Acerca del contenido de seguridad de tvOS 15.4

En este documento, se describe el contenido de seguridad de tvOS 15.4.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.

Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.

tvOS 15.4

Accelerate Framework

Disponible para Apple TV 4K y Apple TV HD

Impacto: Es posible que la apertura de un archivo PDF creado con fines malintencionados pueda ocasionar el cierre inesperado de una app o la ejecución de código arbitrario

Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.

CVE-2022-22633: ryuzaki

Accelerate Framework

Disponible para Apple TV 4K y Apple TV HD

Impacto: Es posible que la apertura de un archivo PDF creado con fines malintencionados pueda ocasionar el cierre inesperado de una app o la ejecución de código arbitrario

Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.

CVE-2022-22633: ryuzaki

AppleAVD

Disponible para Apple TV 4K y Apple TV HD

Impacto: El procesamiento de una imagen creada con fines malintencionados podía generar daños en la memoria del montón.

Descripción: Se mejoró la validación para solucionar un problema de daños en la memoria.

CVE-2022-22666: Marc Schoenefeld, Dr. rer. nat.

AVEVideoEncoder

Disponible para Apple TV 4K y Apple TV HD

Impacto: Es posible que una app malintencionada pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se mejoró la comprobación de límites para solucionar un problema de desbordamiento de búferes.

CVE-2022-22634: Un investigador anónimo

AVEVideoEncoder

Disponible para Apple TV 4K y Apple TV HD

Impacto: Es posible que una app pueda obtener privilegios elevados

Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.

CVE-2022-22635: Un investigador anónimo

AVEVideoEncoder

Disponible para Apple TV 4K y Apple TV HD

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.

CVE-2022-22636: Un investigador anónimo

ImageIO

Disponible para Apple TV 4K y Apple TV HD

Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2022-22611: Xingyu Jin de Google

ImageIO

Disponible para Apple TV 4K y Apple TV HD

Impacto: El procesamiento de una imagen creada con fines malintencionados podía generar daños en la memoria del montón.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2022-22612: Xingyu Jin de Google

IOGPUFamily

Disponible para Apple TV 4K y Apple TV HD

Impacto: Es posible que una app pueda obtener privilegios elevados

Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.

CVE-2022-22641: Mohamed Ghannam (@_simo36)

Kernel

Disponible para Apple TV 4K y Apple TV HD

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.

CVE-2022-22613: Alex, un investigador anónimo

Kernel

Disponible para Apple TV 4K y Apple TV HD

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.

CVE-2022-22614: Un investigador anónimo

CVE-2022-22615: Un investigador anónimo

Kernel

Disponible para Apple TV 4K y Apple TV HD

Impacto: Es posible que una app creada con fines malintencionados pueda elevar privilegios

Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.

CVE-2022-22632: Keegan Saunders

Kernel

Disponible para Apple TV 4K y Apple TV HD

Impacto: Es posible que un atacante con una posición de red privilegiada pueda ejecutar un ataque de denegación de servicio

Descripción: Se solucionó un problema de falta de referencia de puntero nulo mejorando la validación.

CVE-2022-22638: derrek (@derrekr6)

Kernel

Disponible para Apple TV 4K y Apple TV HD

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se solucionó un problema de daños en la memoria mejorando la validación.

CVE-2022-22640: sqrtpwn

LLVM

Disponible para Apple TV 4K y Apple TV HD

Impacto: es posible que una aplicación pueda eliminar archivos para los que no tiene permiso

Descripción: Se solucionó un problema de condición de carrera mediante validaciones adicionales.

CVE-2022-21658: Florian Weimer (@fweimer)

MediaRemote

Disponible para Apple TV 4K y Apple TV HD

Impacto: Una app creada con fines malintencionados podía identificar qué otras apps había instalado un usuario.

Descripción: Se solucionó un problema de acceso mejorando las restricciones de acceso.

CVE-2022-22670: Brandon Azad

Preferences

Disponible para Apple TV 4K y Apple TV HD

Impacto: Una app creada con fines malintencionados podía leer la configuración de otras apps.

Descripción: Se agregaron más comprobaciones de permisos para solucionar el problema.

CVE-2022-22609: Mickey Jin (@patch1t), Zhipeng Huo (@R3dF09) y Yuebin Sun (@yuebinsun2020) de Tencent Security Xuanwu Lab (xlab.tencent.com)

Sandbox

Disponible para Apple TV 4K y Apple TV HD

Impacto: Una app creada con fines malintencionados podía omitir ciertas preferencias de privacidad

Descripción: Se mejoró la lógica de permisos para solucionar el problema.

CVE-2022-22600: Sudhakar Muthumani (@sudhakarmuthu04) de Primefort Private Limited, Khiem Tran

UIKit

Disponible para Apple TV 4K y Apple TV HD

Impacto: Una persona con acceso físico a un dispositivo iOS podía ver información confidencial mediante las sugerencias del teclado.

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2022-22621: Joey Hewitt

WebKit

Disponible para Apple TV 4K y Apple TV HD

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda divulgar información confidencial del usuario

Descripción: Se solucionó un problema de administración de cookies mejorando la administración de estado.

CVE-2022-22662: Prakash (@1lastBr3ath) de ThreatNix

WebKit

Disponible para Apple TV 4K y Apple TV HD

Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código

Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.

CVE-2022-22610: Quan Yin de Bigo Technology Live Client Team

WebKit

Disponible para Apple TV 4K y Apple TV HD

Impacto: El procesamiento de contenido web creado con fines malintencionados podía provocar la ejecución de código arbitrario.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2022-22624: Kirin (@Pwnrin) de Tencent Security Xuanwu Lab

CVE-2022-22628: Kirin (@Pwnrin) de Tencent Security Xuanwu Lab

WebKit

Disponible para Apple TV 4K y Apple TV HD

Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.

CVE-2022-22629: Jeonghoon Shin de Theori en colaboración con la iniciativa Zero Day de Trend Micro

WebKit

Disponible para Apple TV 4K y Apple TV HD

Impacto: Un sitio web creado con fines malintencionados podía provocar un comportamiento inesperado de origen cruzado.

Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.

CVE-2022-22637: Tom McKee de Google

Otros agradecimientos

Bluetooth

Nos gustaría darle las gracias a un investigador anónimo por su ayuda.

Siri

Nos gustaría darle las gracias a un investigador anónimo por su ayuda

syslog

Nos gustaría darle las gracias a Yonghwi Jin (@jinmo123) de Theori por su ayuda.

UIKit

Nos gustaría darle las gracias a Tim Shadel de Day Logger, Inc. por su ayuda.

WebKit

Nos gustaría darle las gracias a Abdullah Md Shaleh por su ayuda.

WebKit Storage

Nos gustaría darle las gracias a Martin Bajanik de FingerprintJS por su ayuda.