Tudnivalók az Apple biztonsági frissítéseiről
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.
Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.
A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
tvOS 14.5
Kiadási dátum: 2021. április 26.
AppleMobileFileIntegrity
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: A rosszindulatú alkalmazások meg tudták kerülni az adatvédelmi beállításokat.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy kódaláírások hitelesítésével kapcsolatos problémát.
CVE-2021-1849: Siguza
Assets
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: A helyi felhasználók magas jogosultságú fájlokat tudtak létrehozni vagy módosítani.
Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.
CVE-2021-1836: anonim kutató
Audio
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Az alkalmazások olvasni tudták a korlátozott memóriát.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy memóriasérülési hibát.
CVE-2021-1808: JunDong Xie (Ant Security Light-Year Lab)
CFNetwork
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor adott esetben felfedhetők voltak a bizalmas felhasználói adatok.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriainicializálási hibát.
CVE-2021-1857: anonim kutató
CoreAudio
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor felfedhető volt a korlátozott memória.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.
CVE-2021-1846: JunDong Xie (Ant Security Light-Year Lab)
CoreAudio
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: A rosszindulatú alkalmazások olvasni tudták a korlátozott memóriát.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy memóriasérülési hibát.
CVE-2021-1809: JunDong Xie (Ant Security Light-Year Lab)
CoreText
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott betűtípusok feldolgozása lehetőséget adott a folyamatmemória közzétételére.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2021-1811: Xingwei Lin (Ant Security Light-Year Lab)
FontParser
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott betűtípusfájlok feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.
CVE-2021-1881: anonim kutató, Xingwei Lin (Ant Security Light-Year Lab), Mickey Jin (Trend Micro) és Hou JingYi (@hjy79425575, Qihoo 360)
Foundation
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy memóriasérülési hibát.
CVE-2021-1882: Gabe Kirkpatrick (@gabe_k)
Foundation
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: A rosszindulatú alkalmazások gyökérszintű jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb logika alkalmazásával elhárítottunk egy hitelesítési hibát.
CVE-2021-1813: Cees Elzinga
Heimdal
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott szerverüzenet feldolgozásakor sérült a halommemória.
Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.
CVE-2021-1883: Gabe Kirkpatrick (@gabe_k)
Heimdal
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: A távoli támadók szolgáltatásmegtagadást tudtak előidézni.
Leírás: Hatékonyabb zárolás révén hárítottunk el egy versenyhelyzeti problémát.
CVE-2021-1884: Gabe Kirkpatrick (@gabe_k)
ImageIO
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli olvasási hibát.
CVE-2021-1885: CFF (Topsec Alpha Team)
ImageIO
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.
CVE-2021-30653: Ye Zhang (Baidu Security)
CVE-2021-1843: Ye Zhang (Baidu Security)
ImageIO
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli írási hibát.
CVE-2021-1858: Mickey Jin (Trend Micro)
iTunes Store
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: A JavaScript-végrehajtással rendelkező támadók tetszőleges programkódot tudtak futtatni.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.
CVE-2021-1864: CodeColorist (Ant-Financial LightYear Labs)
Kernel
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: A rosszindulatú alkalmazások fel tudták fedni a kernelmemóriát
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriainicializálási hibát.
CVE-2021-1860: @0xalsr
Kernel
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: A kernelszintű jogosultsággal rendelkező rosszindulatú alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.
CVE-2021-1816: Tielei Wang (Pangu Lab)
Kernel
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2021-1851: @0xalsr
Kernel
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Előfordult, hogy az átmásolt fájlok nem a várt fájlengedélyekkel rendelkeztek.
Leírás: Hatékonyabb engedélyezési logikával küszöböltük ki a problémát.
CVE-2021-1832: anonim kutató
Kernel
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: A rosszindulatú alkalmazások fel tudták fedni a kernelmemóriát
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli olvasási hibát.
CVE-2021-30660: Alex Plaskett
libxpc
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: A rosszindulatú alkalmazások gyökérszintű jogosultságokat tudtak szerezni.
Leírás: További hitelesítéssel hárítottunk el egy versenyhelyzeti problémát.
CVE-2021-30652: James Hutchins
libxslt
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott fájlok feldolgozásakor sérült a halommemória.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy kétszeres felszabadítást előidéző hibát.
CVE-2021-1875: megtaláló: OSS-Fuzz
MobileInstallation
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: A helyi felhasználók módosítani tudták a fájlrendszer védett részeit.
Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.
CVE-2021-1822: Bruno Virlet (The Grizzly Labs)
Preferences
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: A helyi felhasználók módosítani tudták a fájlrendszer védett részeit.
Leírás: Az elérési útvonalak hatékonyabb ellenőrzésével elhárítottunk egy, a könyvtárak elérési útjának kezelésében fennálló elemzési hibát.
CVE-2021-1815: Zhipeng Huo (@R3dF09) és Yuebin Sun (@yuebinsun2020, Tencent Security Xuanwu Lab, xlab.tencent.com)
CVE-2021-1739: Zhipeng Huo (@R3dF09) és Yuebin Sun (@yuebinsun2020, Tencent Security Xuanwu Lab, xlab.tencent.com)
CVE-2021-1740: Zhipeng Huo (@R3dF09) és Yuebin Sun (@yuebinsun2020, Tencent Security Xuanwu Lab, xlab.tencent.com)
Tailspin
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Előfordult, hogy egy helyi támadó magasabb szintű jogosultságokat tudott szerezni magának.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2021-1868: Tim Michaud (Zoom Communications)
WebKit
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy memóriasérülési hibát.
CVE-2021-1844: Clément Lecigne (Google Threat Analysis Group), Alison Huffman (Microsoft Browser Vulnerability Research)
WebKit
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy beviteli érvényesség-ellenőrzési problémát.
CVE-2021-1825: Alex Camboe (Aon’s Cyber Solutions)
WebKit
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2021-1817: zhunki
Bejegyzés frissítve: 2021. május 6.
WebKit
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása univerzális, webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.
Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.
CVE-2021-1826: anonim kutató
WebKit
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor lehetővé vált a folyamatmemória közzététele.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriainicializálási hibát.
CVE-2021-1820: André Bargull
Bejegyzés frissítve: 2021. május 6.
WebKit Storage
A következő készülékekhez érhető el: Apple TV 4K és Apple TV HD.
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor. Az Apple tud egy jelentésről, mely szerint lehet, hogy ezt a problémát aktívan kihasználták.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.
CVE-2021-30661: yangkang(@dnpushme, 360 ATA)
További köszönetnyilvánítás
Assets
Köszönjük Cees Elzinga segítségét.
Bejegyzés hozzáadva: 2021. május 6.
CoreAudio
Köszönjük egy anonim kutató segítségét.
Bejegyzés hozzáadva: 2021. május 6.
CoreCrypto
Köszönjük Andy Russon (Orange Group) segítségét.
Bejegyzés hozzáadva: 2021. május 6.
Foundation
Köszönjük CodeColorist (Ant-Financial LightYear Labs) segítségét.
Bejegyzés hozzáadva: 2021. május 6.
Kernel
Köszönjük Antonio Frighetto (Politecnico di Milano), a GRIMM, Keyu Man, Zhiyun Qian, Zhongjie Wang, Xiaofeng Zheng, Youjun Huang, Haixin Duan, Mikko Kenttälä (@Turmio_; SensorFu), Proteas és Tielei Wang (Pangu Lab) segítségét.
Bejegyzés hozzáadva: 2021. május 6.
Security
Köszönjük Xingwei Lin (Ant Security Light-Year Lab) és john (@nyan_satan) segítségét.
Bejegyzés hozzáadva: 2021. május 6.
sysdiagnose
Köszönjük Tim Michaud (@TimGMichaud; Leviathan) segítségét.
Bejegyzés hozzáadva: 2021. május 6.
WebKit
Köszönjük Emilio Cobos Álvarez (Mozilla) segítségét.
Bejegyzés hozzáadva: 2021. május 6.
WebSheet
Köszönjük Patrick Clover (független kutató) segítségét.
Bejegyzés hozzáadva: 2021. május 6.