Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, comunicará ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.
Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.
Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.
tvOS 16.4
Disponible el 27 de marzo de 2023
AppleMobileFileIntegrity
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: un usuario podría obtener acceso a partes protegidas del sistema de archivos.
Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.
CVE-2023-23527: Mickey Jin (@patch1t)
ColorSync
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría leer archivos arbitrarios.
Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.
CVE-2023-27955: JeongOhKyea
Entrada añadida el 8 de junio de 2023
Core Bluetooth
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: procesar un paquete de Bluetooth creado con fines malintencionados podría provocar la revelación de la memoria de procesos.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la comprobación de límites.
CVE-2023-23528: Jianjun Dai y Guang Gong del 360 Vulnerability Research Institute
CoreCapture
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2023-28181: Tingting Yin de la Universidad Tsinghua
FontParser
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: procesar una imagen creada con fines malintencionados podría provocar la revelación de la memoria de procesos.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2023-27956: Ye Zhang de Baidu Security
Foundation
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: analizar un archivo de tipos de letra creado con fines malintencionados provocaba el cierre inesperado de una aplicación o la ejecución de código arbitrario.
Descripción: se ha solucionado un desbordamiento de enteros mediante la mejora de la validación de las entradas.
CVE-2023-27937: investigador anónimo
Identity Services
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría ser capaz de acceder a la información sobre los contactos de un usuario.
Descripción: el problema se ha solucionado mediante la mejora de la eliminación de datos privados para las entradas de registro.
CVE-2023-27928: Csaba Fitzl (@theevilbit) de Offensive Security
ImageIO
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: procesar una imagen creada con fines malintencionados podría provocar la revelación de la memoria de procesos.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2023-23535: ryuzaki
ImageIO
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: procesar una imagen creada con fines malintencionados podría provocar la revelación de la memoria de procesos.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
CVE-2023-27929: Meysam Firouzi (@R00tkitSMM) de Mbition Mercedes-Benz Innovation Lab y jzhu en colaboración con la Trend Micro Zero Day Initiative
ImageIO
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: procesar una imagen podría provocar la revelación de la memoria de procesos.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
CVE-2023-42862: Meysam Firouzi @R00tkitSMM
CVE-2023-42865: jzhu en colaboración con Trend Micro Zero Day Initiative y Meysam Firouzi (@R00tkitSMM) de Mbition Mercedes-Benz Innovation Lab
Entrada añadida el 21 de diciembre de 2023
Kernel
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.
Descripción: el problema se ha solucionado mediante la mejora de la comprobación de límites.
CVE-2023-23536: Félix Poulin-Bélanger y David Pan Ogea
Entrada añadida el 8 de junio de 2023 y actualizada el 21 de diciembre de 2023
Kernel
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado un problema de uso después de estar libre mejorando la gestión de la memoria.
CVE-2023-27969: Adam Doupé de ASU SEFCOM
Kernel
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app con privilegios de raíz podría ser capaz de ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2023-27933: sqrtpwn
Kernel
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una aplicación puede provocar una denegación de servicio.
Descripción: se ha solucionado un desbordamiento de enteros mejorando la validación de las entradas.
CVE-2023-28185: Pan ZhenPeng de STAR Labs SG Pte. Ltd.
Entrada añadida el 21 de diciembre de 2023
Podcasts
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría acceder a datos confidenciales de los usuarios.
Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.
CVE-2023-27942: Mickey Jin (@patch1t)
Sandbox
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app creada podría evitar las preferencias de privacidad.
Descripción: se ha solucionado un problema de lógica mejorando la validación.
CVE-2023-28178: Yiğit Can YILMAZ (@yilmazcanyigit)
Entrada añadida el 8 de junio de 2023
Shortcuts
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: un acceso directo podría utilizar información confidencial mediante ciertas acciones sin preguntar al usuario.
Descripción: se ha solucionado el problema con comprobaciones de permisos adicionales.
CVE-2023-27963: Wenchao Li y Xiaolong Bai de Alibaba Group, y Jubaer Alnazi Jabin de TRS Group Of Companies
Entrada añadida el 8 de junio de 2023
TCC
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría acceder a datos confidenciales de los usuarios.
Descripción: el problema se ha solucionado eliminando el código vulnerable.
CVE-2023-27931: Mickey Jin (@patch1t)
WebKit
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: el procesamiento de contenido web creado con fines malintencionados podría omitir la política de mismo origen.
Descripción: este problema se ha solucionado con la mejora de la gestión del estado.
WebKit Bugzilla: 248615
CVE-2023-27932: investigador anónimo
WebKit
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: un sitio web puede rastrear información confidencial sobre los usuarios.
Descripción: se ha solucionado el problema eliminando la información del origen.
WebKit Bugzilla: 250837
CVE-2023-27954: investigador anónimo
WebKit Web Inspector
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: un atacante remoto podría ser capaz de provocar el cierre inesperado de una app o la ejecución de código arbitrario.
Descripción: este problema se ha solucionado con la mejora de la gestión del estado.
CVE-2023-28201: Dohyun Lee (@l33d0hyun) y crixer (@pwning_me) de SSD Labs
Entrada añadida el 8 de junio de 2023
Otros agradecimientos
CFNetwork
Queremos dar las gracias a un investigador anónimo por su ayuda.
CoreServices
Queremos dar las gracias a Mickey Jin (@patch1t) por su ayuda.
ImageIO
Queremos dar las gracias a Meysam Firouzi @R00tkitSMM por su ayuda.
WebKit
Queremos dar las gracias a un investigador anónimo por su ayuda.