En este documento, se describe el contenido de seguridad de tvOS 17.4.
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Versiones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
Publicado el 7 de marzo de 2024
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que una app maliciosa acceda a datos del usuario en entradas de registro que se relacionan con notificaciones de accesibilidad
Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.
CVE-2024-23291
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que una app pueda aumentar los privilegios
Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.
CVE-2024-23288: Wojciech Regula de SecuRing (wojciechregula.blog) y Kirin (@Pwnrin)
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que una app acceda a los micrófonos conectados por Bluetooth sin el permiso del usuario
Descripción: Se solucionó un problema de acceso mejorando las restricciones de acceso.
CVE-2024-23250: Guilherme Rambo de Best Buddy Apps (rambo.codes)
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que el procesamiento de un archivo pueda ocasionar una denegación de servicio o revelar el contenido de la memoria
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2022-48554
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2024-23270: Un investigador anónimo
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que el procesamiento de una imagen pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.
CVE-2024-23286: Junsung Lee en colaboración con el programa Zero Day Initiative de Trend Micro, Amir Bazine y Karsten König de CrowdStrike Counter Adversary Operations, Dohyun Lee (@l33d0hyun) y Lyutoon y Mr.R
Entrada actualizada el 31 de mayo de 2024
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que una app pueda acceder a información confidencial del usuario
Descripción: Se solucionó un problema de condición de carrera mediante validaciones adicionales.
CVE-2024-23235
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que una app pueda generar el cierre inesperado del sistema o la escritura de la memoria del kernel
Descripción: Se solucionó un problema de vulnerabilidad de daños en la memoria mejorando el bloqueo.
CVE-2024-23265: Xinru Chi de Pangu Lab
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que un atacante con una función de lectura y escritura arbitraria del kernel pueda omitir las protecciones de memoria del kernel Apple está al tanto de que este problema podría haberse explotado.
Descripción: Se mejoró la validación para solucionar un problema de daños en la memoria.
CVE-2024-23225
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que una app pueda salir de su zona protegida
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2024-23278: Un investigador anónimo
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que una app pueda ejecutar código arbitrario fuera de su zona protegida o con determinados privilegios elevados
Descripción: Este problema se solucionó mejorando el manejo de la memoria.
CVE-2024-0258: ali yabuz
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que una app creada con fines maliciosos pueda acceder a información privada
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2024-23297: scj643
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que una app pueda leer la memoria restringida
Descripción: Se mejoró el saneamiento de entradas para solucionar un problema de validación.
CVE-2024-23264: Meysam Firouzi (@R00tkitsmm) en colaboración con el programa Zero Day Initiative de Trend Micro
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que un atacante con una función de lectura y escritura arbitraria del kernel pueda omitir las protecciones de memoria del kernel Apple está al tanto de que este problema podría haberse explotado.
Descripción: Se mejoró la validación para solucionar un problema de daños en la memoria.
CVE-2024-23296
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que una app pueda divulgar información confidencial del usuario
Descripción: Se mejoró el manejo de estados para solucionar un problema de condición de carrera.
CVE-2024-23239: Mickey Jin (@patch1t)
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que una app pueda acceder a información confidencial del usuario
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2024-23290: Wojciech Regula de SecuRing (wojciechregula.blog)
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que un atacante con acceso físico pueda utilizar Siri para acceder a datos confidenciales del usuario
Descripción: Para solucionar este problema, se mejoró la administración del estado.
CVE-2024-23293: Bistrit Dahal
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que una app pueda divulgar información confidencial del usuario
Descripción: Para solucionar este problema, se mejoró la administración del estado.
CVE-2024-23241
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que una app pueda salir de su zona protegida
Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.
CVE-2024-23246: Deutsche Telekom Security GmbH patrocinado por Bundesamt für Sicherheit in der Informationstechnik
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: El procesamiento de contenido web podía provocar una denegación de servicio.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
WebKit Bugzilla: 263758
CVE-2024-54658: anbu1024 de SecANT
Entrada agregada el 5 de febrero de 2025
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que el procesamiento de contenido web genere la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
WebKit Bugzilla: 259694
CVE-2024-23226: Pwn2car
WebKit Bugzilla: 263001
CVE-2024-27859: Pwn2car
Entrada agregada el 7 de marzo de 2024, actualizada el 5 de febrero de 2025
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que un sitio web creado con fines malintencionados pueda exfiltrar datos de audio mediante un origen cruzado
Descripción: Para solucionar este problema, se mejoró el manejo de IU.
WebKit Bugzilla: 263795
CVE-2024-23254: James Lee (@Windowsrcer)
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados impida que se apliquen las políticas de seguridad del contenido
Descripción: Se mejoró la validación para solucionar un problema de lógica.
WebKit Bugzilla: 264811
CVE-2024-23263: Johan Carlsson (joaxcar)
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que un sitio web creado con fines malintencionados pueda tomar la huella digital del usuario
Descripción: Se solucionó un problema de inyección mejorando la validación.
WebKit Bugzilla: 266703
CVE-2024-23280: Un investigador anónimo
Disponible para Apple TV HD y Apple TV 4K (todos los modelos)
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda impedir que se aplicaran las políticas de seguridad del contenido
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
WebKit Bugzilla: 267241
CVE-2024-23284: Georg Felber y Marco Squarcina
Nos gustaría darle las gracias a Junsung Lee por su ayuda.
Nos gustaría darle las gracias a Eric Dorphy de Twin Cities App Dev LLC por su ayuda.
Nos gustaría darle las gracias a Tarek Joumaa (@tjkr0wn) por su ayuda.
Nos gustaría darle las gracias a OSS-Fuzz, Ned Williamson de Google Project Zero por su ayuda.
Nos gustaría darles las gracias a Rasmus Sten, F-Secure (Mastodon: @pajp@blog.dll.nu) y a un investigador anónimo por su ayuda.
Nos gustaría darle las gracias a Abhay Kailasia (@abhay_kailasia) de Lakshmi Narain College of Technology Bhopal por su ayuda.
Nos gustaría darle las gracias a Pan ZhenPeng (@Peterpan0927) de STAR Labs SG Pte. Ltd. por su ayuda.
Nos gustaría darle las gracias a Zhongquan Li (@Guluisacat) por su ayuda.
Nos gustaría darle las gracias a Bistrit Dahal por su ayuda.
Nos gustaría darle las gracias a Bin Zhang de la Dublin City University por su ayuda.
Nos gustaría darles las gracias a Nan Wang (@eternalsakura13) de 360 Vulnerability Research Institute, Valentino Dalla Valle, Pedro Bernardo, Marco Squarcina y Lorenzo Veronese de TU Wien por su ayuda.