Acerca del contenido de seguridad de tvOS 11.4

En este documento, se describe el contenido de seguridad de tvOS 11.4.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple

Para obtener más información sobre seguridad, consulta la página de seguridad de los productos Apple. Puedes encriptar las comunicaciones con Apple mediante la clave PGP de seguridad de los productos Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

tvOS 11.4

Bluetooth

Disponible para Apple TV 4K

Impacto: es posible que un atacante con una posición de red privilegiada pueda interceptar el tráfico de Bluetooth

Descripción: existía un problema de validación de entradas en Bluetooth. Para solucionar este problema, se mejoró la validación de entradas.

CVE-2018-5383: Lior Neumann y Eli Biham

Crash Reporter

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: es posible que una app pueda obtener privilegios elevados

Descripción: se solucionó un problema de daños en la memoria con una mejora en el manejo de errores.

CVE-2018-4206: Ian Beer de Google Project Zero

FontParser

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: es posible que el procesamiento de un archivo de tipo de letra creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario

Descripción: se mejoró la validación para solucionar un problema de daños en la memoria.

CVE-2018-4211: Proteas de Qihoo 360 Nirvan Team

Kernel

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: se mejoró el manejo de la memoria para solucionar un problema que hacía que se dañara.

CVE-2018-4249: Kevin Backhouse de Semmle Ltd.

Kernel

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: se mejoró la comprobación de límites para solucionar un problema de desbordamiento de búferes.

CVE-2018-4241: Ian Beer de Google Project Zero

CVE-2018-4243: Ian Beer de Google Project Zero

libxpc

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: es posible que una app pueda obtener privilegios elevados

Descripción: se mejoró la validación para solucionar un problema de lógica.

CVE-2018-4237: Samuel Groß (@5aelo) en colaboración con la iniciativa Zero Day de Trend Micro

libxpc

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: es posible que una app pueda ejecutar código arbitrario con privilegios del sistema

Descripción: se mejoró el manejo de la memoria para solucionar un problema que hacía que se dañara.

CVE-2018-4404: Samuel Groß (@5aelo) en colaboración con la iniciativa Zero Day de Trend Micro

LinkPresentation

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: el procesamiento de un mensaje de texto creado con fines malintencionados podía provocar una suplantación en la interfaz del usuario

Descripción: existía un problema de suplantación en el manejo de direcciones URL. Para solucionar este problema, se mejoró la validación de entradas.

CVE-2018-4187: Roman Mueller (@faker_), Zhiyang Zeng (@Wester) de Tencent Security Platform Department

Messages

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: un usuario local podía ejecutar ataques de falsificación de identidad

Descripción: se solucionó un problema de inyección mejorando la validación de entradas.

CVE-2018-4235: Anurodh Pokharel de Salesforce.com

Messages

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: es posible que el procesamiento de un mensaje creado con fines malintencionados pueda provocar una denegación de servicio

Descripción: este problema se solucionó mejorando la validación de mensajes.

CVE-2018-4240: Sriram (@Sri_Hxor) de Primefort Pvt. Ltd.

Security

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: un usuario local podía leer un identificador persistente de dispositivos

Descripción: se mejoró la administración de estados para solucionar un problema de autorización.

CVE-2018-4224: Abraham Masri (@cheesecakeufo)

Security

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: es posible que un usuario local pueda leer un identificador persistente de cuentas

Descripción: se mejoró la administración de estados para solucionar un problema de autorización.

CVE-2018-4223: Abraham Masri (@cheesecakeufo)

UIKit

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: el procesamiento de un archivo de texto creado con fines malintencionados podía provocar una denegación de servicio

Descripción: existía un problema de validación en el manejo de texto. Este problema se solucionó mejorando la validación de texto.

CVE-2018-4198: Hunter Byrnes

WebKit

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: la visita a un sitio web creado con fines malintencionados podía provocar la sobreescritura de cookies

Descripción: existía un problema de permisos en el manejo de cookies del navegador web. Este problema se solucionó mejorando las restricciones.

CVE-2018-4232: Un investigador anónimo; Aymeric Chaib

WebKit

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: el procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario

Descripción: para solucionar un problema de condición de carrera, se mejoró el bloqueo.

CVE-2018-4192: Markus Gaasedelen, Amy Burnett y Patrick Biernat de Ret2 Systems, Inc. en colaboración con la iniciativa Zero Day de Trend Micro

WebKit

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: el procesamiento de contenido web creado con fines malintencionados podía provocar el cierre inesperado de Safari

Descripción: se mejoró la validación de entradas para solucionar un problema de daños en la memoria.

CVE-2018-4214: detectado por OSS-Fuzz

WebKit

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: el procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario

Descripción: se mejoró el manejo de la memoria para solucionar un problema que hacía que se dañara.

CVE-2018-4204: detectado por OSS-Fuzz; Richard Zhu (fluorescence) en colaboración con la iniciativa Zero Day de Trend Micro

WebKit

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: el procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario

Descripción: se mejoró el manejo de la memoria para solucionar un problema de confusión de tipo.

CVE-2018-4246: detectado por OSS-Fuzz

WebKit

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: el procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario

Descripción: se mejoró la administración de estados para solucionar un problema de daños en la memoria.

CVE-2018-4200: Ivan Fratric de Google Project Zero

WebKit

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: el procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario

Descripción: se solucionaron varios problemas de daños en la memoria mejorando el manejo de la memoria.

CVE-2018-4201: un investigador anónimo

CVE-2018-4218: natashenka de Google Project Zero

CVE-2018-4233: Samuel Groß (@5aelo) en colaboración con la iniciativa Zero Day de Trend Micro

WebKit

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: visitar un sitio web creado con fines malintencionados podía provocar la suplantación de la barra de direcciones

Descripción: se solucionó un problema de interfaz de usuario incoherente mejorando la administración de estado.

CVE-2018-4188: YoKo Kho (@YoKoAcc) de Mitra Integrasi Informatika, PT

WebKit

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: el procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario

Descripción: se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.

CVE-2018-4199: Alex Plaskett, Georgi Geshev y Fabi Beterke de MWR Labs en colaboración con la iniciativa Zero Day de Trend Micro

WebKit

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: la visita a un sitio web creado con fines malintencionados podía filtrar información confidencial

Descripción: las credenciales se enviaban de forma inesperada cuando se recopilaban imágenes de máscara de CSS. Este problema se solucionó mediante un método de recopilación compatible con CORS.

CVE-2018-4190: Jun Kokatsu (@shhnjk)

WebKit

Disponible para Apple TV 4K y Apple TV (cuarta generación)

Impacto: el procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario

Descripción: se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2018-4222: natashenka de Google Project Zero