Informationen zum Sicherheitsinhalt von tvOS 16.5

In diesem Dokument wird der Sicherheitsinhalt von tvOS 16.5 beschrieben.

Informationen zu Apple-Sicherheitsupdates

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, besprochen und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen findest du auf der Seite Apple-Sicherheitsupdates.

Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.

Weitere Informationen zur Sicherheit findest du auf der Seite Sicherheits- oder Datenschutzschwachstelle melden.

tvOS 16.5

Accessibility

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Berechtigungen und Datenschutz-Zugriffsrechte, die dieser App gewährt werden, können von einer schädlichen App verwendet werden.

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

CVE-2023-32400: Mickey Jin (@patch1t)

Accounts

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Ein Angreifer kann E-Mails von Benutzeraccounts offenlegen

Beschreibung: Ein Berechtigungsproblem wurde durch eine verbesserte Unkenntlichmachung vertraulicher Informationen behoben.

CVE-2023-34352: Sergii Kryvoblotskyi von MacPaw Inc.

AppleMobileFileIntegrity

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Die Privatsphäre-Einstellungen können von einer App möglicherweise umgangen werden.

Beschreibung: Dieses Problem wurde durch verbesserte Berechtigungen behoben.

CVE-2023-32411: Mickey Jin (@patch1t)

Core Location

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann ggf. vertrauliche Standortdaten lesen.

Beschreibung: Das Problem wurde durch eine verbesserte Verarbeitung der Caches behoben.

CVE-2023-32399: Adam M.

CoreServices

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Die Privatsphäre-Einstellungen können von einer App möglicherweise umgangen werden.

Beschreibung: Dieses Problem wurde durch eine verbesserte Unkenntlichmachung der vertraulichen Informationen behoben.

CVE-2023-28191: Mickey Jin (@patch1t)

GeoServices

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann ggf. vertrauliche Standortdaten lesen.

Beschreibung: Ein Datenschutzproblem wurde durch eine verbesserte Unkenntlichmachung privater Daten in Protokolleinträgen behoben.

CVE-2023-32392: Adam M.

ImageIO

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Die Verarbeitung einer Bilddatei kann zur Offenlegung des Prozessspeichers führen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2023-32372: Meysam Firouzi @R00tkitSMM vom Mbition Mercedes-Benz Innovation Lab in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

ImageIO

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Die Verarbeitung einer Bilddatei kann zur willkürlichen Ausführung von Code führen.

Beschreibung: Ein Problem mit einem Pufferüberlauf wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2023-32384: Meysam Firouzi @R00tkitsmm in Zusammenarbeit mit Trend Micro Zero Day Initiative

IOSurfaceAccelerator

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Der Kernel-Speicher kann von einer App offengelegt werden.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2023-32354: Linus Henze von der Pinauten GmbH (pinauten.de)

IOSurfaceAccelerator

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann einen unerwarteten Systemabbruch verursachen oder den Kernel-Speicher lesen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2023-32420: CertiK SkyFall Team und Linus Henze von Pinauten GmbH (pinauten.de)

Kernel

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Typenverwechslungsproblem wurde durch verbesserte Prüfungen behoben.

CVE-2023-27930: 08Tc3wBB von Jamf

Kernel

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2023-32398: Adam Doupé von ASU SEFCOM

Kernel

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann Root-Rechte erlangen.

Beschreibung: Ein Problem mit einer Race-Bedingung wurde durch eine verbesserte Statusverarbeitung behoben.

CVE-2023-32413: Eloi Benoist-Vanderbeken (@elvanderb) von Synacktiv (@Synacktiv) in Zusammenarbeit mit Trend Micro Zero Day Initiative

LaunchServices

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann Gatekeeper-Überprüfungen umgehen.

Beschreibung: Ein Logikproblem wurde durch verbesserte Prüfungen behoben.

CVE-2023-32352: Wojciech Reguła (@_r3ggi) von SecuRing (wojciechregula.blog)

MallocStackLogging

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann möglicherweise Root-Rechte erlangen.

Beschreibung: Dieses Problem wurde durch eine verbesserte Dateiverarbeitung behoben.

CVE-2023-32428: Gergely Kalman (@gergely_kalman)

Metal

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Die Privatsphäre-Einstellungen können von einer App möglicherweise umgangen werden.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2023-32407: Gergely Kalman (@gergely_kalman)

Model I/O

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Die Verarbeitung eines 3D-Modells kann zur Offenlegung des Prozessspeichers führen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2023-32368: Mickey Jin (@patch1t)

NetworkExtension

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann vertrauliche Standortdaten lesen.

Beschreibung: Dieses Problem wurde durch eine verbesserte Weitergabe sensibler Daten behoben.

CVE-2023-32403: Adam M.

NSURLSession

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann möglicherweise die Sandbox umgehen.

Beschreibung: Dieses Problem wurde durch Verbesserungen am Protokoll zur Dateiverwaltung behoben.

CVE-2023-32437: Thijs Alkemade von Computest Sector 7

Photos

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Fotos im Album „Ausgeblendete Fotos“ konnten ohne Autorisierung über die visuelle Suche betrachtet werden.

Beschreibung: Das Problem wurde durch verbesserte Prüfungen behoben.

CVE-2023-32390: Julian Szulc

Sandbox

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann weiterhin auf Systemkonfigurationsdateien zugreifen, auch nachdem die Zugriffsrechte entzogen wurden.

Beschreibung: Ein Autorisierungsproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2023-32357: Yiğit Can YILMAZ (@yilmazcanyigit), Koh M. Nakagawa von FFRI Security, Inc., Kirin (@Pwnrin), Jeff Johnson (underpassapp.com) und Csaba Fitzl (@theevilbit) von Offensive Security

Share Sheet

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann möglicherweise auf vertrauliche Benutzerdaten zugreifen.

Beschreibung: Ein Datenschutzproblem wurde durch eine verbesserte Verarbeitung von temporären Dateien behoben.

CVE-2023-32432: Kirin (@Pwnrin)

Shortcuts

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Ein Kurzbefehl kann bei bestimmten Aktionen möglicherweise vertrauliche Daten verwenden, ohne dass der Benutzer eine Aufforderung erhält.

Beschreibung: Das Problem wurde durch verbesserte Prüfungen behoben.

CVE-2023-32391: Wenchao Li und Xiaolong Bai von der Alibaba Group

Shortcuts

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Die Privatsphäre-Einstellungen können von einer App möglicherweise umgangen werden.

Beschreibung: Dieses Problem wurde durch verbesserte Berechtigungen behoben.

CVE-2023-32404: Zhipeng Huo (@R3dF09) von Tencent Security Xuanwu Lab (xlab.tencent.com), Mickey Jin (@patch1t) und ein anonymer Forscher

Siri

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine Person mit physischem Zugang zu einem Gerät kann Kontaktinformationen auf dem Sperrbildschirm sehen.

Beschreibung: Das Problem wurde durch verbesserte Prüfungen behoben.

CVE-2023-32394: Khiem Tran

SQLite

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Die Privatsphäre-Einstellungen können von einer App möglicherweise umgangen werden.

Beschreibung: Das Problem wurde durch das Hinzufügen zusätzlicher Einschränkungen bei der SQLite-Protokollierung behoben.

CVE-2023-32422: Gergely Kalman (@gergely_kalman) und Wojciech Reguła von SecuRing (wojciechregula.blog)

StorageKit

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann geschützte Bereiche des Dateisystems ändern.

Beschreibung: Dieses Problem wurde durch verbesserte Berechtigungen behoben.

CVE-2023-32376: Yiğit Can YILMAZ (@yilmazcanyigit)

System Settings

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App-Firewalleinstellung kann unwirksam sein, nachdem die Einstellungs-App beendet wurde.

Beschreibung: Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2023-28202: Satish Panduranga und ein anonymer Forscher

Telephony

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Entfernte Angreifer können eine App unerwartet beenden oder willkürlichen Code ausführen.

Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2023-32412: Ivan Fratric von Google Project Zero

TV App

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann ggf. vertrauliche Standortdaten lesen.

Beschreibung: Das Problem wurde durch eine verbesserte Verarbeitung der Caches behoben.

CVE-2023-32408: Adam M.

Weather

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Eine App kann vertrauliche Standortdaten lesen.

Beschreibung: Dieses Problem wurde durch eine verbesserte Weitergabe sensibler Daten behoben.

CVE-2023-32415: Wojciech Regula von SecuRing (wojciechregula.blog) und Adam M.

WebKit

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Bei der Verarbeitung von Webinhalten können vertrauliche Informationen offengelegt werden.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

WebKit Bugzilla: 255075

CVE-2023-32402: Ignacio Sanmillan (@ulexec)

WebKit

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Bei der Verarbeitung von Webinhalten können vertrauliche Informationen offengelegt werden.

Beschreibung: Ein Problem mit einem Pufferüberlauf wurde durch eine verbesserte Speicherverwaltung behoben.

WebKit Bugzilla: 254781

CVE-2023-32423: Ignacio Sanmillan (@ulexec)

WebKit

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Ein entfernter Angreifer kann die Sandbox für Webinhalte umgehen. Apple ist bekannt, dass ein Bericht vorliegt, wonach dieses Problem eventuell aktiv ausgenutzt wurde.

Beschreibung: Das Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

WebKit Bugzilla: 255350

CVE-2023-32409: Clément Lecigne von der Threat Analysis Group von Google und Donncha Ó Cearbhaill vom Security Lab von Amnesty International

WebKit

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Bei der Verarbeitung von Webinhalten können vertrauliche Informationen offengelegt werden. Apple ist bekannt, dass ein Bericht vorliegt, wonach dieses Problem eventuell aktiv ausgenutzt wurde.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

WebKit Bugzilla: 254930

CVE-2023-28204: Ein anonymer Forscher

WebKit

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung eines willkürlichen Codes führen. Apple ist bekannt, dass ein Bericht vorliegt, wonach dieses Problem eventuell aktiv ausgenutzt wurde.

Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.

WebKit Bugzilla: 254840

CVE-2023-32373: Ein anonymer Forscher

Wi-Fi

Verfügbar für: Apple TV 4K (alle Modelle) und Apple TV HD

Auswirkung: Der Kernel-Speicher kann von einer App offengelegt werden.

Beschreibung: Dieses Problem wurde durch eine verbesserte Unkenntlichmachung der vertraulichen Informationen behoben.

CVE-2023-32389: Pan ZhenPeng (@Peterpan0927) von STAR Labs SG Pte. Ltd.

Zusätzliche Danksagung

Accounts

Wir möchten und bei Sergii Kryvoblotskyi von MacPaw Inc. für die Unterstützung bedanken.

CFNetwork

Wir möchten uns bei Gabriel Geraldino de Souza für die Unterstützung bedanken.

CloudKit

Wir möchten uns bei Iconic für die Unterstützung bedanken.

libxml2

Wir möchten uns bei OSS-Fuzz und Ned Williamson von Google Project Zero für die Unterstützung bedanken.

Reminders

Wir möchten uns bei Kirin (@Pwnrin) für die Unterstützung bedanken.

Security

Wir möchten uns bei Brandon Toms für die Unterstützung bedanken.

Share Sheet

Wir möchten uns bei Kirin (@Pwnrin) für die Unterstützung bedanken.

Wallet

Wir möchten uns bei James Duffy (mangoSecure) für die Unterstützung bedanken.

Wi-Fi

Wir möchten uns für die Unterstützung bei Adam M bedanken.