Tietoja tvOS 12:n turvallisuussisällöstä

Tässä artikkelissa kerrotaan tvOS 12:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta. Voit salata Applen kanssa käydyt keskustelut käyttämällä Applen tuoteturvallisuuden PGP-avainta.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

tvOS 12

Julkaistu 17.9.2018

Automaattinen lukituksen avaus

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Haitallinen ohjelma saattoi pystyä käyttämään paikallisten käyttäjien Apple ID:itä.

Kuvaus: Valtuutuksen vahvistuksessa oli tarkistusongelma. Ongelma on ratkaistu parantamalla prosessin valtuutuksen tarkistusta.

CVE-2018-4321: Min (Spark) Zheng ja Xiaolong Bai (Alibaba Inc.)

Kohta lisätty 24.9.2018

Bluetooth

Saatavuus: Apple TV (4. sukupolvi)

Vaikutus: Etuoikeutetussa verkkoasemassa oleva hyökkääjä saattaa kyetä katkaisemaan Bluetooth-liikenteen.

Kuvaus: Bluetoothissa oli annettujen tietojen vahvistusongelma. Ongelma on ratkaistu parantamalla annettujen tietojen validointia.

CVE-2018-5383: Lior Neumann ja Eli Biham

IOKit

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla tilan hallintaa.

CVE-2018-4383: Apple

Kohta lisätty 24.10.2018

iTunes Store

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi väärentää iTunes Storen salasanakehotteita.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2018-4305: Jerry Decime

Kernel

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Kernelissä oli syötön validointiongelma. Ongelma on ratkaistu parantamalla annettujen tietojen validointia.

CVE-2018-4363: Ian Beer (Google Project Zero)

Kernel

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4336: Brandon Azad

CVE-2018-4337: Ian Beer (Google Project Zero)

CVE-2018-4344: Yhdistyneen kuningaskunnan National Cyber Security Centre (NCSC)

Kohta lisätty 24.9.2018 ja päivitetty 24.10.2018

Safari

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Paikallinen käyttäjä saattoi löytää verkkosivustot, joilla käyttäjä oli käynyt.

Kuvaus: Ohjelmien tilannevedosten käsittelyssä oli yhdenmukaisuusongelma. Ongelma on ratkaistu parantamalla ohjelmien tilannevedosten käsittelyä.

CVE-2018-4313: tuntematon tutkija, tuntematon tutkija, tuntematon tutkija, tuntematon tutkija, tuntematon tutkija, tuntematon tutkija, tuntematon tutkija, tuntematon tutkija, tuntematon tutkija, tuntematon tutkija, tuntematon tutkija, David Scott, Enes Mert Ulu (Abdullah Mürşide Özünenek Anadolu Lisesi, Ankara/Turkki), Mehmet Ferit Daştan (Van Yüzüncü Yıl University), Metin Altug Karakaya (Kaliptus Medical Organization) ja Vinodh Swami (Western Governor's University, WGU)

Suojaus

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Hyökkääjä saattoi pystyä hyödyntämään RC4-salausalgoritmin heikkouksia.

Kuvaus: Ongelma on ratkaistu poistamalla RC4.

CVE-2016-1777: Pepi Zawodsky

WebKit

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla tilan hallintaa.

CVE-2018-4316: crixer, Hanming Zhang (@4shitak4, Qihoo 360 Vulcan Team)

Kohta lisätty 24.9.2018

WebKit

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Haitallinen verkkosivusto saattoi vuotaa kuvatietoja eri alkuperien kesken.

Kuvaus: Safarissa oli sivustojen välinen komentosarjaongelma. Ongelma on ratkaistu parantamalla URL-osoitteiden tarkistamista.

CVE-2018-4345: nimetön tutkija

Kohta lisätty 24.9.2018

WebKit

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Odottamaton vuorovaikutus aiheutti ASSERT-virheen.

Kuvaus: Muistin vioittumisongelma ratkaistiin parantamalla validointia.

CVE-2018-4191: ongelman havaitsi OSS-Fuzz

Kohta lisätty 24.9.2018

WebKit

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4299: Samuel Groβ (saelo) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2018-4359: Samuel Groß (@5aelo)

CVE-2018-4323: Ivan Fratric (Google Project Zero)

CVE-2018-4358: @phoenhex team (@bkth_, @5aelo ja @_niklasb) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2018-4328: Ivan Fratric (Google Project Zero)

Kohta lisätty 24.9.2018

WebKit

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Vapaan tilan jälkeisen käytön ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2018-4197: Ivan Fratric (Google Project Zero)

CVE-2018-4318: Ivan Fratric (Google Project Zero)

CVE-2018-4306: Ivan Fratric (Google Project Zero)

CVE-2018-4312: Ivan Fratric (Google Project Zero)

CVE-2018-4314: Ivan Fratric (Google Project Zero)

CVE-2018-4315: Ivan Fratric (Google Project Zero)

CVE-2018-4317: Ivan Fratric (Google Project Zero)

Kohta lisätty 24.9.2018

WebKit

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Haitallinen verkkosivusto saattoi suorittaa koodia toisen verkkosivuston yhteydessä.

Kuvaus: Safarissa oli sivustojen välinen komentosarjaongelma. Ongelma on ratkaistu parantamalla URL-osoitteiden tarkistamista.

CVE-2018-4309: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön tutkija

Kohta lisätty 24.9.2018

WebKit

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Odottamaton vuorovaikutus aiheutti ASSERT-virheen.

Kuvaus: Muistin käyttöongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4361: ongelman havaitsi OSS-Fuzz

Kohta lisätty 24.9.2018 ja päivitetty 24.10.2018

WebKit

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4299: Samuel Groβ (saelo) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2018-4323: Ivan Fratric (Google Project Zero)

CVE-2018-4328: Ivan Fratric (Google Project Zero)

CVE-2018-4358: @phoenhex team (@bkth_, @5aelo ja @_niklasb) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2018-4359: Samuel Groß (@5aelo)

CVE-2018-4360: William Bowling (@wcbowling)

Kohta lisätty 24.10.2018

Kiitokset

Resurssit

Haluamme kiittää Brandon Azadia hänen avustaan.

Perustiedot

Haluamme kiittää Andreas Kurtzia (@aykay, NESO Security Labs GmbH) hänen avustaan.

Eristysprofiilit

Haluamme kiittää Tencent Keen Security Labia ja Trend Micron Zero Day Initiativea niiden avusta.

SQLite

Haluamme kiittää Andreas Kurtzia (@aykay, NESO Security Labs GmbH) hänen avustaan.

WebKit

Haluamme kiittää Cary Hartlinea, Hanming Zhangia (360 Vuclan team) ja Zach Malonea (CA Technologies) heidän avustaan.

Muita kuin Applen valmistamia tuotteita sekä itsenäisiä verkkosivustoja (joita Apple ei hallitse tai joita se ei ole testannut) koskevat tiedot on tarkoitettu vain tiedoksi. Apple ei suosittele tai tue niitä. Apple ei vastaa muun valmistajan verkkosivustojen tai tuotteiden valikoimasta, suorituskyvystä tai käytöstä. Apple ei vastaa muun valmistajan verkkosivuston oikeellisuudesta tai luotettavuudesta. Internetin käyttöön liittyy riskejä. Pyydä lisätietoja valmistajalta. Muut yritysten ja tuotteiden nimet saattavat olla omistajiensa tavaramerkkejä.

Julkaisupäivämäärä: