Acerca del contenido de seguridad de tvOS 16.1

En este documento se describe el contenido de seguridad de tvOS 16.1.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.

Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.

Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.

tvOS 16.1

AppleMobileFileIntegrity

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: una app malintencionada podría modificar las partes protegidas del sistema de archivos.

Descripción: este problema se ha solucionado eliminando las certificaciones adicionales.

CVE-2022-42825: Mickey Jin (@patch1t)

Audio

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: analizar un archivo de audio creado con fines malintencionados podría provocar la revelación de información del usuario

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.

CVE-2022-42798: anónimo en colaboración con Zero Day Initiative de Trend Micro

AVEVideoEncoder

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.

Descripción: el problema se ha solucionado mediante la mejora de la comprobación de límites.

CVE-2022-32940: ABC Research s.r.o.

CFNetwork

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: procesar un certificado creado con fines malintencionados podría provocar la ejecución de código arbitrario.

Descripción: existía un problema de validación de certificados en la gestión de WKWebView. Este problema se ha solucionado mejorando la validación.

CVE-2022-42813: Jonathan Zhang de Open Computing Facility (ocf.berkeley.edu)

Kernel

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: una app podría hacer que el sistema terminara de forma inesperada o que llegara a ejecutar código con privilegios de kernel.

Descripción: se ha solucionado un problema de uso después de estar libre mejorando la gestión de la memoria.

CVE-2022-46712: Tommy Muir (@Muirey03)

Kernel

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.

CVE-2022-32924: Ian Beer de Google Project Zero

Kernel

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: un usuario remoto podría causar la ejecución de código del núcleo.

Descripción: se ha solucionado un problema de escritura fuera de los límites mejorando la comprobación de límites.

CVE-2022-42808: Zweig de Kunlun Lab

Kernel

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado un problema de corrupción de memoria mejorando la gestión del estado.

CVE-2022-32944: Tim Michaud (@TimGMichaud) de Moveworks.ai

Kernel

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel

Descripción: se ha solucionado una condición de carrera con una mejora del bloqueo.

CVE-2022-42803: Xinru Chi de Pangu Lab y John Aakerblom (@jaakerblom)

Kernel

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: una app con privilegios de raíz podría ejecutar código arbitrario con privilegios de kernel.

Descripción: el problema se ha solucionado mediante la mejora de la comprobación de límites.

CVE-2022-32926: Tim Michaud (@TimGMichaud) de Moveworks.ai

Kernel

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel

Descripción: se ha solucionado un problema de lógica mejorando las comprobaciones.

CVE-2022-42801: Ian Beer de Google Project Zero

Model I/O

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: procesar un archivo USD creado con fines malintencionados podría difundir contenido de la memoria.

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.

CVE-2022-42810: Xingwei Lin (@xwlin_roy) y Yinyi Wu de Ant Security Light-Year Lab

Sandbox

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: una app podría acceder a datos confidenciales de los usuarios.

Descripción: se ha solucionado un problema de acceso con restricciones de zona protegida adicionales.

CVE-2022-42811: Justin Bui (@slyd0g) de Snowflake

WebKit

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: visitar un sitio web creado con fines malintencionados podría provocar la suplantación de la interfaz del usuario.

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la interfaz de usuario.

CVE-2022-42799: Jihwan Kim (@gPayl0ad) y Dohyun Lee (@l33d0hyun)

WebKit

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución arbitraria de código.

Descripción: se ha solucionado un problema de confusión de tipo mejorando la gestión de la memoria.

CVE-2022-42823: Dohyun Lee (@l33d0hyun) de SSD Labs

WebKit

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: el procesamiento de contenido web creado con fines malintencionados podría revelar información confidencial del usuario.

Descripción: se ha solucionado un problema de lógica con la mejora de la gestión del estado.

CVE-2022-42824: Abdulrahman Alqabandi de Microsoft Browser Vulnerability Research, Ryan Shin de IAAI SecLab en la Korea University y Dohyun Lee (@l33d0hyun) de DNSLab en la Korea University

WebKit

Disponible para: Apple TV 4K, Apple TV 4K (2.ª generación) y Apple TV HD

Impacto: el procesamiento de contenido web creado con fines malintencionados puede revelar el estado interno de la app.

Descripción: se ha solucionado un problema de corrección en el JIT con una mejora de las comprobaciones.

CVE-2022-32923: Wonyoung Jung (@nonetype_pwn) de KAIST Hacking Lab

Otros agradecimientos

iCloud

Queremos dar las gracias a Tim Michaud (@TimGMichaud) de Moveworks.ai por su ayuda.

Kernel

Queremos dar las gracias a Peter Nguyen de STAR Labs, Tim Michaud (@TimGMichaud) de Moveworks.ai y Tommy Muir (@Muirey03) por su ayuda.

WebKit

Queremos dar las gracias a Maddie Stone de Google Project Zero y Narendra Bhati (@imnarendrabhati) de Suma Soft Pvt. Ltd., un investigador anónimo, por su ayuda.