Tietoja tvOS 12.3:n turvallisuussisällöstä

Tässä artikkelissa kerrotaan tvOS 12.3:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

tvOS 12.3

AppleFileConduit

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8593: Dany Lisiansky (@DanyL931)

Bluetooth

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: FIDO Security Keyn Bluetooth Low Energy (BLE) -version Bluetooth-parinmuodostuksen protokolla on määritetty virheellisesti, minkä vuoksi lähellä oleva hyökkääjä saattaa pystyä kaappaamaan Bluetooth-liikenteen parinmuodostuksen aikana.

Kuvaus: Ongelma ratkaistiin poistamalla käytöstä lisävarusteet, joiden Bluetooth-yhteys on suojaamaton. Asiakkaiden, jotka käyttävät Googlen Titan Security Keyn Bluetooth Low Energy (BLE) -versiota, tulee tutustua Androidin kesäkuun tiedotteisiin ja Googlen varoituksiin ja tehdä tarvittavat toimet.

CVE-2019-2102: Matt Beaver ja Erik Peterson (Microsoft Corp).

CoreAudio

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Haitallisen äänitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla virheiden käsittelyä.

CVE-2019-8592: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CoreAudio

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Haitallisen elokuvatiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8585: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CoreText

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Haitallisen fonttitiedoston käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.

Kuvaus: Rajojen ulkopuolisen muistin luku on ratkaistu parantamalla rajojen tarkistusta.

CVE-2019-8582: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Levytiedostot

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Appi saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8560: Nikita Pupyshev (Bauman Moscow State Technological University)

Kernel

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Appi saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8633: Zhuo Liang (Qihoo 360 Vulcan Team)

Kernel

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Paikallinen käyttäjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai lukemaan kernel-muistia.

Kuvaus: Rajojen ulkopuolisen muistin luku on ratkaistu parantamalla rajojen tarkistusta.

CVE-2019-8576: Brandon Azad (Google Project Zero), Junho Jang ja Hanul Choi (LINE Security Team)

Kernel

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Appi saattoi saada järjestelmän sulkeutumaan odottamatta tai kirjoittaa kernel-muistiin.

Kuvaus: Tyyppisekaannusongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8591: Ned Williamson yhteistyössä Google Project Zeron kanssa

Viestit

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: iMessage-keskusteluista poistetut henkilöt saattoivat edelleen pystyä muuttamaan tilaa.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2019-8631: Jamie Bishop (Dynastic)

MobileInstallation

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Paikallinen käyttäjä saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2019-8568: Dany Lisiansky (@DanyL931)

MobileLockdown

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Haittaohjelma saattoi pystyä hankkimaan pääkäyttöoikeudet.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8637: Dany Lisiansky (@DanyL931)

SQLite

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Appi saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla muistin käsittelyä.

CVE-2019-8577: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Haitallinen SQL-kysely saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8600: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Haittaohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8598: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Haittaohjelma saattoi pystyä hankkimaan laajemmat käyttöoikeudet.

Kuvaus: Muistin vioittumisongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2019-8602: Omer Gull (Checkpoint Research)

sysdiagnose

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Ongelma on ratkaistu parantamalla käyttöoikeuslogiikkaa.

CVE-2019-8574: Dayton Pidhirney (@_watbulb), Seekintoo (@seekintoo)

WebKit

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Haitallisen verkkosisällön käsittely saattoi johtaa prosessimuistin paljastumiseen.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8607: Junho Jang ja Hanul Choi (LINE Security Team)

WebKit

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-6237: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa, Liu Long (Qihoo 360 Vulcan Team)

CVE-2019-8571: 01 yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8583: sakura (Tencent Xuanwu Lab), jessica (@babyjess1ca_) (Tencent Keen Lab) ja dwfault (Venustechin ADLab)

CVE-2019-8584: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8586: nimetön tutkija

CVE-2019-8587: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8594: Suyoung Lee ja Sooel Son (KAIST Web Security & Privacy Lab) ja HyungSeok Han ja Sang Kil Cha (KAIST SoftSec Lab)

CVE-2019-8595: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8596: Wen Xu (SSLab, Georgia Tech)

CVE-2019-8597: 01 yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8601: Fluoroacetate yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8608: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8609: Wen Xu (SSLab, Georgia Tech)

CVE-2019-8610: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön henkilö

CVE-2019-8611: Samuel Groß (Google Project Zero)

CVE-2019-8615: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8619: Wen Xu (SSLab, Georgia Tech) ja Hanqing Zhao (Chaitin Security Research Lab)

CVE-2019-8622: Samuel Groß (Google Project Zero)

CVE-2019-8623: Samuel Groß (Google Project Zero)

CVE-2019-8628: Wen Xu (SSLab, Georgia Tech) ja Hanqing Zhao (Chaitin Security Research Lab)

Wi-Fi

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä pystyi muokkaamaan ajurin tilaa.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2019-8612: Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)

Wi-Fi

Saatavuus: Apple TV 4K ja Apple TV HD

Vaikutus: Laitetta saatettiin pystyä passiivisesti seuraamaan sen Wi-Fi-yhteyden MAC-osoitteen perusteella.

Kuvaus: Käyttäjän tietosuojaongelma on ratkaistu poistamalla lähetetty MAC-osoite.

CVE-2019-8620: David Kreitschmann ja Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)

Kiitokset

CoreAudio

Haluamme kiittää Trend Micron Zero Day Initiativen parissa työskentelevää riuskskia (VulWar Corp) hänen avustaan.

CoreFoundation

Haluamme kiittää Vozzieta ja Ramia sekä m4bln:ää, Xiangqian Zhangia ja Huiming Liuta (Xuanwu Lab, Tencent) heidän avustaan.

Kernel

Haluamme kiittää Google Project Zeron Brandon Azadia sekä nimettömänä pysyttelevää tutkijaa heidän avustaan.

MediaLibrary

Haluamme kiittää Angel Ramirezia ja Min (Spark) Zhengiä sekä Xiaolong Baita (Alibaba Inc.) heidän avustaan.

MobileInstallation

Haluamme kiittää Yiğit Can YILMAZia (@yilmazcanyigit) hänen avustaan.