Tietoja Applen suojauspäivityksistä
Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.
Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta. Voit salata Applen kanssa käydyt keskustelut käyttämällä Applen tuoteturvallisuuden PGP-avainta.
Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
tvOS 10.1.1
Julkaistu 23.1.2017
APNS-palvelin
Saatavuus: Apple TV (4. sukupolvi).
Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä pystyi seuraamaan käyttäjän toimintaa.
Kuvaus: Asiakasvarmenne lähetettiin salaamattomana. Ongelma on ratkaistu parantamalla varmenteiden käsittelyä.
CVE-2017-2383: Matthias Wachs ja Quirin Scheitle (Technical University Munich (TUM))
Kohta lisätty 28.3.2017
Kernel
Saatavuus: Apple TV (4. sukupolvi).
Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Puskurin ylivuotoon liittyvä ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2017-2370: Ian Beer (Google Project Zero)
Kernel
Saatavuus: Apple TV (4. sukupolvi).
Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Vapaan tilan jälkeisen käytön ongelma on ratkaistu parantamalla muistin hallintaa.
CVE-2017-2360: Ian Beer (Google Project Zero)
libarchive
Saatavuus: Apple TV (4. sukupolvi).
Vaikutus: Haitallisen arkiston purkaminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Puskurin ylivuotoon liittyvä ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2016-8687: Agostino Sarubbo (Gentoo)
WebKit
Saatavuus: Apple TV (4. sukupolvi).
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi vuotaa tietoja eri alkuperien kesken.
Kuvaus: Prototyypin käyttöoikeusongelma on ratkaistu parantamalla poikkeusten käsittelyä.
CVE-2017-2350: Gareth Heyes (Portswigger Web Security)
WebKit
Saatavuus: Apple TV (4. sukupolvi).
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.
CVE-2017-2354: Trend Micron Zero Day Initiativen parissa työskentelevä Neymar (Tencentin Xuanwu Lab) (tencent.com)
CVE-2017-2362: Ivan Fratric (Google Project Zero)
CVE-2017-2373: Ivan Fratric (Google Project Zero)
WebKit
Saatavuus: Apple TV (4. sukupolvi).
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: Muistin alustamisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2017-2355: Team Pangu ja lokihardt PwnFest 2016 -tapahtumassa
WebKit
Saatavuus: Apple TV (4. sukupolvi).
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla annettujen tietojen vahvistamista.
CVE-2017-2356: Team Pangu ja lokihardt PwnFest 2016 -tapahtumassa
CVE-2017-2369: Ivan Fratric (Google Project Zero)
WebKit
Saatavuus: Apple TV (4. sukupolvi).
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi vuotaa tietoja eri alkuperien kesken.
Kuvaus: Sivujen lataamisen käsittelyssä oli vahvistusongelma. Ongelma on ratkaistu parantamalla logiikkaa.
CVE-2017-2363: lokihardt (Google Project Zero)
WebKit
Saatavuus: Apple TV (4. sukupolvi).
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi vuotaa tietoja eri alkuperien kesken.
Kuvaus: Muuttujien käsittelyssä oli vahvistusongelma. Ongelma on ratkaistu parantamalla validointia.
CVE-2017-2365: lokihardt (Google Project Zero)
Kiitokset
Webkitin vahvistaminen
Kiitos Ben Grasille, Kaveh Razaville, Erik Bosmanille, Herbert Bosille ja Cristiano Giuffridalle (vusec group, Vrije Universiteit Amsterdam) heidän avustaan.