A tvOS 13 biztonsági változásjegyzéke

Ez a dokumentum a tvOS 13 biztonsági változásjegyzékét ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

tvOS 13

Kiadás dátuma: 2019. szeptember 24.

AppleFirmwareUpdateKext

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb zárolás révén elhárítottunk egy memóriasérülési biztonsági rést.

CVE-2019-8747: Mohamed Ghannam (@_simo36)

Bejegyzés hozzáadva: 2019. október 29.

Hang

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8706: Yu Zhou (Ant-Financial Light-Year Security Lab)

Bejegyzés hozzáadva: 2019. október 29.

Hang

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor felfedhető volt a korlátozott memória.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határérték-olvasási hibát.

CVE-2019-8850: anonim kutató, a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

Bejegyzés hozzáadva: 2019. december 4.

CFNetwork

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.

Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.

CVE-2019-8753: Łukasz Pilorz (Standard Chartered GBS Poland)

Bejegyzés hozzáadva: 2019. október 29.

CoreAudio

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: Egy rosszindulatú hangfájl lejátszása tetszőleges programkód végrehajtására adott lehetőséget.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8592: riusksk (VulWar Corp), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

Bejegyzés hozzáadva: 2019. november 6.

CoreCrypto

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: Előfordult, hogy nagy mennyiségű bemenet feldolgozásakor szolgáltatásmegtagadás lépett fel.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy szolgáltatásmegtagadási hibát.

CVE-2019-8741: Nicky Mouha (NIST)

Bejegyzés hozzáadva: 2019. október 29.

CoreAudio

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: Az ártó szándékkal létrehozott filmek feldolgozása lehetőséget adott a folyamatmemóriához való illetéktelen hozzáférésre.

Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8705: riusksk (VulWar Corp), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

Bejegyzés hozzáadva: 2019. október 8.

Foundation

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: A távoli támadók váratlan alkalmazásleállást tudtak előidézni, illetve tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2019-8746: Natalie Silvanovich és Samuel Groß (Google Project Zero)

Bejegyzés hozzáadva: 2019. október 29.

IOUSBDeviceFamily

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8718: Joshua Hill és Sem Voigtländer

Bejegyzés hozzáadva: 2019. október 29.

Kernel

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb zárolás révén elhárítottunk egy memóriasérülési biztonsági rést.

CVE-2019-8740: Mohamed Ghannam (@_simo36)

Bejegyzés hozzáadva: 2019. október 29.

Kernel

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: Előfordult, hogy a helyi alkalmazások olvasni tudták az állandó fiókazonosítókat.

Leírás: Hatékonyabb logika alkalmazásával elhárítottunk egy hitelesítési hibát.

CVE-2019-8809: Apple

Bejegyzés hozzáadva: 2019. október 29.

Kernel

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8712: Mohamed Ghannam (@_simo36)

Bejegyzés hozzáadva: 2019. október 29.

Kernel

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: A rosszindulatú alkalmazások meg tudták állapítani a kernelmemória felépítését.

Leírás: Memóriasérülési probléma lépett fel az IPv6-csomagok kezelésekor. Hatékonyabb memóriakezeléssel küszöböltük ki a problémát.

CVE-2019-8744: Zhuo Liang (Qihoo 360 Vulcan Team)

Bejegyzés hozzáadva: 2019. október 29.

Kernel

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8709: derrek (@derrekr6) derrek (@derrekr6)

Bejegyzés hozzáadva: 2019. október 29.

Kernel

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8717: Jann Horn (Google Project Zero)

Bejegyzés hozzáadva: 2019. október 8.

Kernel

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: A rosszindulatú alkalmazások meg tudták állapítani a kernelmemória felépítését.

Leírás: Hatékonyabb engedélyezési logikával küszöböltük ki a problémát.

CVE-2019-8780: Siguza

Bejegyzés hozzáadva: 2019. október 8.

Billentyűzetek

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: A helyi felhasználók ki tudtak szivárogtatni bizalmas jellegű információkat.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy hitelesítéssel kapcsolatos problémát.

CVE-2019-8704: 王 邦 宇 (wAnyBug.Com; SAINTSEC)

libxml2

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: A libxml2 motorral kapcsolatos többféle probléma.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk több memóriasérüléssel kapcsolatos problémát.

CVE-2019-8749: megtaláló: OSS-Fuzz

CVE-2019-8756: megtaláló: OSS-Fuzz

Bejegyzés hozzáadva: 2019. október 8.

libxslt

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: A libxslt motorral kapcsolatos többféle probléma.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk több memóriasérüléssel kapcsolatos problémát.

CVE-2019-8750: megtaláló: OSS-Fuzz

Bejegyzés hozzáadva: 2019. október 29.

mDNSResponder

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: Egy fizikailag a közelben lévő támadó passzív módon megfigyelhette a készülékneveket az AWDL-kommunikációk során.

Leírás: A problémát úgy hárítottuk el, hogy a készülékneveket véletlenszerű azonosítóra cseréltük le.

CVE-2019-8799: David Kreitschmann és Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)

Bejegyzés hozzáadva: 2019. október 29.

UIFoundation

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott szövegfájlok feldolgozásakor tetszőleges kódvégrehajtásra került sor.

Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.

CVE-2019-8745: riusksk (VulWar Corp), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

Bejegyzés hozzáadva: 2019. október 8.

UIFoundation

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8831: riusksk (VulWar Corp), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

Bejegyzés hozzáadva: 2019. november 18.

WebKit

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása univerzális, webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2019-8625: Sergei Glazunov (Google Project Zero)

CVE-2019-8719: Sergei Glazunov (Google Project Zero)

CVE-2019-8764: Sergei Glazunov (Google Project Zero)

Bejegyzés hozzáadva: 2019. október 8., frissítve: 2019. október 29.

WebKit

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb memóriakezeléssel elhárítottak több, memóriasérüléssel kapcsolatos problémát.

CVE-2019-8707: anonim kutató, a Trend Micro Zero Day kezdeményezésének közreműködőjeként; cc, a Trend Micro Zero Day kezdeményezésének közreműködőjeként

CVE-2019-8710: megtaláló: OSS-Fuzz

CVE-2019-8726: Jihui Lu (Tencent KeenLab)

CVE-2019-8728: Junho Jang (LINE Security Team) és Hanul Choi (ABLY Corporation)

CVE-2019-8733: Sergei Glazunov (Google Project Zero)

CVE-2019-8734: megtaláló: OSS-Fuzz

CVE-2019-8735: G. Geshev, a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2019-8743: zhunki (Codesafe Team, Legendsec, Qi'anxin Group)

CVE-2019-8751: Dongzhuo Zhao a Venustech ADLab közreműködőjeként

CVE-2019-8752: Dongzhuo Zhao a Venustech ADLab közreműködőjeként

CVE-2019-8763: Sergei Glazunov (Google Project Zero)

CVE-2019-8765: Samuel Groß (Google Project Zero)

CVE-2019-8766: megtaláló: OSS-Fuzz

CVE-2019-8773: megtaláló: OSS-Fuzz

Bejegyzés hozzáadva: 2019. október 8., frissítve: 2019. október 29.

WebKit

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása univerzális, webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.

Leírás: Hatékonyabb logika alkalmazásával elhárítottunk egy hitelesítési hibát.

CVE-2019-8762: Sergei Glazunov (Google Project Zero)

Bejegyzés hozzáadva: 2019. november 18.

WebKit

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy memóriasérülési hibát.

CVE-2020-9932: Dongzhuo Zhao, a Venustech ADLab közreműködőjeként

Bejegyzés hozzáadva: 2020. július 28.

Wi-Fi

A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.

Érintett terület: A készülékek passzív módon nyomon követhetők voltak a Wi-Fi MAC-címük alapján.

Leírás: Egy felhasználói adatvédelmi probléma hárult el a szórási MAC-cím eltávolításával.

CVE-2019-8854: Ta-Lun Yen (UCCU Hacker), FuriousMacTeam (United States Naval Academy) és Mitre Cooperation

Bejegyzés hozzáadva: 2019. december 4.

További köszönetnyilvánítás

Hang

Köszönjük riusksk (VulWar Corp, a Trend Micro Zero Day Initiative kezdeményezésének közreműködője) segítségét.

Bejegyzés hozzáadva: 2019. október 29.

boringssl

Köszönjük Nimrod Aviram (Tel Aviv University), Robert Merget (Ruhr University Bochum), Juraj Somorovsky (Ruhr University Bochum), Thijs Alkemade (@xnyhps, Computest) segítségét.

Bejegyzés hozzáadva: 2019. október 8., frissítve: 2019. október 29.

HomeKit

Köszönjük Tian Zhang segítségét.

Bejegyzés hozzáadva: 2019. október 29.

Kernel

Köszönjük Brandon Azad (Google Project Zero) és Vlad Tsyrklevich segítségét.

Bejegyzés frissítve: 2020. július 28.

Billentyűzet

Köszönjük Sara Haradhvala (Harlen Web Consulting) és egy anonim kutató segítségét.

Bejegyzés frissítve: 2020. július 28.

mDNSResponder

Köszönjük Gregor Lang (e.solutions GmbH) segítségét.

Bejegyzés hozzáadva: 2019. október 29.

Profilok

Köszönjük Erik Johnson (Vernon Hills High School), James Seeley (@Code4iOS, Shriver Job Corps), James Seeley (@Code4iOS, Shriver Job Corps) segítségét.

Bejegyzés frissítve: 2019. október 29.

WebKit

Köszönjük MinJeong Kim (Information Security Lab, Chungnam National University), JaeCheol Ryou (Information Security Lab, Chungnam National University, Dél-Korea), Yiğit Can YILMAZ (@yilmazcanyigit), Zhihua Yao (DBAPPSecurity Zion Lab), egy anonim kutató, és cc (a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként) segítségét.

Bejegyzés hozzáadva: 2019. október 8., frissítve: 2019. október 29.

A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.

Közzététel dátuma: