Tietoja tvOS 10.0.1:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan tvOS 10.0.1:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen turvallisuuspäivityssivustolla.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuussivustolta. Voit salata Applen kanssa käydyt keskustelut käyttämällä Applen tuoteturvallisuuden PGP-avainta.

Apple käyttää CVE-ID -tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

tvOS 10.0.1

AppleMobileFileIntegrity

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Allekirjoitettu suoritettava tiedosto saattoi korvata koodia samalla ryhmätunnuksella.

Kuvaus: Koodiallekirjoitusten käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu lisäämällä tarkistamista.

CVE-2016-7584: Mark Mentovai ja Boris Vidolov (Google Inc.)

CFNetwork-välipalvelimet

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä vuotamaan arkaluontoisia käyttäjätietoja.

Kuvaus: Välipalvelimen tunnistetietojen käsittelyssä ilmeni tietojenkalasteluongelma. Ongelma korjattiin poistamalla pyytämättömät välipalvelimen salasanan vahvistuskehotukset.

CVE-2016-7579: Jerry Decime

CoreGraphics

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Haitallisen JPEG-tiedoston katsominen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2016-4673: Marco Grassi (@marcograss) – KeenLab (@keen_lab), Tencent

FontParser

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Haitallisen fontin jäsentäminen saattaa paljastaa arkaluonteisia käyttäjätietoja.

Kuvaus: Rajojen ulkopuolinen lukeminen käsiteltiin rajojen tarkistuksen parannuksella.

CVE-2016-4660: Ke Liu (Tencentin Xuanwu Lab)

FontParser

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Haitallisen fonttitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Fonttitiedostojen käsittelyssä oli puskurin ylivuoto. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2016-4688: Simon Huang (Alipay), thelongestusernameofall@gmail.com

Kernel

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Ohjelma saattoi pystyä paljastamaan kernel-muistin sisältöä.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2016-4680: Max Bazaliy (Lookout) ja in7egral

Kernel

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Paikallinen ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Uusien prosessien luonnissa esiintyi useita objektien elinkaareen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla tarkistamista.

CVE-2016-7613: Ian Beer (Google Project Zero)

libarchive

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Haitallinen arkisto saattoi pystyä korvaamaan mielivaltaisia tiedostoja.

Kuvaus: Symbolisten linkkien polun validointilogiikassa oli ongelma. Ongelma on ratkaistu parantamalla polkujen siivoamista.

CVE-2016-4679: Omer Medan (enSilo Ltd)

libxpc

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia pääkäyttöoikeuksilla.

Kuvaus: Logiikkaongelma korjattiin lisäämällä rajoituksia.

CVE-2016-4675: Ian Beer (Google Project Zero)

Eristysprofiilit

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Ohjelma saattoi pystyä noutamaan kuvahakemistojen metadataa.

Kuvaus: Käyttöoikeusongelma korjattiin lisäämällä eristämisrajoituksia muiden valmistajien ohjelmille.

CVE-2016-4664: Razvan Deaconescu, Mihai Chiroiu (University POLITEHNICA of Bucharest); Luke Deshotels, William Enck (North Carolina State University); Lucas Vincenzo Davi, Ahmad-Reza Sadeghi (TU Darmstadt)

Eristysprofiilit

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Ohjelma saattoi pystyä noutamaan äänitallennehakemistojen metadataa.

Kuvaus: Käyttöoikeusongelma korjattiin lisäämällä eristämisrajoituksia muiden valmistajien ohjelmille.

CVE-2016-4665: Razvan Deaconescu, Mihai Chiroiu (University POLITEHNICA of Bucharest); Luke Deshotels, William Enck (North Carolina State University); Lucas Vincenzo Davi, Ahmad-Reza Sadeghi (TU Darmstadt)

Järjestelmän käynnistys

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Paikallinen käyttäjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen kernelissä.

Kuvaus: MIG-generoidussa koodissa ilmeni useita syötön vahvistuksen ongelmia. Ongelmat on ratkaistu parantamalla validointia.

CVE-2016-4669: Ian Beer (Google Project Zero)

WebKit

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Haitallisen verkkosisällön käsittely saattoi johtaa käyttäjätietojen paljastumiseen.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla tilanhallintaa.

CVE-2016-4613: Chris Palmer

WebKit

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia ratkaistiin parantamalla muistin käsittelyä.

CVE-2016-4666: Apple

CVE-2016-4677: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön tutkija

WebKit

Saatavuus: Apple TV (4. sukupolvi).

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2016-7578: Apple