Acerca del contenido de seguridad de tvOS 9.2.1

En este documento se describe el contenido de seguridad de tvOS 9.2.1.

Con el fin de proteger a nuestros clientes, Apple no revelará, comentará ni confirmará problemas de seguridad hasta que no se haya llevado a cabo una investigación exhaustiva y estén disponibles las correcciones o las versiones necesarias. Para obtener más información acerca de la seguridad de los productos de Apple, visita el sitio web sobre seguridad de los productos de Apple.

Para obtener información sobre la clave de seguridad PGP de los productos de Apple, consulta Cómo utilizar la clave PGP de seguridad de los productos de Apple.

Siempre que sea posible, se utilizan ID de CVE para hacer referencia a los puntos vulnerables a fin de obtener más información.

Para obtener más información acerca de otras actualizaciones de seguridad, consulta Versiones de seguridad de Apple.

tvOS 9.2.1

• CFNetwork Proxies

  CVE-2016-1801: Alex Chapman y Paul Stone de Context Information Security

  Impact: An attacker in a privileged network position may be able to leak sensitive user information

  Description: An information leak existed in the handling of HTTP and HTTPS requests. This issue was addressed through improved URL handling.

  CVE-ID

  CVE-2016-1801 : Alex Chapman and Paul Stone of Context Information Security

• CommonCrypto

  Disponible para: Apple TV (4.ª generación)

  Acción: una aplicación maliciosa puede ser capaz de filtrar información confidencial del usuario

  Descripción: existía un problema en el manejo de los valores de retorno en CCCrypt. Este problema se ha solucionado mejorando la gestión de longitud de claves.

  ID de CVE

  CVE-2016-1802: Klaus Rodewig

• CoreCapture

  CVE-2016-1803: Ian Beer de Google Project Zero, en colaboración con Zero Day Initiative de Trend Micro

  Impact: An application may be able to execute arbitrary code with kernel privileges

  Description: A null pointer dereference was addressed through improved validation.

  CVE-ID

  CVE-2016-1803 : Ian Beer of Google Project Zero, daybreaker working with Trend Micro’s Zero Day Initiative

• Disk Images

  CVE-2016-1807: Ian Beer de Google Project Zero

  Impact: An application may be able to read kernel memory

  Description: A race condition was addressed through improved locking.

  CVE-ID

  CVE-2016-1807 : Ian Beer of Google Project Zero

• Disk Images

  CVE-2016-1808: Moony Li (@Flyic) y Jack Tang (@jacktang310) de Trend Micro

  Impact: An application may be able to execute arbitrary code with kernel privileges

  Description: A memory corruption issue existed in the parsing of disk images. This issue was addressed through improved memory handling.

  CVE-ID

  CVE-2016-1808 : Moony Li (@Flyic) and Jack Tang (@jacktang310) of Trend Micro

• ImageIO

  CVE-2016-1811: Lander Brandt (@landaire)

  Impact: Processing a maliciously crafted image may lead to a denial of service

  Description: A null pointer dereference was addressed through improved validation.

  CVE-ID

  CVE-2016-1811 : Lander Brandt (@landaire)

• IOAcceleratorFamily

  Disponible para: Apple TV (4.ª generación)

  Acción: una aplicación podría ejecutar código arbitrario con privilegios de kernel

  Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

  ID de CVE

  CVE-2016-1817: Moony Li (@Flyic) y Jack Tang (@jacktang310) de Trend Micro en colaboración con la Zero Day Initiative de Trend Micro

  CVE-2016-1818: Juwei Lin de TrendMicro, sweetchip@GRAYHASH en colaboración con la Zero Day Initiative de Trend Micro

• IOAcceleratorFamily

  CVE-2016-1814: Juwei Lin de TrendMicro

  Impact: An application may be able to cause a denial of service

  Description: A null pointer dereference was addressed through improved locking.

  CVE-ID

  CVE-2016-1814 : Juwei Lin of TrendMicro

• IOAcceleratorFamily

  CVE-2016-1819: Ian Beer de Google Project Zero

  Impact: An application may be able to execute arbitrary code with kernel privileges

  Description: A memory corruption vulnerability was addressed through improved locking.

  CVE-ID

  CVE-2016-1819 : Ian Beer of Google Project Zero

• IOAcceleratorFamily

  CVE-2016-1813: Ian Beer de Google Project Zero

  Impact: An application may be able to execute arbitrary code with kernel privileges

  Description: A null pointer dereference was addressed through improved validation.

  CVE-ID

  CVE-2016-1813 : Ian Beer of Google Project Zero

• IOHIDFamily

  Disponible para: Apple TV (4.ª generación)

  Acción: una aplicación podría ejecutar código arbitrario con privilegios de kernel

  Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

  ID de CVE

  CVE-2016-1823: Ian Beer de Google Project Zero

  CVE-2016-1824: Marco Grassi (@marcograss) de KeenLab (@keen_lab), Tencent

  CVE-2016-4650: Peter Pi de Trend Micro en colaboración con la Zero Day Initiative de HP

• Kernel

  Disponible para: Apple TV (4.ª generación)

  Acción: una aplicación podría ejecutar código arbitrario con privilegios de kernel

  Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

  ID de CVE

  CVE-2016-1827: Brandon Azad

  CVE-2016-1828: Brandon Azad

  CVE-2016-1829: CESG

  CVE-2016-1830: Brandon Azad

• libc

  Disponible para: Apple TV (4.ª generación)

  Acción: una aplicación podría ser capaz de provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario

  Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.

  ID de CVE

  CVE-2016-1832: Karl Williamson

• libxml2

  Disponible para: Apple TV (4.ª generación)

  Acción: procesar un XML creado con fines malintencionados podría provocar la finalización inesperada de la aplicación o la ejecución de código arbitrario

  Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

  ID de CVE

  CVE-2016-1833: Mateusz Jurczyk

  CVE-2016-1834: Apple

  CVE-2016-1836: Wei Lei y Liu Yang de la Universidad Tecnológica de Nanyang

  CVE-2016-1837: Wei Lei y Liu Yang de la Universidad Tecnológica de Nanyang

  CVE-2016-1838: Mateusz Jurczyk

  CVE-2016-1839: Mateusz Jurczyk

  CVE-2016-1840: Kostya Serebryany

• libxslt

  Disponible para: Apple TV (4.ª generación)

  Acción: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución de código arbitrario

  Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

  ID de CVE

  CVE-2016-1841: Sebastian Apelt

• OpenGL

  CVE-2016-1847: Tongbo Luo y Bo Qu de Palo Alto Networks

  Impact: Processing maliciously crafted web content may lead to arbitrary code execution

  Description: Multiple memory corruption issues were addressed through improved memory handling.

  CVE-ID

  CVE-2016-1847 : Tongbo Luo and Bo Qu of Palo Alto Networks

• WebKit

  Disponible para: Apple TV (4.ª generación)

  Acción: el procesamiento de contenido web creado con fines malintencionados puede revelar datos de otro sitio web

  Descripción: se ha solucionado un problema de insuficiencia en seguimiento de la corrupción en el análisis de imágenes svg mediante la mejora del seguimiento de la corrupción.

  ID de CVE

  CVE-2016-1858: un investigador anónimo

• WebKit

  Disponible para: Apple TV (4.ª generación)

  Acción: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución de código arbitrario

  Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

  ID de CVE

  CVE-2016-1854: anónimo en colaboración con la Zero Day Initiative de Trend Micro

  CVE-2016-1855: Tongbo Luo y Bo Qu de Palo Alto Networks

  CVE-2016-1856: lokihardt en colaboración con la Zero Day Initiative de Trend Micro

  CVE-2016-1857: Jeonghoon Shin@A.D.D, Liang Chen, Zhen Feng, wushi de KeenLab, Tencent en colaboración con la Zero Day Initiative de Trend Micro

• WebKit Canvas

  CVE-2016-1859: Liang Chen, wushi de KeenLab, Tencent en colaboración con Zero Day Initiative de Trend Micro

  Impact: Processing maliciously crafted web content may lead to arbitrary code execution

  Description: Multiple memory corruption issues were addressed through improved memory handling.

  CVE-ID

  CVE-2016-1859 : Liang Chen, wushi of KeenLab, Tencent working with Trend Micro's Zero Day Initiative