Acerca del contenido de seguridad de tvOS 11.3

En este documento se describe el contenido de seguridad de tvOS 11.3.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.

Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple. Las comunicaciones con Apple se pueden cifrar mediante la clave PGP de seguridad de los productos Apple.

Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.

tvOS 11.3

CoreFoundation

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una aplicación podría obtener privilegios de alto nivel.

Descripción: se ha solucionado una condición de carrera mediante una validación adicional.

CVE-2018-4155: Samuel Groß (@5aelo)

CoreText

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: procesar una cadena creada con fines malintencionados podría originar la denegación del servicio

Descripción: se ha solucionado un problema de denegación de servicio mejorando la gestión de la memoria.

CVE-2018-4142: Robin Leroy de Google Switzerland GmbH

Eventos del sistema de archivos

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una aplicación podría obtener privilegios de alto nivel.

Descripción: se ha solucionado una condición de carrera mediante una validación adicional.

CVE-2018-4167: Samuel Groß (@5aelo)

Kernel

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una aplicación malintencionada podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

CVE-2018-4150: investigador anónimo

Kernel

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una aplicación podría leer la memoria restringida

Descripción: se ha solucionado un problema de validación mejorando el saneamiento de entrada.

CVE-2018-4104: Centro Nacional de Seguridad Cibernética (NCSC) del Reino Unido

Kernel

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2018-4143: derrek (@derrekr6)

Kernel

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una aplicación creada con fines malintencionados podría determinar el diseño de la memoria de kernel

Descripción: existía un problema de revelación de información en la transición del estado de programa. Se ha solucionado este problema mediante la mejora de la gestión del estado.

CVE-2018-4185: Brandon Azad

libxml2

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: el procesamiento de contenido web creado con fines malintencionados puede provocar un fallo inesperado en Safari

Descripción: se ha solucionado un problema de uso después de estar libre mejorando la gestión de la memoria.

CVE-2017-15412: Nick Wellnhofer

NSURLSession

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una aplicación podría obtener privilegios de alto nivel.

Descripción: se ha solucionado una condición de carrera mediante una validación adicional.

CVE-2018-4166: Samuel Groß (@5aelo)

Vista Rápida

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una aplicación podría obtener privilegios de alto nivel.

Descripción: se ha solucionado una condición de carrera mediante una validación adicional.

CVE-2018-4157: Samuel Groß (@5aelo)

Seguridad

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una aplicación maliciosa podría elevar los privilegios

Descripción: se ha solucionado un desbordamiento de búfer mejorando la validación del tamaño.

CVE-2018-4144: Abraham Masri (@cheesecakeufo)

Preferencias del Sistema

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: un perfil de configuración podría permanecer vigente de forma incorrecta tras su eliminación

Descripción: existía un problema en CFPreferences. Este problema se ha solucionado mediante la mejora de la limpieza de las preferencias.

CVE-2018-4115: Johann Thalakada, Vladimir Zubkov y Matt Vlasach de Wandera

WebKit

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una interacción inesperada con tipos de indexación que provoca un fallo ASSERT

Descripción: había un problema de indexación de matrices en la gestión de una función de JavaScriptCore. Este problema se ha solucionado mejorando las comprobaciones.

CVE-2018-4113: detectado por OSS-Fuzz

WebKit

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: procesar contenido web creado con fines malintencionados podría originar una denegación del servicio

Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.

CVE-2018-4146: detectado por OSS-Fuzz

WebKit

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución arbitraria de código.

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

CVE-2018-4101: Yuan Deng de Ant-financial Light-Year Security Lab

CVE-2018-4114: detectado por OSS-Fuzz

CVE-2018-4118: Jun Kokatsu (@shhnjk)

CVE-2018-4119: investigador anónimo en colaboración con Zero Day Initiative de Trend Micro

CVE-2018-4120: Hanming Zhang (@4shitak4) de Qihoo 360 Vulcan Team

CVE-2018-4121: natashenka de Google Project Zero

CVE-2018-4122: WanderingGlitch de Zero Day Initiative de Trend Micro

CVE-2018-4125: WanderingGlitch de Zero Day Initiative de Trend Micro

CVE-2018-4127: investigador anónimo en colaboración con Zero Day Initiative de Trend Micro

CVE-2018-4128: Zach Markley

CVE-2018-4129: likemeng de Baidu Security Lab en colaboración con Zero Day Initiative de Trend Micro

CVE-2018-4130: Omair en colaboración con Zero Day Initiative de Trend Micro

CVE-2018-4161: WanderingGlitch de Zero Day Initiative de Trend Micro

CVE-2018-4162: WanderingGlitch de Zero Day Initiative de Trend Micro

CVE-2018-4163: WanderingGlitch de Zero Day Initiative de Trend Micro

CVE-2018-4165: Hanming Zhang (@4shitak4) de Qihoo 360 Vulcan Team

WebKit

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una interacción inesperada provoca un fallo ASSERT

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2018-4207: detectado por OSS-Fuzz

WebKit

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una interacción inesperada provoca un fallo ASSERT

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2018-4208: detectado por OSS-Fuzz

WebKit

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una interacción inesperada provoca un fallo ASSERT

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2018-4209: detectado por OSS-Fuzz

WebKit

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una interacción inesperada con tipos de indexación provocaba un fallo

Descripción: había un problema de indexación de matrices en la gestión de una función de JavaScriptCore. Este problema se ha solucionado mejorando las comprobaciones.

CVE-2018-4210: detectado por OSS-Fuzz

WebKit

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una interacción inesperada provoca un fallo ASSERT

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2018-4212: detectado por OSS-Fuzz

WebKit

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: una interacción inesperada provoca un fallo ASSERT

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2018-4213: detectado por OSS-Fuzz

WebKit

Disponible para: Apple TV 4K y Apple TV (4.ª generación)

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución de código

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

CVE-2018-4145: detectado por OSS-Fuzz

Otros agradecimientos

Seguridad

Queremos agradecer a Abraham Masri (@cheesecakeufo) su ayuda.