Informacije o sigurnosnom sadržaju sustava tvOS 16.2
U ovom se dokumentu opisuje sigurnosni sadržaj sustava tvOS 16.2.
Informacije o Appleovim sigurnosnim ažuriranjima
Radi zaštite korisnika, Apple ne otkriva i ne potvrđuje sigurnosne probleme niti o njima raspravlja dok se ne provede istraga i ne stave na raspolaganje zakrpe ili novija izdanja. Nedavna izdanja navedena su na stranici Appleova sigurnosna ažuriranja.
Kad god je moguće, Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID.
Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda.
tvOS 16.2
Objavljeno 13. prosinca 2022.
Accounts
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: korisnik bi mogao pregledavati osjetljive korisničke informacije
Opis: taj je problem riješen poboljšanom zaštitom podataka.
CVE-2022-42843: Mickey Jin (@patch1t)
AppleAVD
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: raščlanjivanje zlonamjerne videodatoteke može uzrokovati izvršavanje kernelskog koda
Opis: problem s pisanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2022-46694: Andrey Labunets i Nikita Tarakanov
AppleMobileFileIntegrity
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: aplikacija bi mogla zaobići Postavke privatnosti
Opis: ovaj problem riješen je omogućavanjem dodatnog osiguranja pokretanja.
CVE-2022-42865: Wojciech Reguła (@_r3ggi) (SecuRing)
AVEVideoEncoder
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti
Opis: logički problem riješen je poboljšanim provjerama.
CVE-2022-42848: ABC Research s.r.o
ImageIO
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: obradom zlonamjerne datoteke može doći do izvršavanja proizvoljnog koda
Opis: problem s pisanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2022-46693: Mickey Jin (@patch1t)
ImageIO
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: raščlanjivanjem zlonamjerne TIFF datoteke može doći do otkrivanja korisničkih podataka
Opis: problem je riješen poboljšanim rukovanjem memorijom.
CVE-2022-42851: Mickey Jin (@patch1t)
IOHIDFamily
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti
Opis: uvjet nadvladavanja riješen je poboljšanim upravljanjem stanjem.
CVE-2022-42864: Tommy Muir (@Muirey03)
IOMobileFrameBuffer
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti
Opis: problem s pisanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2022-46690: John Aakerblom (@jaakerblom)
iTunes Store
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: udaljeni korisnik mogao bi uzrokovati neočekivano zatvaranje aplikacije ili izvršavanje proizvoljnog koda
Opis: problem je postojao u raščlanjivanju URL-ova. Problem je riješen poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2022-42837: Weijia Dai (@dwj1210) iz tvrtke Momo Security
Unos je dodan 7. lipnja 2023.
Kernel
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti
Opis: problem dvostrukog oslobađanja riješen je poboljšanim upravljanjem memorijom.
CVE-2022-43454: Adam Doupé (ASU SEFCOM)
Unos je dodan 06. ožujka 2025.
Kernel
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti
Opis: uvjet nadvladavanja riješen je dodatnom provjerom valjanosti.
CVE-2022-46689: Ian Beer (Google Project Zero)
Kernel
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: povezivanje sa zlonamjernim NFS poslužiteljem može uzrokovati izvršavanje proizvoljnog koda uz kernelske ovlasti
Opis: problem je riješen poboljšanim provjerama ograničenja.
CVE-2022-46701: Felix Poulin-Belanger
Kernel
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: udaljeni korisnik mogao bi uzrokovati izvršavanje kernelskog koda
Opis: problem je riješen poboljšanim rukovanjem memorijom.
CVE-2022-42842: pattern-f (@pattern_F_) iz tvrtke Ant Security Light-Year Lab
Kernel
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: aplikacija s korijenskim ovlastima mogla bi izvršiti proizvoljni kod s kernelskim ovlastima
Opis: problem je riješen poboljšanim rukovanjem memorijom.
CVE-2022-42845: Adam Doupé iz organizacije ASU SEFCOM
Kernel
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: napadač s mogućnošću proizvoljnog čitanja i pisanja mogao bi zaobići autorizaciju pokazivača. Apple je upoznat s izvješćem da se ovaj problem možda iskorištavao protiv verzija sustava iOS izdanih prije sustava iOS 15.7.1.
Opis: problem je riješen poboljšanim provjerama.
CVE-2022-48618: Apple
Unos je dodan 9. siječnja 2024.
libxml2
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: udaljeni korisnik mogao bi uzrokovati neočekivano zatvaranje aplikacije ili izvršavanje proizvoljnog koda
Opis: prekoračenje cijelog broja riješeno je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2022-40303: Maddie Stone (Google Project Zero)
libxml2
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: udaljeni korisnik mogao bi uzrokovati neočekivano zatvaranje aplikacije ili izvršavanje proizvoljnog koda
Opis: taj je problem riješen poboljšanim provjerama.
CVE-2022-40304: Ned Williamson i Nathan Wachholz (Google Project Zero)
Preferences
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: aplikacija bi mogla koristiti proizvoljna ovlaštenja
Opis: logički problem riješen je poboljšanim upravljanjem stanjem.
CVE-2022-42855: Ivan Fratric iz tvrtke Google Project Zero
Safari
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: posjet web-mjestu koje sadrži okvire sa zlonamjernim sadržajem može dovesti do lažiranja korisničkog sučelja
Opis: u načinu obrade URL-ova otkriven je problem s lažiranjem. Problem je riješen poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2022-46695: KirtiKumar Anandrao Ramchandani
Software Update
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: korisnik bi si mogao povećati ovlasti
Opis: otkriven je problem s pristupom prilikom API poziva s ovlastima. Problem je riješen dodatnim ograničenjima.
CVE-2022-42849: Mickey Jin (@patch1t)
Weather
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: određena aplikacija mogla bi čitati osjetljive podatke o lokaciji
Opis: problem je riješen poboljšanim rukovanjem predmemorijama.
CVE-2022-42866: Adam M.
Unos ažuriran 16. kolovoza 2024.
WebKit
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: posjet zlonamjernom web-mjestu mogao bi izazvati krivotvorenje adresne trake
Opis: u načinu obrade URL-ova otkriven je problem s lažiranjem. Problem je riješen poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2022-46705: Hyeon Park (@tree_segment) iz tima ApplePIE
Unos je dodan 7. lipnja 2023.
WebKit
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda
Opis: problem s korištenjem memorijom nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.
WebKit Bugzilla: 245521
CVE-2022-42867: Maddie Stone (Google Project Zero)
WebKit
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda
Opis: problem s potrošnjom memorije riješen je poboljšanim upravljanjem memorijom.
WebKit Bugzilla: 245466
CVE-2022-46691: anonimni istraživač
WebKit
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: obrada zlonamjernog web sadržaja mogla bi zaobići Pravilo istog podrijetla
Opis: logički problem riješen je poboljšanim upravljanjem stanjem.
WebKit Bugzilla: 246783
CVE-2022-46692: KirtiKumar Anandrao Ramchandani
WebKit
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: obradom zlonamjernog web-sadržaja može se otkriti procesna memorija
Opis: problem je riješen poboljšanim rukovanjem memorijom.
CVE-2022-42852: hazbinhotel koji surađuje s tvrtkom Trend Micro Zero Day Initiative
WebKit
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda
Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti ulaznih podataka.
WebKit Bugzilla: 246942
CVE-2022-46696: Samuel Groß (Google V8 Security)
WebKit Bugzilla: 247562
CVE-2022-46700: Samuel Groß (Google V8 Security)
WebKit
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: obradom zlonamjernog web-sadržaja može doći do otkrivanja osjetljivih korisničkih podataka
Opis: logički problem riješen je poboljšanim provjerama.
CVE-2022-46698: Dohyun Lee (@l33d0hyun) (SSD Secure Disclosure Labs) & DNSLab, Korejsko sveučilište
WebKit
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda
Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem stanjem.
WebKit Bugzilla: 247420
CVE-2022-46699: Samuel Groß (Google V8 Security)
WebKit Bugzilla: 244622
CVE-2022-42863: anonimni istraživač
WebKit
Dostupno za: Apple TV 4K, Apple TV 4K (druge generacije i noviji) i Apple TV HD
Učinak: obradom zlonamjernog web-sadržaja može doći do izvršavanja proizvoljnog koda. Apple je upoznat s izvješćem da se ovaj problem možda aktivno iskorištavao protiv verzija sustava iOS izdanih prije sustava iOS 15 1.
Opis: problem sa zamjenom vrste riješen je poboljšanim upravljanjem stanjem.
WebKit Bugzilla: 248266
CVE-2022-42856: Clément Lecigne iz skupine tvrtke Google za analizu prijetnji
Dodatna zahvala
Kernel
Zahvaljujemo korisniku Zweig iz tima Kunlun Lab na pomoći.
Safari Extensions
Zahvaljujemo Oliveru Dunku i Christianu R. iz tima 1Password na pomoći.
WebKit
Zahvaljujemo na pomoći anonimnom istraživaču i korisniku scarlet.
Informacije koje Apple daje o proizvodima koje nije on proizveo ili neovisnim web-stranicama nad kojima nema nadzor niti ih je testirao ne podrazumijevaju da te proizvode Apple preporučuje niti da za njih daje podršku. Apple nije odgovoran za odabir, performanse ni korištenje web-stranica ili proizvoda drugih proizvođača. Apple ne iznosi mišljenja o točnosti ni pouzdanosti web-stranica drugih proizvođača. Dodatne informacije zatražite od dobavljača proizvoda.