Acerca del contenido de seguridad de tvOS 17.2

En este documento, se describe el contenido de seguridad de tvOS 17.2.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Versiones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

Para obtener más información sobre la seguridad, consulta la página Seguridad de los productos Apple.

tvOS 17.2

AVEVideoEncoder

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Una app podía divulgar la memoria del kernel.

Descripción: Para solucionar este problema, se mejoró la redacción de información confidencial.

CVE-2023-42884: Un investigador anónimo

ImageIO

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: El procesamiento de una imagen podía ocasionar la ejecución de código arbitrario.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2023-42898: Zhenjiang Zhao de Pangu Team, Qianxin y Junsung Lee

CVE-2023-42899: Meysam Firouzi @R00tkitSMM y Junsung Lee

Kernel

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Una app podía salir de su zona protegida

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2023-42914: Eloi Benoist-Vanderbeken (@elvanderb) de Synacktiv (@Synacktiv)

Libsystem

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que una app pueda acceder a datos protegidos del usuario

Descripción: Se eliminó código vulnerable y se agregaron comprobaciones adicionales para solucionar un problema de permisos.

CVE-2023-42893

Sandbox

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Para solucionar este problema, se mejoró la redacción de información confidencial.

CVE-2023-42936: Csaba Fitzl (@theevilbit) de OffSec

TCC

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que una app pueda salir de su zona protegida

Descripción: Se mejoró la validación para solucionar un problema de manejo de rutas.

CVE-2023-42947: Zhongquan Li (@Guluisacat) de Dawn Security Lab de JingDong

Transparency

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que una app pueda acceder a datos confidenciales del usuario

Descripción: El problema se solucionó con una restricción mejorada del acceso al contenedor de datos.

CVE-2023-40389: Csaba Fitzl (@theevilbit) de Offensive Security y Joshua Jewett (@JoshJewett33)

WebKit

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que el procesamiento de contenido web genere la ejecución de código arbitrario

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2023-42890: Pwn2car

WebKit

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: El procesamiento de una imagen podía provocar una denegación de servicio.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2023-42883: Zoom Offensive Security Team

WebKit

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: El procesamiento de contenido web podía divulgar información confidencial. Apple está al tanto de que este problema podría haberse explotado frente a las versiones de iOS anteriores a iOS 16.7.1.

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2023-42916: Clément Lecigne, de Google’s Threat Analysis Group

WebKit

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: El procesamiento de contenido web podía provocar la ejecución de código arbitrario. Apple está al tanto de que este problema podría haberse explotado frente a las versiones de iOS anteriores a iOS 16.7.1.

Descripción: Se mejoró el bloqueo para solucionar un problema de vulnerabilidad de daños en la memoria.

CVE-2023-42917: Clément Lepigne, de Google’s Threat Analysis Group

WebKit

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2023-42950: Nan Wang (@eternalsakura13) de 360 Vulnerability Research Institute y Rushikesh Nandedkar

Otros agradecimientos

WebSheet

Queremos agradecer a Paolo Ruggero de e-phors S.p.A. (una empresa de FINCANTIERI S.p.A.) por su ayuda.

Wi-Fi

Nos gustaría darles las gracias a Noah Roskin-Frazee y Prof. J. (ZeroClicks.ai Lab) por su ayuda.