Acerca del contenido de seguridad de tvOS 16.1

En este documento, se describe el contenido de seguridad de tvOS 16.1.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.

Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.

tvOS 16.1

AppleMobileFileIntegrity

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos

Descripción: Para solucionar este problema, se eliminaron derechos adicionales.

CVE-2022-42825: Mickey Jin (@patch1t)

Audio

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que el análisis de un archivo de audio creado con fines malintencionados derive en la divulgación de información del usuario

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2022-42798: Un investigador anónimo en colaboración con la iniciativa Zero Day de Trend Micro

AVEVideoEncoder

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Para solucionar este problema, se mejoró la comprobación de los límites.

CVE-2022-32940: ABC Research s.r.o.

CFNetwork

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que el procesamiento de un certificado creado con fines malintencionados provoque la ejecución de código arbitrario

Descripción: Existía un problema de validación de certificados en el manejo de WKWebView. Para solucionar este problema, se mejoró la validación.

CVE-2022-42813: Jonathan Zhang de Open Computing Facility (ocf.berkeley.edu)

Kernel

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que una app pueda provocar el cierre inesperado del sistema o ejecutar código con privilegios del kernel

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2022-46712: Tommy Muir (@Muirey03)

Kernel

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2022-32924: Ian Beer de Google Project Zero

Kernel

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que un usuario remoto pueda ocasionar la ejecución del código del kernel

Descripción: Para solucionar un problema de escritura fuera de los límites, se mejoró la comprobación de límites.

CVE-2022-42808: Zweig de Kunlun Lab

Kernel

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.

CVE-2022-32944: Tim Michaud (@TimGMichaud) de Moveworks.ai

Kernel

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Para solucionar un problema de condición de carrera, se mejoró el bloqueo.

CVE-2022-42803: Xinru Chi de Pangu Lab, John Aakerblom (@jaakerblom)

Kernel

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que una app con privilegios de usuario raíz pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Para solucionar este problema, se mejoró la comprobación de los límites.

CVE-2022-32926: Tim Michaud (@TimGMichaud) de Moveworks.ai

Kernel

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2022-42801: Ian Beer de Google Project Zero

Model I/O

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que el procesamiento de un archivo USD creado con fines malintencionados pueda revelar el contenido de la memoria

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2022-42810: Xingwei Lin (@xwlin_roy) y Yinyi Wu de Ant Security Light-Year Lab

Sandbox

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Para solucionar un problema de acceso, se agregaron restricciones de la zona protegida.

CVE-2022-42811: Justin Bui (@slyd0g) de Snowflake

WebKit

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que la visita a un sitio web creado con fines malintencionados provoque la suplantación de la interfaz de usuario

Descripción: Para solucionar este problema, se mejoró el manejo de IU.

CVE-2022-42799: Jihwan Kim (@gPayl0ad), Dohyun Lee (@l33d0hyun)

WebKit

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar la ejecución de código arbitrario

Descripción: Se mejoró el manejo de la memoria para solucionar un problema de confusión de tipo.

CVE-2022-42823: Dohyun Lee (@l33d0hyun) de SSD Labs

WebKit

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda divulgar información confidencial del usuario

Descripción: Para solucionar un problema de lógica, se mejoró la administración de estados.

CVE-2022-42824: Abdulrahman Alqabandi de Microsoft Browser Vulnerability Research, Ryan Shin de IAAI SecLab de la Universidad de Corea, Dohyun Lee (@l33d0hyun) de DNSLab de la Universidad de Corea

WebKit

Disponible para Apple TV 4K, Apple TV 4K (segunda generación) y Apple TV HD

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados revele estados internos de la app

Descripción: Se mejoraron las comprobaciones para solucionar un problema de corrección en el JIT.

CVE-2022-32923: Wonyoung Jung (@nonetype_pwn) de KAIST Hacking Lab

Otros agradecimientos

iCloud

Nos gustaría darle las gracias a Tim Michaud (@TimGMichaud) de Moveworks por su ayuda.

Kernel

Nos gustaría darles las gracias a Peter Nguyen de STAR Labs, Tim Michaud (@TimGMichaud) de Moveworks.ai, Tommy Muir (@Muirey03) por su ayuda.

WebKit

Nos gustaría darles las gracias a Maddie Stone de Google Project Zero, Narendra Bhati (@imnarendrabhati) de Suma Soft Pvt. Ltd. y un investigador anónimo por su ayuda.