A tvOS 15.6 biztonsági tartalma

Ez a dokumentum a tvOS 15.6 biztonsági változásjegyzékét ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

tvOS 15.6

APFS

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: A gyökérszintű jogosultsággal rendelkező alkalmazások tetszőleges kódvégrehajtást tudtak előidézni

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2022-32832: Tommy Muir (@Muirey03)

AppleAVD

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: A távoli felhasználók elő tudták idézni egy kernelkód végrehajtását

Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.

CVE-2022-32788: Natalie Silvanovich (Google Project Zero)

AppleAVD

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Egyes alkalmazások képesek voltak felfedni a kernelmemóriát

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2022-32824: Antonio Zekic (@antoniozekic) és John Aakerblom (@jaakerblom)

AppleMobileFileIntegrity

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Egyes alkalmazások gyökérszintű jogosultságot tudtak szerezni

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy engedélyekkel kapcsolatos problémát.

CVE-2022-32826: Mickey Jin (@patch1t; Trend Micro)

Audio

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal

Leírás: Hatékonyabb bemenet-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.

CVE-2022-32820: anonim kutató

Audio

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Egyes alkalmazások képesek voltak felfedni a kernelmemóriát

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2022-32825: John Aakerblom (@jaakerblom)

CoreMedia

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Egyes alkalmazások képesek voltak felfedni a kernelmemóriát

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2022-32828: Antonio Zekic (@antoniozekic) és John Aakerblom (@jaakerblom)

CoreText

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Egy távoli támadó váratlan alkalmazásleállást tudott előidézni, illetve tetszőleges programkódot tudott végrehajtani

Leírás: Hatékonyabb határérték-ellenőrzésekkel kiküszöböltük a problémát.

CVE-2022-32839: STAR Labs (@starlabs_sg)

File System Events

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Egyes alkalmazások gyökérszintű jogosultságot tudtak szerezni

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2022-32819: Joshua Mason (Mandiant)

GPU Drivers

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Egyes alkalmazások képesek voltak felfedni a kernelmemóriát

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk több határértéken kívüli írási hibát.

CVE-2022-32793: anonim kutató

GPU Drivers

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal

Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy memóriasérülési hibát.

CVE-2022-32821: John Aakerblom (@jaakerblom)

iCloud Photo Library

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói információkhoz hozzáférni

Leírás: Elhárítottunk egy információfelfedéssel kapcsolatos problémát a sebezhető kód eltávolításával.

CVE-2022-32849: Joshua Jones

ICU

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli írási hibát.

CVE-2022-32787: Dohyun Lee (@l33d0hyun, SSD Secure Disclosure Labs & DNSLab), Korea Univ.

ImageIO

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Az ártó szándékkal létrehozott képek feldolgozása lehetőséget adott a folyamatmemória közzétételére

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2022-32841: hjy79425575

ImageIO

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott fájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.

CVE-2022-32802: Ivan Fratric (Google Project Zero), Mickey Jin (@patch1t)

ImageIO

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Egy ártó szándékkal létrehozott szövegfájl elemzése a felhasználói adatok felfedéséhez vezetett.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli olvasási hibát.

CVE-2022-32830: Ye Zhang (@co0py_Cat), Baidu Security

JavaScriptCore

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: A webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség

Leírás: Hatékonyabb határérték-ellenőrzésekkel kiküszöböltük a problémát.

CVE-2022-48503: Dongzhuo Zhao (ADLab of Venustech) és ZhaoHai (Cyberpeace Tech Co., Ltd.)

Kernel

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: A gyökérszintű jogosultsággal rendelkező alkalmazások tetszőleges kódvégrehajtást tudtak előidézni

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2022-32813: Xinru Chi (Pangu Lab)

CVE-2022-32815: Xinru Chi (Pangu Lab)

Kernel

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Egyes alkalmazások képesek voltak felfedni a kernelmemóriát

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli olvasási hibát.

CVE-2022-32817: Xinru Chi (Pangu Lab)

Kernel

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: A kernelszintű olvasási és írási képességekkel rendelkező alkalmazások bizonyos esetekben meg tudták kerülni a Mutatóhitelesítést

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2022-32844: Sreejith Krishnan R (@skr0x1c0)

Liblouis

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Egy támadó váratlan alkalmazásleállást tudott előidézni, illetve tetszőleges programkódot tudott végrehajtani

Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.

CVE-2022-26981: Hexhive (hexhive.epfl.ch), NCNIPC (Kína, nipc.org.cn)

libxml2

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói információkat kiszivárogtatni

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriainicializálási hibát.

CVE-2022-32823

Multi-Touch

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal

Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy típustévesztési hibát.

CVE-2022-32814: Pan ZhenPeng (@Peterpan0927)

Software Update

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: A magas hálózati jogosultságú felhasználók nyomon tudták követni a felhasználói tevékenységeket

Leírás: Az információk hálózati továbbítása során HTTPS használatával megoldottuk a problémát.

CVE-2022-32857: Jeffrey Paul (sneak.berlin)

WebKit

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2022-32863: P1umer (@pumer), afang (@afang5472) és xmzyshypnc (@xmzyshypnc1)

WebKit

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Egy rosszindulatú tartalmakat tartalmazó webhely hozzá tudott férni a felhasználói felülethez

Leírás: A probléma a felhasználói felület hatékonyabb kezelésével hárult el.

CVE-2022-32816: Dohyun Lee (@l33d0hyun, SSD Secure Disclosure Labs & DNSLab), Korea Univ.

WebKit

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb bemenet-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.

CVE-2022-32792: Manfred Paul (@_manfp) a Trend Micro Zero Day Initiative kezdeményezés keretében

Wi-Fi

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: Az alkalmazások váratlan rendszerleállást tudtak előidézni, illetve írni tudtak a kernelmemóriába

Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.

CVE-2022-32837: Wang Yu (Cyberserval)

Wi-Fi

A következőkhöz érhető el: Apple TV 4K, Apple TV 4K (2. generációs) és Apple TV HD.

Érintett terület: A távoli felhasználók váratlan rendszerleállást tudtak előidézni, illetve sérülést tudtak okozni a kernelmemóriában

Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.

CVE-2022-32847: Wang Yu (Cyberserval)

További köszönetnyilvánítás

802.1X

Szeretnénk megköszönni Shin Sun (National Taiwan University) segítségét.

AppleMobileFileIntegrity

Szeretnénk megköszönni Csaba Fitzl (@theevilbit, Offensive Security), Mickey Jin (@patch1t, Trend Micro) és Wojciech Reguła (@_r3ggi, SecuRing) segítségét.

configd

Szeretnénk megköszönni Csaba Fitzl (@theevilbit, Offensive Security), Mickey Jin (@patch1t, Trend Micro) és Wojciech Reguła (@_r3ggi, SecuRing) segítségét.