Acerca del contenido de seguridad de tvOS 18.3

En este documento, se describe el contenido de seguridad de tvOS 18.3.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Los lanzamientos recientes aparecen en la página Versiones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

Para obtener más información sobre los aspectos de seguridad, consulta la página de seguridad de los productos Apple.

tvOS 18.3

AirPlay

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: un atacante en la red local puede provocar una denegación de servicio

Descripción: Se mejoró la validación de entradas para solucionar un problema de falta de referencia de puntero nulo.

CVE-2025-24179: Uri Katz (Oligo Security)

AirPlay

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: un atacante en la red local puede dañar la memoria del proceso

Descripción: Se solucionó un problema de validación de entradas.

CVE-2025-24126: Uri Katz (Oligo Security)

AirPlay

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: un atacante en la red local puede provocar un cierre inesperado de una app

Descripción: Para solucionar un problema de tipo confusión, se mejoraron las comprobaciones.

CVE-2025-24129: Uri Katz (Oligo Security)

AirPlay

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: un atacante en la red local puede provocar una denegación de servicio

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2025-24131: Uri Katz (Oligo Security)

AirPlay

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Un atacante en la red local podía dañar la memoria de proceso.

Descripción: Para solucionar un problema de tipo confusión, se mejoraron las comprobaciones.

CVE-2025-24137: Uri Katz (Oligo Security)

ARKit

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que el análisis de un archivo pueda provocar el cierre inesperado de la app.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2025-24127: Minghao Lin (@Y1nKoc), babywu y Xingwei Lin de Zhejiang University

CoreAudio

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que el análisis de un archivo pueda provocar el cierre inesperado de la app.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2025-24160: Google Threat Analysis Group

CVE-2025-24161: Google Threat Analysis Group

CVE-2025-24163: Google Threat Analysis Group

CoreMedia

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que el análisis de un archivo pueda provocar el cierre inesperado de la app.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2025-24123: Desmond, en colaboración con programa Zero Day Initiative de Trend Micro

CVE-2025-24124: Pwn2car y Rotiple (HyeongSeok Jang), en colaboración con el programa Zero Day Initiative de Trend Micro

CoreMedia

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que una app creada con fines malintencionados pueda elevar privilegios. Apple está al tanto de que este problema podría haberse explotado de forma activa frente a las versiones de iOS anteriores a iOS 17.2.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2025-24085

CoreMedia Playback

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Una app podía provocar el cierre inesperado del sistema

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2025-24184: Song Hyun Bae (@bshyuunn) y Lee Dong Ha (Who4mI)

Display

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Una app podía provocar el cierre inesperado del sistema

Descripción: Para solucionar un problema de daños en la memoria, se mejoró la administración de estados.

CVE-2025-24111: Wang Yu de Cyberserval

ImageIO

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que el procesamiento de una imagen pueda provocar una denegación de servicio

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2025-24086: DongJun Kim (@smlijun) y JongSeong Kim (@nevul37) en Enki WhiteHat, D4m0n

Kernel

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Una app podía filtrar el estado confidencial del kernel.

Descripción: Se solucionó un problema de divulgación de información eliminando el código vulnerable.

CVE-2025-24144: Mateusz Krzywicki (@krzywix)

Kernel

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de root.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2025-24107: Un investigador anónimo

Kernel

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se solucionó un problema de validación mejorando la lógica.

CVE-2025-24159: pattern-f (@pattern_F_)

libxslt

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso

Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.

CVE-2024-55549: Ivan Fratric de Google Project Zero

CVE-2025-24855: Ivan Fratric de Google Project Zero

PackageKit

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2025-31262: Mickey Jin (@patch1t)

SceneKit

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que el análisis de un archivo pueda derivar en la divulgación de información del usuario

Descripción: Para solucionar un problema de lectura fuera de los límites, se mejoró la comprobación de límites.

CVE-2025-24149: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

WebKit

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: El procesamiento de contenido web creado con fines malintencionados podía dañar la memoria.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2025-24189: Un investigador anónimo

WebKit

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que el procesamiento de contenido web pueda provocar una denegación de servicio

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2025-24158: Q1IQ (@q1iqF) de NUS CuriOSity y P1umer (@p1umer) de Imperial Global (Singapur).

WebKit

Disponible para Apple TV HD y Apple TV 4K (todos los modelos)

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2025-24162: linjy de HKUS3Lab y chluo de WHUSecLab

Otros agradecimientos

Audio

Nos gustaría darle las gracias a Google Threat Analysis Group por su ayuda.

CoreAudio

Nos gustaría darle las gracias a Google Threat Analysis Group por su ayuda.

iCloud

Nos gustaría darles las gracias a Abhay Kailasia (@abhay_kailasia) de Lakshmi Narain College of Technology Bhopal India, George Kovaios y a Srijan Poudel por su ayuda.

Passwords

Nos gustaría darles las gracias a Talal Haj Bakry y a Tommy Mysk de Mysk Inc. @mysk_co por su ayuda.

Static Linker

Nos gustaría darle las gracias a Holger Fuhrmannek por su ayuda.