Tietoja Applen suojauspäivityksistä
Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.
Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.
tvOS 13
Julkaistu 24.9.2019
AppleFirmwareUpdateKext
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.
CVE-2019-8747: Mohamed Ghannam (@_simo36)
Kohta lisätty 29.10.2019
Ääni
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen äänitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla tilanhallintaa.
CVE-2019-8706: Yu Zhou (Ant-Financial Light-Year Security Lab)
Kohta lisätty 29.10.2019
Ääni
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen äänitiedoston käsittely saattoi aiheuttaa rajatun muistin paljastumisen.
Kuvaus: Rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8850: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön henkilö
Kohta lisätty 4.12.2019
CFNetwork
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa sivustojenväliseen komentosarjahyökkäykseen.
Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.
CVE-2019-8753: Łukasz Pilorz (Standard Chartered GBS, Puola)
Kohta lisätty 29.10.2019
CoreAudio
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen äänitiedoston toistaminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8592: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa
Kohta lisätty 6.11.2019
CoreCrypto
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Suuren annetun tietomäärän käsittely saattoi johtaa palvelunestoon.
Kuvaus: Palvelunesto-ongelma on ratkaistu parantamalla tietojen vahvistamista.
CVE-2019-8741: Nicky Mouha (NIST)
Kohta lisätty 29.10.2019
CoreAudio
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen elokuvan käsittely saattoi johtaa prosessimuistin paljastumiseen.
Kuvaus: Muistin vioittumisongelma ratkaistiin parantamalla validointia.
CVE-2019-8705: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa
Kohta lisätty 8.10.2019
Foundation
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Etähyökkääjä saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen
Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8746: natashenka ja Samuel Groß (Google Project Zero)
Kohta lisätty 29.10.2019
IOUSBDeviceFamily
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8718: Joshua Hill ja Sem Voigtländer
Kohta lisätty 29.10.2019
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Appi saattoi pystyä hankkimaan laajennetut käyttöoikeudet.
Kuvaus: Ongelma on ratkaistu parannetuilla oikeuksilla.
CVE-2019-8703: nimetön tutkija
Kohta lisätty 16.3.2021
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.
CVE-2019-8740: Mohamed Ghannam (@_simo36)
Kohta lisätty 29.10.2019
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Paikallinen appi saattoi pystyä lukemaan pysyvän tilitunnisteen.
Kuvaus: Varmistusongelma on ratkaistu parantamalla logiikkaa.
CVE-2019-8809: Apple
Kohta lisätty 29.10.2019
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8712: Mohamed Ghannam (@_simo36)
Kohta lisätty 29.10.2019
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haittaohjelma saattoi pystyä päättelemään kernel-muistin asettelun.
Kuvaus: IPv6-pakettien käsittelyssä oli muistin vioittumisongelma. Ongelma on korjattu parantamalla muistin hallintaa.
CVE-2019-8744: Zhuo Liang (Qihoo 360 Vulcan Team)
Kohta lisätty 29.10.2019
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla tilanhallintaa.
CVE-2019-8709: derrek (@derrekr6) derrek (@derrekr6)
Kohta lisätty 29.10.2019
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8717: Jann Horn (Google Project Zero)
Kohta lisätty 8.10.2019
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haittaohjelma saattoi pystyä päättelemään kernel-muistin asettelun
Kuvaus: Ongelma on ratkaistu parantamalla käyttöoikeuslogiikkaa.
CVE-2019-8780: Siguza
Kohta lisätty 8.10.2019
Näppäimistöt
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Paikallinen käyttäjä saattoi pystyä vuotamaan arkaluonteisia käyttäjätietoja.
Kuvaus: Valtuutusongelma ratkaistiin parantamalla tilanhallintaa.
CVE-2019-8704: 王 邦 宇 (wAnyBug.Com, SAINTSEC)
libxml2
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: libxml2:ssa esiintyi useita ongelmia.
Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla annettujen tietojen vahvistamista.
CVE-2019-8749: ongelman havaitsi OSS-Fuzz
CVE-2019-8756: ongelman havaitsi OSS-Fuzz
Kohta lisätty 8.10.2019
libxslt
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: libxslt:ssä esiintyy useita ongelmia.
Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla annettujen tietojen vahvistamista.
CVE-2019-8750: ongelman havaitsi OSS-Fuzz
Kohta lisätty 29.10.2019
mDNSResponder
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Fyysisesti lähellä oleva hyökkääjä saattoi pystyä passiivisesti havaitsemaan laitteiden nimiä AWDL-tietoliikenteessä.
Kuvaus: Ongelma ratkaistiin korvaamalla laitteiden nimet satunnaisella tunnisteella.
CVE-2019-8799: David Kreitschmann ja Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)
Kohta lisätty 29.10.2019
UIFoundation
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen tekstitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Puskurin ylivuoto korjattiin parantamalla rajojen tarkistusta.
CVE-2019-8745: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa
Kohta lisätty 8.10.2019
UIFoundation
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8831: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa
Kohta lisätty 18.11.2019
WebKit
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa yleisten sivustojen välisten komentosarjojen suorittamiseen
Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.
CVE-2019-8625: Sergei Glazunov (Google Project Zero)
CVE-2019-8719: Sergei Glazunov (Google Project Zero)
CVE-2019-8764: Sergei Glazunov (Google Project Zero)
Kohta lisätty 8.10.2019, päivitetty 29.10.2019
WebKit
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8707: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön tutkija, Trend Micron Zero Day Initiativen parissa työskentelevä cc
CVE-2019-8710: ongelman havaitsi OSS-Fuzz
CVE-2019-8726: Jihui Lu (Tencent KeenLab)
CVE-2019-8728: Junho Jang (LINE Security Team) ja Hanul Choi (ABLY Corporation)
CVE-2019-8733: Sergei Glazunov (Google Project Zero)
CVE-2019-8734: ongelman havaitsi OSS-Fuzz
CVE-2019-8735: Trend Micron Zero Day Initiativen parissa työskentelevä G. Geshev
CVE-2019-8743: zhunki (Codesafe Team, Legendsec, Qi'anxin Group)
CVE-2019-8751: Venustechin ADLabin parissa työskentelevä Dongzhuo Zhao
CVE-2019-8752: Venustechin ADLabin parissa työskentelevä Dongzhuo Zhao
CVE-2019-8763: Sergei Glazunov (Google Project Zero)
CVE-2019-8765: Samuel Groß (Google Project Zero)
CVE-2019-8766: ongelman havaitsi OSS-Fuzz
CVE-2019-8773: ongelman havaitsi OSS-Fuzz
Kohta lisätty 8.10.2019, päivitetty 29.10.2019
WebKit
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa yleisten sivustojen välisten komentosarjojen suorittamiseen
Kuvaus: Varmistusongelma on ratkaistu parantamalla logiikkaa.
CVE-2019-8762: Sergei Glazunov (Google Project Zero)
Kohta lisätty 18.11.2019
WebKit
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: Muistin vioittumisongelma ratkaistiin parantamalla validointia.
CVE-2020-9932: Venustechin ADLabin parissa työskentelevä Dongzhuo Zhao
Kohta lisätty 28.7.2020
Wi-Fi
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Laitetta saatettiin pystyä passiivisesti seuraamaan sen Wi-Fi-yhteyden MAC-osoitteen perusteella.
Kuvaus: Käyttäjän tietosuojaongelma on ratkaistu poistamalla lähetetty MAC-osoite.
CVE-2019-8854: Ta-Lun Yen (UCCU Hacker) ja FuriousMacTeam (United States Naval Academy ja Mitre Cooperation)
Kohta lisätty 4.12.2019
Kiitokset
Ääni
Haluamme kiittää Trend Micron Zero Day Initiativen parissa työskentelevää riuskskia (VulWar Corp) hänen avustaan.
Kohta lisätty 29.10.2019
boringssl
Haluamme kiittää Nimrod Aviramia (Tel Aviv University), Robert Mergetia (Ruhr University Bochum), Juraj Somorovskya (Ruhr University Bochum) ja Computestin Thijs Alkemadea (@xnyhps) heidän avustaan.
Kohta lisätty 8.10.2019, päivitetty 29.10.2019
HomeKit
Haluamme kiittää Tian Zhangia hänen avustaan.
Kohta lisätty 29.10.2019
Kernel
Haluamme kiittää Brandon Azadia (Google Project Zero) ja Vlad Tsyrklevichiä heidän avustaan.
Kohta päivitetty 28.7.2020
Näppäimistö
Haluamme kiittää Sara Haradhvalaa (Harlen Web Consulting) ja nimetöntä tutkijaa heidän avustaan.
Kohta päivitetty 28.7.2020
mDNSResponder
Haluamme kiittää Gregor Langia (e.solutions GmbH) hänen avustaan.
Kohta lisätty 29.10.2019
Profiilit
Haluamme kiittää Erik Johnsonia (Vernon Hills High School) ja James Seeleyä (@Code4iOS, Shriver Job Corps) heidän avustaan.
Kohta päivitetty 29.10.2019
WebKit
Haluamme kiittää MinJeong Kimiä (Information Security Lab, Chungnam National University), JaeCheol Ryouta (Information Security Lab, Chungnam National University, Etelä-Korea), Yiğit Can YILMAZia (@yilmazcanyigit), Zhihua Yaota (DBAPPSecurity Zion Lab), nimetöntä tutkijaa ja Trend Micron Zero Day Initiativen parissa työskentelevää cc:tä heidän avustaan.
Kohta lisätty 8.10.2019, päivitetty 29.10.2019