Tudnivalók az Apple biztonsági frissítéseiről
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.
Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.
A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
tvOS 16.4
Kiadás dátuma: 2023. március 27.
AppleMobileFileIntegrity
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: A felhasználók hozzáférést szerezhettek a fájlrendszer védett részeihez.
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2023-23527: Mickey Jin (@patch1t)
ColorSync
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Egyes alkalmazások képesek voltak eltérő fájlokat is olvasni
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2023-27955: JeongOhKyea
Bejegyzés hozzáadva: 2023. június 8.
Core Bluetooth
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott Bluetooth-csomag feldolgozása lehetőséget adott a folyamatmemória közzétételére
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli olvasási hibát.
CVE-2023-23528: Jianjun Dai és Guang Gong (360 Vulnerability Research Institute)
CoreCapture
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2023-28181: Tingting Yin (Tsinghua University)
FontParser
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott képek feldolgozása lehetőséget adott a folyamatmemória közzétételére
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2023-27956: Ye Zhang (Baidu Security)
Foundation
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Előfordult, hogy egy ártó szándékkal létrehozott plist elemzésekor váratlan alkalmazásleállásra vagy tetszőleges programkód végrehajtására került sor.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy egészszám-túlcsordulást okozó problémát.
CVE-2023-27937: anonim kutató
Identity Services
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Az alkalmazások hozzá tudtak férni a felhasználó kontaktjaival kapcsolatos információkhoz.
Leírás: A naplóbejegyzéseknél alkalmazott adatvédelmi redakció fejlesztésével megoldottuk az adatvédelemmel kapcsolatos problémát.
CVE-2023-27928: Fitzl Csaba (@theevilbit; Offensive Security)
ImageIO
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott képek feldolgozása lehetőséget adott a folyamatmemória közzétételére
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2023-23535: ryuzaki
ImageIO
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott képek feldolgozása lehetőséget adott a folyamatmemória közzétételére
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.
CVE-2023-27929: Meysam Firouzi (@R00tkitSMM, Mbition Mercedes-Benz Innovation Lab) és jzhu, a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként
ImageIO
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: A képek feldolgozása lehetőséget adott a folyamatmemória közzétételére.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.
CVE-2023-42862: Meysam Firouzi @R00tkitSMM
CVE-2023-42865: jzhu a Trend Micro Zero Day Initiative keretében és Meysam Firouzi (@R00tkitSMM, Mbition Mercedes-Benz Innovation Lab)
Bejegyzés hozzáadva: 2023. december 21.
Kernel
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb határérték-ellenőrzésekkel kiküszöböltük a problémát.
CVE-2023-23536: Félix Poulin-Bélanger és David Pan Ogea
Bejegyzés hozzáadva: 2023. június 8., frissítve: 2023. december 21.
Kernel
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.
CVE-2023-27969: Adam Doupé (ASU SEFCOM)
Kernel
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: A gyökérszintű jogosultsággal rendelkező alkalmazások tetszőleges kódvégrehajtást tudtak előidézni kernelszintű jogosultsággal
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2023-27933: sqrtpwn
Kernel
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Az appok szolgáltatásmegtagadást tudtak előidézni.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottak egy egészszám-túlcsordulást okozó problémát.
CVE-2023-28185: Pan ZhenPeng (STAR Labs SG Pte. Ltd.)
Bejegyzés hozzáadva: 2023. december 21.
Podcasts
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2023-27942: Mickey Jin (@patch1t)
Sandbox
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Egyes alkalmazások meg tudták kerülni az adatvédelmi beállításokat
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy logikai hibát.
CVE-2023-28178: Yiğit Can YILMAZ (@yilmazcanyigit)
Bejegyzés hozzáadva: 2023. június 8.
Shortcuts
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Bizonyos esetekben a parancsok bizonyos műveletek során bizalmas adatokat tudtak felhasználni anélkül, hogy erről megkérdezték volna a felhasználót.
Leírás: További engedély-ellenőrzési lépésekkel küszöböltük ki a problémát.
CVE-2023-27963: Wenchao Li és Xiaolong Bai (Alibaba Group) és Jubaer Alnazi Jabin (TRS Group Of Companies)
Bejegyzés hozzáadva: 2023. június 8.
TCC
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni
Leírás: A veszélynek kitett kód eltávolításával hárítottuk el a problémát.
CVE-2023-27931: Mickey Jin (@patch1t)
WebKit
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak megkerülhették a Same Origin irányelvet.
Leírás: Hatékonyabb állapotkezeléssel küszöbölték ki a problémát.
WebKit Bugzilla: 248615
CVE-2023-27932: anonim kutató
WebKit
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: A webhelyek nyomon tudtak követni bizalmas jellegű felhasználói információkat.
Leírás: Az eredetre vonatkozó információk eltávolításával hárítottuk el a hibát.
WebKit Bugzilla: 250837
CVE-2023-27954: anonim kutató
WebKit Web Inspector
A következő készülékekhez érhető el: Apple TV 4K (az összes modell) és Apple TV HD.
Érintett terület: A távoli támadók váratlan appleállást tudtak előidézni, illetve tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb állapotkezeléssel küszöbölték ki a problémát.
CVE-2023-28201: Dohyun Lee (@l33d0hyun), és crixer (@pwning_me, SSD Labs)
Bejegyzés hozzáadva: 2023. június 8.
További köszönetnyilvánítás
CFNetwork
Köszönjük egy anonim kutató segítségét.
CoreServices
Köszönjük Mickey Jin (@patch1t) segítségét.
ImageIO
Köszönjük Meysam Firouzi @R00tkitSMM segítségét.
WebKit
Köszönjük egy anonim kutató segítségét.