Tietoja Applen suojauspäivityksistä
Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut ovat nähtävissä Applen suojauspäivitykset -sivulla.
Apple käyttää CVE-ID-tunnuksia viittaamaan haavoittuvuuksiin tietoturvadokumenteissaan mahdollisuuksien mukaan.
Lisätietoja turvallisuudesta on Applen tuoteturvallisuus -sivulla.
tvOS 13
Julkaistu 24.9.2019
AppleFirmwareUpdateKext
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Ohjelma saattaa pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.
CVE-2019-8747: Mohamed Ghannam (@_simo36)
Kohta lisätty 29.10.2019
Ääni
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen äänitiedoston käsitteleminen saattaa aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla tilanhallintaa.
CVE-2019-8706: Yu Zhou (Ant-financial Light-Year Security Lab)
Kohta lisätty 29.10.2019
Ääni
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen äänitiedoston käsittely saattaa aiheuttaa rajatun muistin paljastumisen.
Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8850: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön henkilö
Kohta lisätty 4.12.2019
CFNetwork
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattaa johtaa sivustojenväliseen komentosarjahyökkäykseen.
Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.
CVE-2019-8753: Łukasz Pilorz (Standard Chartered GBS, Puola)
Kohta lisätty 29.10.2019
CoreAudio
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen äänitiedoston toistaminen saattaa aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8592: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa
Kohta lisätty 6.11.2019
CoreCrypto
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Suuren annetun tietomäärän käsittely saattaa johtaa palvelunestoon.
Kuvaus: Palvelunesto-ongelma on ratkaistu parantamalla tietojen vahvistamista.
CVE-2019-8741: Nicky Mouha (NIST)
Kohta lisätty 29.10.2019
CoreAudio
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen elokuvan käsittely saattaa johtaa prosessimuistin paljastumiseen.
Kuvaus: Muistin vioittumisongelma ratkaistiin parantamalla validointia.
CVE-2019-8705: Trend Micron Zero Day Initiativen parissa työskentelevä riusksk (VulWar Corp)
Kohta lisätty 8.10.2019
Foundation
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Etähyökkääjä saattaa aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8746: Natalie Silvanovich ja Samuel Groß (Google Project Zero)
Kohta lisätty 29.10.2019
IOUSBDeviceFamily
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Ohjelma saattaa pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8718: Joshua Hill ja Sem Voigtländer
Kohta lisätty 29.10.2019
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Ohjelma saattaa pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.
CVE-2019-8740: Mohamed Ghannam (@_simo36)
Kohta lisätty 29.10.2019
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Paikallinen appi saattaa pystyä lukemaan pysyvän tilitunnisteen.
Kuvaus: Varmistusongelma on ratkaistu parantamalla logiikkaa.
CVE-2019-8809: Apple
Kohta lisätty 29.10.2019
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Ohjelma saattaa pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8712: Mohamed Ghannam (@_simo36)
Kohta lisätty 29.10.2019
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haittaohjelma saattaa pystyä päättelemään kernel-muistin asettelun.
Kuvaus: IPv6-pakettien käsittelyssä oli muistin vioittumisongelma. Ongelma on korjattu parantamalla muistin hallintaa.
CVE-2019-8744: Zhuo Liang (Qihoo 360 Vulcan Team)
Kohta lisätty 29.10.2019
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Ohjelma saattaa pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla tilanhallintaa.
CVE-2019-8709: derrek (@derrekr6) derrek (@derrekr6)
Kohta lisätty 29.10.2019
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Ohjelma saattaa pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8717: Jann Horn (Google Project Zero)
Kohta lisätty 8.10.2019
Kernel
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haittaohjelma saattaa pystyä päättelemään kernel-muistin asettelun.
Kuvaus: Ongelma on ratkaistu parantamalla käyttöoikeuslogiikkaa.
CVE-2019-8780: Siguza
Kohta lisätty 8.10.2019
Näppäimistöt
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Paikallinen käyttäjä saattaa pystyä vuotamaan arkaluonteisia käyttäjätietoja.
Kuvaus: Valtuutusongelma ratkaistiin parantamalla tilanhallintaa.
CVE-2019-8704: 王 邦 宇 (wAnyBug.Com, SAINTSEC)
libxml2
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: libxml2:ssa esiintyy useita ongelmia.
Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla annettujen tietojen vahvistamista.
CVE-2019-8749: ongelman havaitsi OSS-Fuzz
CVE-2019-8756: ongelman havaitsi OSS-Fuzz
Kohta lisätty 8.10.2019
libxslt
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: libxslt:ssä esiintyy useita ongelmia.
Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla annettujen tietojen vahvistamista.
CVE-2019-8750: ongelman havaitsi OSS-Fuzz
Kohta lisätty 29.10.2019
mDNSResponder
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Fyysisesti lähellä oleva hyökkääjä saattaa pystyä passiivisesti havaitsemaan laitteiden nimiä AWDL-tietoliikenteessä.
Kuvaus: Ongelma ratkaistiin korvaamalla laitteiden nimet satunnaisella tunnisteella.
CVE-2019-8799: David Kreitschmann ja Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)
Kohta lisätty 29.10.2019
UIFoundation
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen tekstitiedoston käsitteleminen saattaa aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Puskurin ylivuoto korjattiin parantamalla rajojen tarkistusta.
CVE-2019-8745: Trend Micron Zero Day Initiativen parissa työskentelevä riusksk (VulWar Corp)
Kohta lisätty 8.10.2019
UIFoundation
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Ohjelma saattaa pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8831: Trend Micron Zero Day Initiativen parissa työskentelevä riusksk (VulWar Corp)
Kohta lisätty 18.11.2019
WebKit
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattaa johtaa yleisten sivustojen välisten komentosarjojen suorittamiseen.
Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.
CVE-2019-8625: Sergei Glazunov (Google Project Zero)
CVE-2019-8719: Sergei Glazunov (Google Project Zero)
CVE-2019-8764: Sergei Glazunov (Google Project Zero)
Kohta lisätty 8.10.2019, päivitetty 29.10.2019
WebKit
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattaa johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8707: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön tutkija, Trend Micron Zero Day Initiativen parissa työskentelevä cc
CVE-2019-8710: ongelman havaitsi OSS-Fuzz
CVE-2019-8726: Jihui Lu (Tencent KeenLab)
CVE-2019-8728: Junho Jang (LINE Security Team) ja Hanul Choi (ABLY Corporation)
CVE-2019-8733: Sergei Glazunov (Google Project Zero)
CVE-2019-8734: ongelman havaitsi OSS-Fuzz
CVE-2019-8735: Trend Micron Zero Day Initiativen parissa työskentelevä G. Geshev
CVE-2019-8743: zhunki (Legendsecin Codesafe Team, Qi’anxin Group)
CVE-2019-8751: Venustechin ADLabin parissa työskentelevä Dongzhuo Zhao
CVE-2019-8752: Venustechin ADLabin parissa työskentelevä Dongzhuo Zhao
CVE-2019-8763: Sergei Glazunov (Google Project Zero)
CVE-2019-8765: Samuel Groß (Google Project Zero)
CVE-2019-8766: ongelman havaitsi OSS-Fuzz
CVE-2019-8773: ongelman havaitsi OSS-Fuzz
Kohta lisätty 8.10.2019, päivitetty 29.10.2019
WebKit
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattaa johtaa yleisten sivustojen välisten komentosarjojen suorittamiseen.
Kuvaus: Varmistusongelma on ratkaistu parantamalla logiikkaa.
CVE-2019-8762: Sergei Glazunov (Google Project Zero)
Kohta lisätty 18.11.2019
Wi-Fi
Saatavuus: Apple TV 4K ja Apple TV HD
Vaikutus: Laitetta saatetaan pystyä seuraamaan passiivisesti sen Wi-Fi-yhteyden MAC-osoitteen perusteella.
Kuvaus: Käyttäjän tietosuojaongelma on ratkaistu poistamalla lähetetty MAC-osoite.
CVE-2019-8854: Ta-Lun Yen (UCCU Hacker) ja FuriousMacTeam (United States Naval Academy ja Mitre Cooperation)
Kohta lisätty 4.12.2019
Kiitokset
Ääni
Haluamme kiittää Trend Micron Zero Day Initiativen parissa työskentelevää riuskskia (VulWar Corp) hänen avustaan.
Kohta lisätty 29.10.2019
HomeKit
Haluamme kiittää Tian Zhangia hänen avustaan.
Kohta lisätty 29.10.2019
Kernel
Haluamme kiittää Brandon Azadia (Google Project Zero) hänen avustaan.
Kohta lisätty 29.10.2019
boringssl
Haluamme kiittää Tel Avivin yliopiston Nimrod Aviramia, Ruhrin yliopiston Bochumin kampuksen Robert Mergetia ja Juraj Somorovskya sekä Computestin Thijs Alkemadea (@xnyhps) heidän avustaan.
Kohta lisätty 8.10.2019, päivitetty 29.10.2019
Näppäimistö
Haluamme kiittää nimetöntä tutkijaa hänen avustaan.
mDNSResponder
Haluamme kiittää Gregor Langia (e.solutions GmbH) hänen avustaan.
Kohta lisätty 29.10.2019
Profiilit
Haluamme kiittää Erik Johnsonia (Vernon Hills High School) ja James Seeleyä (@Code4iOS, Shriver Job Corps) heidän avustaan.
Kohta päivitetty 29.10.2019
WebKit
Haluamme kiittää MinJeong Kimiä (Information Security Lab, Chungnam National University), JaeCheol Ryouta (Information Security Lab, Chungnam National University, Etelä-Korea), Yiğit Can YILMAZia (@yilmazcanyigit), Zhihua Yaota (DBAPPSecurity Zion Lab), nimetöntä tutkijaa ja Trend Micron Zero Day Initiativen parissa työskentelevää cc:tä heidän avustaan.
Kohta lisätty 8.10.2019, päivitetty 29.10.2019