Informazioni sui contenuti di sicurezza di tvOS 16.5

In questo documento vengono descritti i contenuti di sicurezza di tvOS 16.5.

Informazioni sugli aggiornamenti di sicurezza Apple

Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Puoi trovare un elenco delle versioni più recenti alla pagina Aggiornamenti di sicurezza Apple.

Quando possibile, i documenti di sicurezza Apple utilizzano gli ID CVE per indicare le vulnerabilità.

Per ulteriori informazioni sulla sicurezza, consulta questo articolo sulla sicurezza dei prodotti Apple.

tvOS 16.5

Accessibility

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: autorizzazioni e permessi di privacy concessi all'app possono essere utilizzati da un'app dannosa.

Descrizione: il problema è stato risolto attraverso migliori controlli.

CVE-2023-32400: Mickey Jin (@patch1t)

Accounts

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un utente malintenzionato potrebbe essere in grado di divulgare le email di account utente

Descrizione: un problema di permessi è stato risolto migliorando la redazione delle informazioni sensibili.

CVE-2023-34352: Sergii Kryvoblotskyi di MacPaw Inc.

AppleMobileFileIntegrity

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe bypassare le preferenze sulla privacy.

Descrizione: questo problema è stato risolto attraverso migliori autorizzazioni.

CVE-2023-32411: Mickey Jin (@patch1t)

Core Location

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'applicazione potrebbe leggere informazioni sensibili sulla posizione.

Descrizione: il problema è stato risolto attraverso una migliore gestione delle cache.

CVE-2023-32399: Adam M.

CoreServices

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe bypassare le preferenze sulla privacy.

Descrizione: il problema è stato risolto migliorando la redazione delle informazioni sensibili.

CVE-2023-28191: Mickey Jin (@patch1t)

GeoServices

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'applicazione può leggere informazioni sensibili sulla posizione.

Descrizione: un problema di privacy è stato risolto migliorando la redazione dei dati privati per i log.

CVE-2023-32392: Adam M.

ImageIO

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: l'elaborazione di un'immagine potrebbe causare la divulgazione dei contenuti della memoria dei processi.

Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.

CVE-2023-32372: Meysam Firouzi @R00tkitSMM di Mbition Mercedes Benz Innovation Lab in collaborazione con Zero Day Initiative di Trend Micro

ImageIO

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: l'elaborazione di un'immagine può causare l'esecuzione di un codice arbitrario.

Descrizione: un overflow del buffer è stato risolto attraverso un migliore controllo dei limiti.

CVE-2023-32384: Meysam Firouzi di @R00tkitsmm in collaborazione con Zero Day Initiative di Trend Micro

IOSurfaceAccelerator

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe rivelare la memoria kernel.

Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.

CVE-2023-32354: Linus Henze di Pinauten GmbH (pinauten.de)

IOSurfaceAccelerator

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe causare l'arresto improvviso del sistema o leggere sulla memoria del kernel.

Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.

CVE-2023-32420: Certik Skyfall Team e Linus Henze di Pinauten GmbH (pinauten.de)

Kernel

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe eseguire codice arbitrario con privilegi kernel.

Descrizione: un problema di confusione dei tipi è stato risolto con migliori controlli.

CVE-2023-27930: 08Tc3wBB di Jamf

Kernel

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe eseguire codice arbitrario con privilegi kernel.

Descrizione: un problema di vulnerabilità use-after-free è stato risolto attraverso una migliore gestione della memoria.

CVE-2023-32398: Adam Doupé di ASU SEFCOM

Kernel

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe ottenere privilegi root

Descrizione: una race condition è stata risolta attraverso una migliore gestione dello stato.

CVE-2023-32413: Eloi Benoist-Vanderbeken (@elvanderb) di Synacktiv (@Synacktiv) in collaborazione con Zero Day Initiative di Trend Micro

LaunchServices

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app può bypassare i controlli di Gatekeeper.

Descrizione: un problema logico è stato risolto attraverso migliori controlli.

CVE-2023-32352: Wojciech Reguła (@_r3ggi) di SecuRing (wojciechregula.blog)

MallocStackLogging

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe ottenere privilegi root

Descrizione: questo problema è stato risolto con una migliore gestione dei file.

CVE-2023-32428: Gergely Kalman (@gergely_kalman)

Metal

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe bypassare le preferenze sulla privacy.

Descrizione: un problema logico è stato risolto attraverso una migliore gestione dello stato.

CVE-2023-32407: Gergely Kalman (@gergely_kalman)

Model I/O

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: l'elaborazione di un modello 3D potrebbe causare la divulgazione dei contenuti della memoria dei processi.

Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.

CVE-2023-32368: Mickey Jin (@patch1t)

NetworkExtension

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'applicazione può leggere informazioni sensibili sulla posizione.

Descrizione: il problema è stato risolto migliorando la redazione delle informazioni sensibili.

CVE-2023-32403: Adam M.

NSURLSession

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe essere in grado di uscire dalla sandbox

Descrizione: il problema è stato risolto con miglioramenti al protocollo di gestione dei file.

CVE-2023-32437: Thijs Alkemade di Computest Sector 7

Photos

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: le foto appartenenti all'album delle foto nascoste potrebbero essere visualizzate senza autenticazione con Ricerca visiva.

Descrizione: il problema è stato risolto con controlli migliori.

CVE-2023-32390: Julian Szulc

Sandbox

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app può essere in grado di mantenere l'accesso ai file di configurazione del sistema anche dopo la revoca dell'autorizzazione.

Descrizione: un problema di autorizzazione è stato risolto attraverso una migliore gestione dello stato.

CVE-2023-32357: Yiğit Can YILMAZ (@yilmazcanyigit), Koh M. Nakagawa di FFRI Security, Inc., Kirin (@Pwnrin), Jeff Johnson (underpassapp.com) e Csaba Fitzl (@theevilbit) di Offensive Security

Share Sheet

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe essere in grado di accedere ai dati sensibili dell'utente.

Descrizione: un problema di privacy è stato risolto attraverso una migliore gestione dei file temporanei.

CVE-2023-32432: Kirin (@Pwnrin)

Shortcuts

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un comando rapido può essere in grado di utilizzare dati sensibili con determinate azioni senza richiedere l'autorizzazione dell'utente.

Descrizione: il problema è stato risolto con controlli migliori.

CVE-2023-32391: Wenchao Li e Xiaolong Bai di Alibaba Group

Shortcuts

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe bypassare le preferenze sulla privacy.

Descrizione: questo problema è stato risolto attraverso migliori autorizzazioni.

CVE-2023-32404: Mickey Jin (@patch1t), Zhipeng Huo (@R3dF09) di Tencent Security Xuanwu Lab (xlab.tencent.com) e un ricercatore anonimo

Siri

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: una persona con accesso fisico a un dispositivo può essere in grado di visualizzare le informazioni di contatto dalla schermata di blocco.

Descrizione: il problema è stato risolto con controlli migliori.

CVE-2023-32394: Khiem Tran

SQLite

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe bypassare le preferenze sulla privacy.

Descrizione: il problema è stato risolto aggiungendo ulteriori restrizioni di registrazione di SQLite.

CVE-2023-32422: Gergely Kalman (@gergely_kalman) e Wojciech Reguła di SecuRing (wojciechregula.blog)

StorageKit

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe modificare parti protette del file system.

Descrizione: questo problema è stato risolto attraverso migliori autorizzazioni.

CVE-2023-32376: Yiğit Can YILMAZ (@yilmazcanyigit)

System Settings

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'impostazione relativa al firewall dell'app potrebbe non avere effetto dopo l'uscita dall'app Impostazioni.

Descrizione: il problema è stato risolto attraverso una migliore gestione dello stato.

CVE-2023-28202: Satish Panduranga e un ricercatore anonimo

Telephony

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un utente malintenzionato collegato in remoto può causare la chiusura improvvisa dell'app o l'esecuzione di codice arbitrario.

Descrizione: un problema di tipo use-after-free è stato risolto attraverso una migliore gestione della memoria.

CVE-2023-32412: Ivan Fratric di Google Project Zero

TV App

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'applicazione potrebbe leggere informazioni sensibili sulla posizione.

Descrizione: il problema è stato risolto attraverso una migliore gestione delle cache.

CVE-2023-32408: Adam M.

Meteo

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'applicazione può leggere informazioni sensibili sulla posizione.

Descrizione: il problema è stato risolto migliorando la redazione delle informazioni sensibili.

CVE-2023-32415: Wojciech Regula di SecuRing (wojciechregula.blog) e Adam M.

WebKit

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: l'elaborazione di contenuti web potrebbe divulgare informazioni sensibili.

Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.

WebKit Bugzilla: 255075

CVE-2023-32402: Ignacio Sanmillan (@ulexec)

WebKit

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: l'elaborazione di contenuti web potrebbe divulgare informazioni sensibili.

Descrizione: un problema di overflow del buffer è stato risolto attraverso una migliore gestione della memoria.

WebKit Bugzilla: 254781

CVE-2023-32423: Ignacio Sanmillan (@ulexec)

WebKit

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: una persona malintenzionata collegata in remoto può uscire dalla sandbox dei contenuti web. Apple è a conoscenza di un report secondo cui questo problema potrebbe essere stato sfruttato attivamente.

Descrizione: il problema è stato risolto con migliori controlli dei limiti.

WebKit Bugzilla: 255350

CVE-2023-32409: Clément Lecigne del Threat Analysis Group di Google e Donncha Ó Cearbhaill del Security Lab di Amnesty International

WebKit

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: l'elaborazione di contenuti web potrebbe divulgare informazioni sensibili. Apple è a conoscenza di un report secondo cui questo problema potrebbe essere stato sfruttato attivamente.

Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.

WebKit Bugzilla: 254930

CVE-2023-28204: un ricercatore anonimo

WebKit

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: l'elaborazione di un contenuto web pericoloso potrebbe causare l'esecuzione di codice arbitrario. Apple è a conoscenza di un report secondo cui questo problema potrebbe essere stato sfruttato attivamente.

Descrizione: un problema di vulnerabilità use-after-free è stato risolto attraverso una migliore gestione della memoria.

WebKit Bugzilla: 254840

CVE-2023-32373: un ricercatore anonimo

Wi-Fi

Disponibile per: Apple TV 4K (tutti i modelli) e Apple TV HD

Impatto: un'app potrebbe rivelare la memoria kernel.

Descrizione: il problema è stato risolto migliorando la redazione delle informazioni sensibili.

CVE-2023-32389: Pan ZhenPeng (@Peterpan0927) di STAR Labs SG Pte. Ltd.

Altri riconoscimenti

Accounts

Ringraziamo Sergii Kryvoblotskyi di MacPaw Inc. per l'assistenza.

CFNetwork

Ringraziamo Gabriel Geraldino de Souza per l'assistenza.

CloudKit

Ringraziamo Iconic per l'assistenza.

libxml2

Ringraziamo OSS-Fuzz e Ned Williamson di Google Project Zero per l'assistenza.

Reminders

Ringraziamo Kirin (@Pwnrin) per l'assistenza.

Security

Ringraziamo Brandon Toms per l'assistenza.

Share Sheet

Ringraziamo Kirin (@Pwnrin) per l'assistenza.

Wallet

Ringraziamo James Duffy (mangoSecure) per l'assistenza.

Wi-Fi

Ringraziamo Adam M. per l'assistenza.