ausführung willkürlichen Codes führen

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2021-30958: JunDong Xie von Ant Security Light-Year Lab

Crash Reporter

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein lokaler Angreifer kann möglicherweise seine Berechtigungen erhöhen.

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

CVE-2021-30945: Zhipeng Huo (@R3dF09) und Yuebin Sun (@yuebinsun2020) von Tencent Security Xuanwu Lab (xlab.tencent.com)

FontParser

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Schrift kann zur Preisgabe des Prozessspeichers führen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2021-31013: Daniel Lim Wee Soong von STAR Labs

Game Center

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Vertrauliche Kontaktinformationen können unter Umständen von einem Schadprogramm gelesen werden.

Beschreibung: Ein Berechtigungsproblem wurde durch eine verbesserte Überprüfung behoben.

CVE-2021-31000: Denis Tokarev (@illusionofcha0s)

ImageIO

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Bilddatei kann zur Ausführung willkürlichen Codes führen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2021-30939: Mickey Jin (@patch1t) von Trend Micro, Jaewon Min von Cisco Talos, Rui Yang und Xingwei Lin von Ant Security Light-Year Lab

Kernel

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein Schadprogramm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30916: Zweig von Kunlun Lab

Kernel

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein Schadprogramm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Sperrung behoben.

CVE-2021-30937: Sergei Glazunov von Google Project Zero

Kernel

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30927: Xinru Chi von Pangu Lab

CVE-2021-30980: Xinru Chi von Pangu Lab

Kernel

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein Schadprogramm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-30949: Ian Beer von Google Project Zero

Kernel

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein Angreifer in einer privilegierten Netzwerkposition kann die Ausführung willkürlichen Codes verursachen.

Beschreibung: Ein Problem mit einem Pufferüberlauf wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30993: OSS-Fuzz, Ned Williamson von Google Project Zero

Kernel

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein Schadprogramm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Problem mit einer Race-Bedingung wurde durch eine verbesserte Statusverarbeitung behoben.

CVE-2021-30955: Zweig von Kunlun Lab

Preferences

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein Schadprogramm kann unter Umständen Rechte erhöhen.

Beschreibung: Ein Problem mit einer Race-Bedingung wurde durch eine verbesserte Statusverarbeitung behoben.

CVE-2021-30995: Mickey Jin (@patch1t) von Trend Micro, Mickey Jin (@patch1t)

Sandbox

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein in böswilliger Absicht erstelltes Programm kann bestimmte Datenschutzeinstellungen umgehen.

Beschreibung: Ein Überprüfungsproblem im Zusammenhang mit dem Verhalten von harten Links wurde durch verbesserte Sandbox-Einschränkungen behoben.

CVE-2021-30968: Csaba Fitzl (@theevilbit) von Offensive Security

Sandbox

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Eine App kann möglicherweise auf Dateien eines Benutzers zugreifen.

Beschreibung: Ein Zugriffsproblem wurde durch zusätzliche Sandbox-Einschränkungen behoben.

CVE-2021-30947: Csaba Fitzl (@theevilbit) von Offensive Security

SQLite

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Eine bösartige Anwendung kann möglicherweise auf Daten von anderen Anwendungen zugreifen durch Aktivierung zusätzlicher Protokollierung

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-30944: Wojciech Reguła (@_r3ggi) von SecuRing

WebKit

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Problem mit einem Pufferüberlauf wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30934: Dani Biro

WebKit

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30936: Chijin Zhou von ShuiMuYuLin Ltd und Tsinghua wingtecher lab

CVE-2021-30951: Pangu via Tianfu Cup

WebKit

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Ganzzahlüberlauf wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2021-30952: @18f und @jq0904 von DBAPP Security‘s weibin lab via Tianfu Cup

WebKit

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Problem mit einer Race-Bedingung wurde durch eine verbesserte Statusverarbeitung behoben.

CVE-2021-30984: Kunlun Lab via Tianfu Cup

WebKit

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2021-30953: Jianjun Dai von 360 Vulnerability Research Institute via Tianfu Cup

WebKit

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Typenverwechslungsproblem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30954: Kunlun Lab via Tianfu Cup

Zusätzliche Danksagung

Bluetooth

Wir möchten uns bei Haram Park, Korea University, für die Unterstützung bedanken.

ColorSync

Wir möchten uns bei Mateusz Jurczyk von Google Project Zero für die Unterstützung bedanken.

Contacts

Wir möchten uns bei Minchan Park (03stin) für die Unterstützung bedanken.

Kernel

Wir möchten uns bei Amit Klein vom Center for Research in Applied Cryptography and Cyber Security der Bar-Ilan University für die Unterstützung bedanken.

WebKit

Wir möchten uns bei Peter Snyder von Brave und Soroush Karami für die Unterstützung bedanken.