A tvOS 17.5 biztonsági változásjegyzéke
Ez a dokumentum a tvOS 17.5 biztonsági változásjegyzékét ismerteti.
Tudnivalók az Apple biztonsági frissítéseiről
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.
Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.
A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
tvOS 17.5
Kiadás dátuma: 2024. május 13.
Apple Neural Engine
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: A helyi támadók váratlan rendszerleállást tudtak előidézni.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2024-27826: Minghao Lin és Ye Zhang (@VAR10CK, Baidu Security)
Bejegyzés hozzáadva: 2024. július 29.
AppleAVD
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Egyes alkalmazások bizonyos esetekben váratlan rendszerleállást tudtak előidézni.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2024-27804: Meysam Firouzi (@R00tkitSMM)
Bejegyzés frissítve: 2024. május 15.
AppleMobileFileIntegrity
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: A támadók bizonyos esetekben hozzáférést tudtak szerezni a felhasználói adatokhoz.
Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.
CVE-2024-27816: Mickey Jin (@patch1t)
Core Data
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.
Leírás: A környezeti változók validálásának továbbfejlesztésével megoldottuk a problémát.
CVE-2024-27805: Kirin (@Pwnrin) és 小来来 (@Smi1eSEC)
Bejegyzés hozzáadva: 2024. június 10.
CoreMedia
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27817: pattern-f (@pattern_F_) (Ant Security Light-Year Lab)
Bejegyzés hozzáadva: 2024. június 10.
CoreMedia
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: A fájlok feldolgozása váratlan appleállást idézhetett elő, illetve tetszőleges programkód végrehajtására adhatott lehetőséget.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.
CVE-2024-27831: Amir Bazine és Karsten König (CrowdStrike Counter Adversary Operations)
Bejegyzés hozzáadva: 2024. június 10.
Lemezképek
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Egyes alkalmazások magasabb szintű jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27832: anonim kutató
Bejegyzés hozzáadva: 2024. június 10.
Foundation
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Egyes alkalmazások magasabb szintű jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27801: CertiK SkyFall Team
Bejegyzés hozzáadva: 2024. június 10.
IOSurface
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2024-27828: Pan ZhenPeng (@Peterpan0927, STAR Labs SG Pte.) Ltd.)
Bejegyzés hozzáadva: 2024. június 10.
Kernel
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: A már kernelszintű kódvégrehajtási jogosultságot szerzett támadók megkerülhették a kernelmemória védelmi funkcióit.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2024-27840: anonim kutató
Bejegyzés hozzáadva: 2024. június 10.
Kernel
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.
CVE-2024-27815: egy anonim kutató és Joseph Ravichandran (@0xjprx, MIT CSAIL)
Bejegyzés hozzáadva: 2024. június 10.
Kernel
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: A magas hálózati jogosultságú támadók meg tudták hamisítani a hálózati csomagokat.
Leírás: Hatékonyabb zárolás révén hárítottunk el egy versenyhelyzeti problémát.
CVE-2024-27823: Prof. Benny Pinkas (Bar-Ilan University), Prof. Amit Klein (Hebrew University) és EP
Bejegyzés hozzáadva: 2024. július 29.
libiconv
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Egyes alkalmazások magasabb szintű jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27811: Nick Wellnhofer
Bejegyzés hozzáadva: 2024. június 10.
Maps
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Az appok be tudtak olvasni bizalmas jellegű helyadatokat.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy útvonalkezelési hibát.
CVE-2024-27810: LFY@secsys (Fudan University)
Messages
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Egy rosszindulatú célból létrehozott feldolgozása szolgáltatásmegtagadáshoz vezethetett.
Leírás: A veszélynek kitett kód eltávolításával hárítottuk el a problémát.
CVE-2024-27800: Daniel Zajork és Joshua Zajork
Bejegyzés hozzáadva: 2024. június 10.
Metal
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Az ártó szándékkal létrehozott fájlok feldolgozása váratlan appleállást idézhetett elő, illetve tetszőleges programkód végrehajtására adhatott lehetőséget.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.
CVE-2024-27802: Meysam Firouzi (@R00tkitsmm, a Trend Micro Zero Day Initiative közreműködőjeként)
Bejegyzés hozzáadva: 2024. június 10.
Metal
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: A távoli támadók váratlan appleállást tudtak előidézni, illetve tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli hozzáférési hibát.
CVE-2024-27857: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)
Bejegyzés hozzáadva: 2024. június 10.
RemoteViewServices
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: A támadók bizonyos esetekben hozzáférést tudtak szerezni a felhasználói adatokhoz.
Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.
CVE-2024-27816: Mickey Jin (@patch1t)
Spotlight
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.
Leírás: A környezeti tisztítás továbbfejlesztésével elhárítottuk a problémát.
CVE-2024-27806
Bejegyzés hozzáadva: 2024. június 10.
Transparency
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni
Leírás: Egy új jogosultság bevezetésével hárítottuk el a problémát.
CVE-2024-27884: Mickey Jin (@patch1t)
Bejegyzés hozzáadva: 2024. július 29.
WebKit
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Az olvasási és írási képességekkel rendelkező támadók bizonyos esetekben meg tudták kerülni a Mutatóhitelesítést
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
WebKit Bugzilla: 272750
CVE-2024-27834: Manfred Paul (@_manfp) a Trend Micro Zero Day Initiative kezdeményezés keretében
WebKit
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Egy ártó szándékkal létrehozott weboldal képes volt rögzíteni a felhasználó ujjlenyomatát
Leírás: További logika hozzáadásával megoldottuk a problémát.
WebKit Bugzilla: 262337
CVE-2024-27838: Emilio Cobos (Mozilla)
Bejegyzés hozzáadva: 2024. június 10.
WebKit
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Előfordult, hogy a webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
WebKit Bugzilla: 268221
CVE-2024-27808: Lukas Bernhard (CISPA Helmholtz Center for Information Security)
Bejegyzés hozzáadva: 2024. június 10.
WebKit
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy egészszám-túlcsordulást okozó problémát.
WebKit Bugzilla: 271491
CVE-2024-27833: Manfred Paul (@_manfp) a Trend Micro Zero Day Initiative kezdeményezés keretében
Bejegyzés hozzáadva: 2024. június 10.
WebKit
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb határérték-ellenőrzésekkel kiküszöböltük a problémát.
WebKit Bugzilla: 272106
CVE-2024-27851: Nan Wang (@eternalsakura13, 360 Vulnerability Research Institute)
Bejegyzés hozzáadva: 2024. június 10.
WebKit Canvas
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Egy ártó szándékkal létrehozott weboldal képes volt rögzíteni a felhasználó ujjlenyomatát
Leírás: Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.
WebKit Bugzilla: 271159
CVE-2024-27830: Joe Rutkowski (@Joe12387, Crawless) és @abrahamjuliot
Bejegyzés hozzáadva: 2024. június 10.
WebKit Web Inspector
A következőkhöz érhető el: Apple TV HD és Apple TV 4K (az összes modell)
Érintett terület: Előfordult, hogy a webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
WebKit Bugzilla: 270139
CVE-2024-27820: Jeff Johnson (underpassapp.com)
Bejegyzés hozzáadva: 2024. június 10.
További köszönetnyilvánítás
App Store
Köszönjük egy anonim kutató segítségét.
AppleMobileFileIntegrity
Köszönjük Mickey Jin (@patch1t) segítségét.
Bejegyzés hozzáadva: 2024. június 10.
CoreHAP
Köszönjük Adrian Cable segítségét.
Lemezképek
Köszönjük Mickey Jin (@patch1t) segítségét.
Bejegyzés hozzáadva: 2024. június 10.
ImageIO
Köszönjük egy anonim kutató segítségét.
Bejegyzés hozzáadva: 2024. június 10.
Managed Configuration
Köszönjük 遥遥领先 (@晴天组织) segítségét.
A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.