Tudnivalók az Apple biztonsági frissítéseiről
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.
Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.
A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
tvOS 16.3
Kiadási dátum: 2023. január 24.
AppleMobileFileIntegrity
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Egyes alkalmazások meg tudták kerülni az adatvédelmi beállításokat
Leírás: Úgy hárítottuk el a problémát, hogy hatékonyabb ellenőrzéseket vezettünk be a jogosulatlan műveletek megakadályozására.
CVE-2023-32438: Fitzl Csaba (@theevilbit, Offensive Security) és Mickey Jin (@patch1t)
Bejegyzés hozzáadva 2023. szeptember 5-én.
AppleMobileFileIntegrity
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni
Leírás: Megerősített futtatási idővel hárítottuk el a problémát.
CVE-2023-23499: Wojciech Reguła (@_r3ggi, SecuRing; wojciechregula.blog)
Crash Reporter
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: A felhasználók root felhasználóként olvasni tudtak tetszőleges fájlokat.
Leírás: További hitelesítéssel hárítottunk el egy versenyhelyzeti problémát.
CVE-2023-23520: Cees Elzinga
Bejegyzés hozzáadva: 2023. június 7.
FontParser
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: A betűtípusfájlok feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség. Az Apple tisztában van vele, hogy a problémát aktívan kihasználták az iOS 15.7.1 előtt kiadott iOS-verziókban.
Leírás: A gyorsítótárak hatékonyabb kezelésével hárítottuk el a problémát.
CVE-2023-41990: Apple
Bejegyzés hozzáadva: 2023. szeptember 8.
ImageIO
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: A képek feldolgozása szolgáltatásmegtagadáshoz vezethetett
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2023-23519: Meysam Firouzi @R00tkitSMM (Mbition Mercedes-Benz Innovation Lab), Yiğit Can YILMAZ (@yilmazcanyigit) és jzhu, a Trend Micro Zero Day kezdeményezés keretében
Bejegyzés frissítve: 2023. szeptember 5.
Kernel
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas kernelállapotokat kiszivárogtatni
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2023-23500: Pan ZhenPeng (@Peterpan0927, STAR Labs SG Pte. Ltd., @starlabs_sg)
Kernel
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Az alkalmazások meg tudták állapítani a kernelmemória kiosztását.
Leírás: Elhárítottunk egy információfelfedéssel kapcsolatos problémát a sebezhető kód eltávolításával.
CVE-2023-23502: Pan ZhenPeng (@Peterpan0927, STAR Labs SG Pte. Ltd., @starlabs_sg)
Kernel
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2023-23504: Adam Doupé (ASU SEFCOM)
Maps
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Egyes alkalmazások meg tudták kerülni az adatvédelmi beállításokat
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2023-23503: anonim kutató
Safari
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Egy webhely felkeresése szolgáltatásmegtagadásos támadásnak tehette ki az alkalmazásokat.
Leírás: A gyorsítótárak hatékonyabb kezelésével hárítottuk el a problémát.
CVE-2023-23512: Adriatik Raci
Weather
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Egyes alkalmazások meg tudták kerülni az adatvédelmi beállításokat
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2023-23511: Wojciech Regula (SecuRing; wojciechregula.blog), egy anonim kutató
WebKit
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Előfordult, hogy a webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát
WebKit Bugzilla: 248885
CVE-2023-32393: Francisco Alonso (@revskills)
Bejegyzés hozzáadva: 2023. június 28.
WebKit
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Előfordult, hogy a HTML-dokumentumok felfedtek bizalmas jellegű felhasználói információkat tartalmazó iframe-kereteket.
Leírás: Az iframe-ek sandboxban való futtatásának hatékonyabb kikényszerítésével hárítottuk el a problémát.
WebKit Bugzilla: 241753
CVE-2022-0108: Luan Herrera (@lbherrera_)
Bejegyzés hozzáadva: 2023. június 7.
WebKit
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
WebKit Bugzilla: 245464
CVE-2023-23496: ChengGang Wu, Yan Kang, YuHao Hu, Yue Sun, Jiming Wang, JiKai Ren és Hang Shu (Institute of Computing Technology, Chinese Academy of Sciences)
WebKit
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
WebKit Bugzilla: 248268
CVE-2023-23518: YeongHyeon Choi (@hyeon101010), Hyeon Park (@tree_segment), SeOk JEON (@_seokjeon), YoungSung Ahn (@_ZeroSung), JunSeo Bae (@snakebjs0107) és Dohyun Lee (@l33d0hyun; mindannyian: Team ApplePIE)
WebKit Bugzilla: 248268
CVE-2023-23517: YeongHyeon Choi (@hyeon101010), Hyeon Park (@tree_segment), SeOk JEON (@_seokjeon), YoungSung Ahn (@_ZeroSung), JunSeo Bae (@snakebjs0107) és Dohyun Lee (@l33d0hyun; mindannyian: Team ApplePIE)
További köszönetnyilvánítás
Core Data
Szeretnénk megköszönni Austin Emmitt (@alkalinesec), a Trellix Advanced Research Center senior biztonsági kutatójának a segítségét.
Bejegyzés hozzáadva: 2023. szeptember 8.
Kernel
Köszönjük Nick Stenning (Replicate) segítségét.
WebKit
Köszönjük Eliya Stein (Confiant) segítségét.