Informationen zum Sicherheitsinhalt von tvOS 15.1

In diesem Dokument wird der Sicherheitsinhalt von tvOS 15.1 beschrieben.

Informationen zu Apple-Sicherheitsupdates

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, besprochen und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen findest du auf der Seite Apple-Sicherheitsupdates.

Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.

Weitere Informationen zur Sicherheit findest du auf der Seite zur Apple-Produktsicherheit.

tvOS 15.1

Audio

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein Schadprogramm kann unter Umständen Rechte erhöhen.

Beschreibung: Ein Ganzzahlüberlauf wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2021-30907: Zweig von Kunlun Lab

ColorSync

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Bilddatei kann zur Ausführung willkürlichen Codes führen.

Beschreibung: Bei der Verarbeitung von ICC-Profilen kam es zu einem Speicherfehler. Dieses Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2021-30917: Alexandru-Vlad Niculae und Mateusz Jurczyk von Google Project Zero

Continuity Camera

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein lokaler Angreifer kann einen unerwarteten Programmabbruch oder die Ausführung willkürlichen Codes verursachen

Beschreibung: Ein Problem mit einem unkontrollierten Formatstring wurde mit verbesserter Eingabeüberprüfung behoben.

CVE-2021-30903: Gongyu Ma von Hangzhou Dianzi University

CoreAudio

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Durch die Verarbeitung einer in böser Absicht erstellten Datei können möglicherweise Benutzerinformationen offengelegt werden

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2021-30905: Mickey Jin (@patch1t) von Trend Micro

CoreGraphics

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten PDF-Datei kann zur Ausführung willkürlichen Codes führen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs geschrieben werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2021-30919

FileProvider

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein in böswilliger Absicht erstelltes Programm kann die Datenschutzeinstellungen umgehen.

Beschreibung: Ein Berechtigungsproblem wurde durch eine verbesserte Überprüfung behoben.

CVE-2021-31007: Csaba Fitzl (@theevilbit) von Offensive Security

FileProvider

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Das Entpacken eines in böser Absicht erstellten Archivs kann zur Ausführung willkürlichen Codes führen

Beschreibung: Ein Problem bei der Eingabeüberprüfung wurde durch eine verbesserte Arbeitsspeicherverwaltung behoben.

CVE-2021-30881: Simon Huang (@HuangShaomang) und pjf vom IceSword Lab von Qihoo 360

Game Center

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein Schadprogramm kann unter Umständen auf Informationen über die Kontakte eines:einer Benutzer:in zugreifen.

Beschreibung: Ein Logikproblem wurde durch verbesserte Einschränkungen behoben.

CVE-2021-30895: Denis Tokarev (@illusionofcha0s)

Game Center

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein Schadprogramm könnte auf Spieldaten eines Benutzers zugreifen.

Beschreibung: Ein Logikproblem wurde durch verbesserte Einschränkungen behoben.

CVE-2021-30896: Denis Tokarev (@illusionofcha0s)

iCloud

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein lokaler Angreifer kann möglicherweise seine Berechtigungen erhöhen.

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

CVE-2021-30906: Cees Elzinga

Image Processing

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2021-30894: Pan ZhenPeng (@Peterpan0927) von Alibaba Security Pandora Lab

IOMobileFrameBuffer

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen. Apple ist bekannt, dass ein Bericht vorliegt, wonach dieses Problem eventuell aktiv ausgenutzt wurde.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30883: Ein anonymer Forscher

Kernel

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein entfernter Angreifer kann einen unerwarteten Neustart eines Geräts verursachen.

Beschreibung: Ein Denial-of-Service-Problem wurde durch eine verbesserte Statusverarbeitung behoben.

CVE-2021-30924: Elaman Iskakov (@darling_x0r) von Effective und Alexey Katkov (@watman27)

Kernel

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30886: @0xalsr

Kernel

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30909: Zweig von Kunlun Lab

Model I/O

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Durch die Verarbeitung einer in böser Absicht erstellten Datei können möglicherweise Benutzerinformationen offengelegt werden

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2021-30910: Mickey Jin (@patch1t) von Trend Micro

UIKit

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Eine Person mit physischem Zugang zu einem Gerät kann in einem sicheren Texteingabefeld die Eigenschaften eines Benutzerpassworts ermitteln.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-30915: Kostas Angelopoulos

WebKit

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von Code führen.

Beschreibung: Ein Typenverwechslungsproblem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-31008

WebKit

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur unerwarteten Aushebelung der Inhaltssicherheitsrichtlinie führen

Beschreibung: Ein Logikproblem wurde durch verbesserte Einschränkungen behoben.

CVE-2021-30887: Narendra Bhati (@imnarendrabhati) von Suma Soft Pvt. Ltd.

WebKit

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Eine in böser Absicht erstellte Website, die CSP-Berichte nutzt, kann unter Umständen imstande sein, Informationen durch Weiterleiten offenzulegen.

Beschreibung: Ein zu ungewollter Informationsoffenlegung führendes Problem wurde behoben.

CVE-2021-30888: Prakash (@1lastBr3ath)

WebKit

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Problem mit einem Pufferüberlauf wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30889: Chijin Zhou von ShuiMuYuLin Ltd und Tsinghua wingtecher lab

WebKit

Verfügbar für: Apple TV 4K und Apple TV HD

Auswirkung: Die Verarbeitung von in böswilliger Absicht erstellten Webinhalten kann zu universellem Cross-Site-Scripting führen

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-30890: Ein anonymer Forscher

Zusätzliche Danksagung

iCloud

Wir möchten uns bei Ryan Pickren (ryanpickren.com) für die Unterstützung bedanken.

Mail

Wir möchten uns bei Fabian Ising und Damian Poddebniak von der Universität Münster für angewandte Wissenschaft für die Unterstützung bedanken.

WebKit

Wir möchten uns bei Ivan Fratric von Google Project Zero, Pavel Gromadchuk und einem anonymen Forscher für die Unterstützung bedanken.