Acerca del contenido de seguridad de tvOS 10.0.1

En este documento, se describe el contenido de seguridad de tvOS 10.0.1.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.

Para obtener más información acerca de la seguridad, consulta el sitio web Seguridad de los productos Apple. Puedes encriptar las comunicaciones con Apple mediante la clave PGP de seguridad de los productos de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

tvOS 10.0.1

AppleMobileFileIntegrity

Disponible para Apple TV (cuarta generación)

Impacto: Un ejecutable firmado podía sustituir código con la misma ID de equipo.

Descripción: Existía un problema de validación en el manejo de firmas de código. Este problema se solucionó mediante validaciones adicionales.

CVE-2016-7584: Mark Mentovai y Boris Vidolov de Google Inc.

Proxies de CFNetwork

Disponible para Apple TV (cuarta generación)

Impacto: Un atacante con una posición de red privilegiada podía divulgar información confidencial del usuario.

Descripción: Existía un problema de phishing en el manejo de las credenciales de proxy. Para solucionar este problema, se quitaron las autenticaciones de contraseña de proxy no solicitadas.

CVE-2016-7579: Jerry Decime

CoreGraphics

Disponible para Apple TV (cuarta generación)

Impacto: La visualización de un archivo JPEG creado con fines maliciosos podía ocasionar la ejecución de código arbitrario.

Descripción: Un problema de daños en la memoria se solucionó mejorando el manejo de la memoria.

CVE-2016-4673: Marco Grassi (@marcograss) de KeenLab (@keen_lab), Tencent

FontParser

Disponible para Apple TV (cuarta generación)

Impacto: Al analizar un tipo de letra creado con fines maliciosos, se podía divulgar información confidencial del usuario.

Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la comprobación de estos.

CVE-2016-4660: Ke Liu de Tencent's Xuanwu Lab

FontParser

Disponible para Apple TV (cuarta generación)

Impacto: El procesamiento de un archivo de tipo de letra creado con fines maliciosos podría ocasionar la ejecución de código arbitrario.

Descripción: Existía un desbordamiento del búfer en el manejo de los archivos de tipos de letra. Para solucionar este problema, se mejoró la comprobación de los límites.

CVE-2016-4688: Simon Huang de la compañía Alipay, thelongestusernameofall@gmail.com

Kernel

Disponible para Apple TV (cuarta generación)

Impacto: Una aplicación podía divulgar la memoria del kernel.

Descripción: Se solucionó un problema de validación mejorando el saneamiento de entrada.

CVE-2016-4680: Max Bazaliy de Lookout e in7egral

Kernel

Disponible para Apple TV (cuarta generación)

Impacto: Una aplicación local podía ejecutar código arbitrario con privilegios de usuario root.

Descripción: Existían varios problemas de duración de objetos al generar nuevos procesos. Para solucionar estos problemas, se mejoró la validación.

CVE-2016-7613: Ian Beer de Google Project Zero

libarchive

Disponible para Apple TV (cuarta generación)

Impacto: Un archivo creado con fines maliciosos podía sobrescribir archivos arbitrarios.

Descripción: Existía un problema en la lógica de validación de ruta para los vínculos simbólicos. Para solucionar este problema, se mejoró el saneamiento de la ruta.

CVE-2016-4679: Omer Medan de enSilo Ltd

libxpc

Disponible para Apple TV (cuarta generación)

Impacto: Una aplicación podía ejecutar código arbitrario con privilegios de usuario root.

Descripción: Un problema de lógica se solucionó mediante restricciones adicionales.

CVE-2016-4675: Ian Beer de Google Project Zero

Perfiles de zona protegida

Disponible para Apple TV (cuarta generación)

Impacto: Una aplicación podía recuperar metadatos de los directorios de fotos.

Descripción: Se solucionó un problema de acceso agregando restricciones adicionales de la zona protegida en las aplicaciones de proveedores independientes.

CVE-2016-4664: Razvan Deaconescu y Mihai Chiroiu (Universidad Politécnica de Bucarest), Luke Deshotels y William Enck (Universidad Estatal de Carolina del Norte), Lucas Vincenzo Davi y Ahmad-Reza Sadeghi (Universidad Técnica de Darmstadt)

Perfiles de zona protegida

Disponible para Apple TV (cuarta generación)

Impacto: Una aplicación podía recuperar metadatos de los directorios de grabaciones de audio.

Descripción: Se solucionó un problema de acceso agregando restricciones adicionales de la zona protegida en las aplicaciones de proveedores independientes.

CVE-2016-4665: Razvan Deaconescu y Mihai Chiroiu (Universidad Politécnica de Bucarest), Luke Deshotels y William Enck (Universidad Estatal de Carolina del Norte), Lucas Vincenzo Davi y Ahmad-Reza Sadeghi (Universidad Técnica de Darmstadt)

Inicio del sistema

Disponible para Apple TV (cuarta generación)

Impacto: Un usuario local podía provocar la finalización inesperada del sistema o la ejecución de código arbitrario en el kernel.

Descripción: Se presentaron varios problemas de validación de entrada en el código generado por MIG. Para solucionar estos problemas, se mejoró la validación.

CVE-2016-4669: Ian Beer de Google Project Zero

WebKit

Disponible para Apple TV (cuarta generación)

Impacto: El procesamiento de contenido web creado con fines maliciosos podía provocar la divulgación de información del usuario.

Descripción: Un problema de validación de entrada se solucionó mejorando la administración de estado.

CVE-2016-4613: Chris Palmer

WebKit

Disponible para Apple TV (cuarta generación)

Impacto: El procesamiento de contenido web creado con fines maliciosos podía ocasionar la ejecución de código arbitrario.

Descripción: Se solucionaron varios problemas de daños en la memoria mejorando el manejo de la memoria.

CVE-2016-4666: Apple

CVE-2016-4677: Un investigador anónimo en colaboración con la iniciativa Zero Day de Trend Micro

WebKit

Disponible para Apple TV (cuarta generación)

Impacto: El procesamiento de contenido web creado con fines maliciosos podía ocasionar la ejecución de código arbitrario.

Descripción: Se solucionaron varios problemas de daños en la memoria mejorando el manejo de la memoria.

CVE-2016-7578: Apple