Tietoja Applen suojauspäivityksistä
Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on lueteltu Applen suojausjulkaisut ‑sivulla.
Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
Lisätietoja turvallisuudesta on Applen tuoteturvallisuus -sivulla.
tvOS 17
Julkaistu 18.9.2023
Airport
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä lukemaan luottamuksellisia sijaintitietoja.
Kuvaus: lupaongelma on ratkaistu parantamalla arkaluonteisten tietojen sensurointia.
CVE-2023-40384: Adam M.
App Store
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: etähyökkääjä saattoi pystyä poistumaan verkkosisällön eristyksestä.
Kuvaus: ongelma on ratkaistu parantamalla protokollien käsittelyä.
CVE-2023-40448: w0wbox
Apple Neural Engine
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2023-40432: Mohamed GHANNAM (@_simo36)
CVE-2023-41174: Mohamed GHANNAM (@_simo36)
CVE-2023-40409: Ye Zhang (@VAR10CK, Baidu Security)
CVE-2023-40412: Mohamed GHANNAM (@_simo36)
Apple Neural Engine
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.
CVE-2023-41071: Mohamed GHANNAM (@_simo36)
Apple Neural Engine
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä paljastamaan kernel-muistin sisältöä.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2023-40399: Mohamed GHANNAM (@_simo36)
Apple Neural Engine
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä paljastamaan kernel-muistin sisältöä.
Kuvaus: rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2023-40410: Tim Michaud (@TimGMichaud, Moveworks.ai)
AuthKit
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.
Kuvaus: ongelma on ratkaistu parantamalla välimuistien käsittelyä.
CVE-2023-32361: Csaba Fitzl (@theevilbit, Offensive Security)
Bluetooth
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: fyysisesti laitteen lähellä oleva hyökkääjä saattoi aiheuttaa rajoitetusti rajojen ulkopuolista kirjoittamista.
Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.
CVE-2023-35984: zer0k
bootp
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä lukemaan luottamuksellisia sijaintitietoja.
Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.
CVE-2023-41065: Adam M., Noah Roskin-Frazee ja professori Jason Lau (ZeroClicks.ai Lab)
CFNetwork
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi ei välttämättä onnistunut vahvistamaan App Transport Security -vaatimuksia.
Kuvaus: ongelma on ratkaistu parantamalla protokollien käsittelyä.
CVE-2023-38596: Will Brattain (Trail of Bits)
CoreAnimation
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: verkkosisällön käsittely saattoi aiheuttaa palveluneston.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2023-40420: 이준성 (Junsung Lee, Cross Republic)
Core Data
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä ohittamaan tietosuoja-asetukset.
Kuvaus: tämä ongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.
CVE-2023-40528: Kirin (@Pwnrin, NorthSea)
Kohta lisätty 22.1.2024
Dev Tools
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.
Kuvaus: ongelma on ratkaistu parantamalla tarkistuksia.
CVE-2023-32396: Mickey Jin (@patch1t)
Game Center
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä käyttämään yhteystietoja.
Kuvaus: ongelma on ratkaistu parantamalla välimuistien käsittelyä.
CVE-2023-40395: Csaba Fitzl (@theevilbit, Offensive Security)
GPU Drivers
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä paljastamaan kernel-muistin sisältöä.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2023-40391: Antonio Zekic (@antoniozekic, Dataflow Security)
Kernel
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: ytimen koodia suorittanut hyökkääjä saattoi pystyä ohittamaan ydinmuistin korjaavat toimet.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2023-41981: Linus Henze (Pinauten GmbH, pinauten.de)
Kernel
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2023-41984: Pan ZhenPeng (@Peterpan0927, STAR Labs SG Pte. Ltd.)
Kernel
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä käyttämään arkaluonteisia käyttäjätietoja.
Kuvaus: käyttöoikeusongelma on ratkaistu parantamalla validointia.
CVE-2023-40429: Michael (Biscuit) Thomas ja 张师傅(@京东蓝军)
libpcap
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: etäkäyttäjä saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: ongelma on ratkaistu parantamalla tarkistuksia.
CVE-2023-40400: Sei K.
libxpc
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä poistamaan tiedostoja, joihin sillä ei ole lupaa.
Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.
CVE-2023-40454: Zhipeng Huo (@R3dF09, Tencent Security Xuanwu Lab, xlab.tencent.com)
libxpc
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä käyttämään suojattuja käyttäjätietoja.
Kuvaus: valtuutusongelma ratkaistiin parantamalla tilanhallintaa.
CVE-2023-41073: Zhipeng Huo (@R3dF09, Tencent Security Xuanwu Lab, xlab.tencent.com)
libxslt
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: verkkosisällön käsitteleminen saattoi paljastaa arkaluontoisia tietoja.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2023-40403: Dohyun Lee (@l33d0hyun, PK Security)
Maps
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä lukemaan luottamuksellisia sijaintitietoja.
Kuvaus: ongelma on ratkaistu parantamalla välimuistien käsittelyä.
CVE-2023-40427: Adam M. ja Wojciech Regula (SecuRing, wojciechregula.blog)
MobileStorageMounter
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: käyttäjä saattoi pystyä hankkimaan laajemmat käyttöoikeudet.
Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä käyttöoikeusrajoituksia.
CVE-2023-41068: Mickey Jin (@patch1t)
Photos Storage
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä käyttämään väliaikaiseen hakemistoon tallennettuja muokattuja kuvia.
Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.
CVE-2023-40456: Kirin (@Pwnrin)
CVE-2023-40520: Kirin (@Pwnrin)
Pro Res
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2023-41063: Certik Skyfall Team
Sandbox
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä korvaamaan mielivaltaisia tiedostoja.
Kuvaus: ongelma on ratkaistu parantamalla rajojen tarkastuksia.
CVE-2023-40452: Yiğit Can YILMAZ (@yilmazcanyigit)
Simulator
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.
Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.
CVE-2023-40419: Arsenii Kostromin (0x3c3e)
StorageKit
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: appi saattoi pystyä lukemaan mielivaltaisia tiedostoja.
Kuvaus: ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.
CVE-2023-41968: Mickey Jin (@patch1t), James Hutchins
WebKit
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.
WebKit Bugzilla: 256551
CVE-2023-41074: 이준성(Junsung Lee, Cross Republic) ja Jie Ding(@Lime, HKUS3 Lab)
Kohta päivitetty 22.12.2023
WebKit
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
WebKit Bugzilla: 239758
CVE-2023-35074: Ajou University Abysslab Dong Jun Kim(@smlijun) ja Jong Seong Kim(@nevul37)
Kohta päivitetty 22.12.2023
WebKit
Saatavuus: Apple TV HD ja Apple TV 4K (kaikki mallit)
Vaikutus: verkkosisällön käsitteleminen saattaa johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.
WebKit Bugzilla: 258992
CVE-2023-40414: Francisco Alonso (@revskills)
Kohta lisätty 22.12.2023
Kiitokset
Airport
Haluamme kiittää avusta Adam M:ää, Noah Roskin-Frazeeta ja professori Jason Lauta (ZeroClicks.ai Lab).
AppSandbox
Haluamme kiittää avusta Kirinia (@Pwnrin).
Audio
Haluamme kiittää avusta Mickey Jiniä (@patch1t).
Bluetooth
Haluamme kiittää avusta Jianjun Daita ja Guang Gongia (360 Vulnerability Research Institute).
Control Center
Haluamme kiittää avusta Chester van den Bogaardia.
Kernel
Haluamme kiittää avusta Bill Marczakia (Citizen Lab, University of Toronton Munk School) ja Maddie Stonea (Googlen Threat Analysis Group) ja henkilöä 永超 王.
libxml2
Haluamme kiittää avusta OSS-Fuzzia ja Ned Williamsonia (Google Project Zero).
libxpc
Haluamme kiittää avusta nimetöntä tutkijaa.
libxslt
Haluamme kiittää avusta Dohyun Leetä (@l33d0hyun, PK Security), OSS-Fuzzia ja Ned Williamsonia (Google Project Zero).
NSURL
Haluamme kiittää avusta Zhanpeng Zhaoa (行之) ja henkilöä 糖豆爸爸(@晴天组织).
Photos
Haluamme kiittää avusta Dawid Pałuskaa ja Kiriniä (@Pwnrin).
Photos Storage
Haluamme kiittää avusta Wojciech Regulaa (SecuRing, wojciechregula.blog).
Power Services
Haluamme kiittää avusta Mickey Jiniä (@patch1t).
Shortcuts
Haluamme kiittää avusta Alfie CG:tä, Christian Bastingia (Bundesamt für Sicherheit in der Informationstechnik), Cristian Dincaa (Tudor Vianu National High School of Computer Science, Romania), Giorgos Christodoulidisia, Jubaer Alnazia (TRS Group Of Companies), KRISHAN KANT DWIVEDIa (@xenonx7) ja Matthew Butleria.
Kohta päivitetty 24.4.2024
Software Update
Haluamme kiittää avusta Omar Simania.
Spotlight
Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, Lakshmi Narain College of Technology, Bhopal) ja Dawid Pałuskaa.
StorageKit
Haluamme kiittää avusta Mickey Jiniä (@patch1t).
WebKit
Haluamme kiittää avusta Khiem Trania, Narendra Bhatia (Suma Soft Pvt. Ltd) ja nimetöntä tutkijaa.
Wi-Fi
Haluamme kiittää avusta Wang Yuta (Cyberserval).