À propos des correctifs de sécurité de tvOS 18.5

Ce document décrit le contenu de sécurité de tvOS 18.5.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE, dans la mesure du possible.

Pour obtenir des informations supplémentaires en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

tvOS 18.5

AppleJPEG

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : le traitement d’un fichier média malveillant pourrait entraîner la fermeture inopinée d’une app ou une corruption de la mémoire de traitement.

Description : le problème a été résolu par un meilleur nettoyage des entrées.

CVE-2025-31251 : Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

Core Bluetooth

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur.

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2025-31212 : Guilherme Rambo de Best Buddy Apps (rambo.codes)

CoreAudio

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : l’analyse d’un fichier peut entraîner la fermeture inopinée d’une app.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2025-31208 : Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

CoreGraphics

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : l’analyse d’un fichier peut entraîner la divulgation des informations utilisateur.

Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.

CVE-2025-31209 : Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

CoreMedia

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : l’analyse d’un fichier peut entraîner la fermeture inopinée d’une app.

Description : un problème d’utilisation ultérieure libre a été résolu par une meilleure gestion de la mémoire.

CVE-2025-31239 : Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

CoreMedia

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : le traitement d’un fichier vidéo malveillant peut entraîner la fermeture inopinée d’une app ou une corruption de la mémoire de traitement.

Description : le problème a été résolu par un meilleur nettoyage des entrées.

CVE-2025-31233 : Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

ImageIO

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : le traitement d’une image malveillante peut entraîner un déni de service

Description : un problème de logique a été résolu par la réalisation de meilleures vérifications.

CVE-2025-31226 : Saagar Jha

Kernel

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : un attaquant distant ou une attaquante distante est susceptible d’entraîner l’arrêt inopiné du système.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2025-24224 : Tony Iskow (@Tybbow)

Kernel

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : un attaquant ou une attaquante peut être en mesure de provoquer l’arrêt inopiné du système ou de corrompre la mémoire du noyau.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-31219 : Michael DePlante (@izobashi) et Lucas Leong (@_wmliang_) du programme Zero Day Initiative de Trend Micro

Kernel

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : un attaquant ou une attaquante à distance peut provoquer l’arrêt inopiné d’apps.

Description : un problème de double libération de mémoire a été résolu par une meilleure gestion de la mémoire.

CVE-2025-31241 : Christian Kohlschütter

libexpat

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : plusieurs problèmes dans libexpat, notamment la fermeture inopinée d’apps et l’exécution arbitraire de code

Description : une vulnérabilité est présente dans le code open source et les logiciels Apple font partie des projets concernés. La référence CVE a été attribuée par un tiers. Consultez le site cve.org pour en savoir plus sur le problème et la référence CVE.

CVE-2024-8176

mDNSResponder

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : un utilisateur peut être en mesure d’augmenter les privilèges.

Description : un problème de conformité a été résolu par de meilleures vérifications.

CVE-2025-31222 : Paweł Płatek (Trail of Bits)

Pro Res

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : une app pourrait provoquer un arrêt inopiné du système.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2025-31245 : wac

Pro Res

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : un attaquant ou une attaquante peut être en mesure de provoquer l’arrêt inopiné du système ou de corrompre la mémoire du noyau.

Description : le problème a été résolu par un meilleur nettoyage des entrées.

CVE-2025-31234 : CertiK (@CertiK)

Security

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : un attaquant distant peut divulguer le contenu de la mémoire.

Description : un problème de dépassement d’entier a été résolu par une meilleure validation des entrées.

CVE-2025-31221 : Dave G.

WebKit

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : un problème de confusion de types pourrait entraîner une corruption de la mémoire.

Description : ce problème a été résolu par une meilleure gestion des nombres à virgule flottante.

CVE-2025-24213 : Google V8 Security Team

WebKit

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : le traitement d’un contenu web malveillant peut entraîner la corruption de la mémoire.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2025-31223 : Andreas Jaegersberger et Ro Achterberg de Nosebeard Labs

CVE-2025-31238 : wac en collaboration avec le programme Zero Day Initiative de Trend Micro

WebKit

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : le traitement d’un contenu web malveillant peut entraîner la corruption de la mémoire.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-24223 : rheza (@ginggilBesel) et un chercheur ou une chercheuse anonyme

CVE-2025-31204 : Nan Wang(@eternalsakura13)

WebKit

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

Description : ce problème a été résolu par une meilleure validation des entrées.

CVE-2025-31217 : Ignacio Sanmillan (@ulexec)

WebKit

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2025-31215 : Jiming Wang et Jikai Ren

WebKit

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

Description : un problème de confusion de types a été résolu par une meilleure gestion des états.

CVE-2025-31206 : un chercheur ou une chercheuse anonyme

WebKit

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : un site web malveillant peut extraire des données provenant d’origines multiples

Description : le problème a été résolu par de meilleures vérifications.

CVE-2025-31205 : Ivan Fratric de Google Project Zero

WebKit

Disponible pour : Apple TV HD et Apple TV 4K (tous les modèles)

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-31257 : Juergen Schmied de Lynck GmbH

Remerciements supplémentaires

AirDrop

Nous tenons à remercier Dalibor Milanovic pour son aide.

Kernel

Nous tenons à remercier un chercheur anonyme pour son aide.

MobileGestalt

Nous tenons à remercier iisBuri pour son aide.

NetworkExtension

Nous tenons à remercier Andrei-Alexandru Bleorțu pour son aide.

WebKit

Nous tenons à remercier Mike Dougherty et Daniel White de Google Chrome ainsi qu’un chercheur ou une chercheuse anonyme pour leur aide.