Over Apple beveiligingsupdates
Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.
Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.
Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.
tvOS 13
Releasedatum 24 september 2019
AppleFirmwareUpdateKext
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een kwetsbaarheid voor geheugenbeschadiging is verholpen door verbeterde vergrendeling.
CVE-2019-8747: Mohamed Ghannam (@_simo36)
Toegevoegd op 29 oktober 2019
Audio
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.
CVE-2019-8706: Yu Zhou van Ant-Financial Light-Year Security Lab
Toegevoegd op 29 oktober 2019
Audio
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan beperkt geheugen vrijgeven
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2019-8850: Anoniem in samenwerking met het Zero Day Initiative van Trend Micro
Toegevoegd op 4 december 2019
CFNetwork
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot een cross-site scripting-aanval
Beschrijving: dit probleem is verholpen door middel van verbeterde controles.
CVE-2019-8753: Łukasz Pilorz van Standard Chartered GBS Poland
Toegevoegd op 29 oktober 2019
CoreAudio
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het afspelen van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2019-8592: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro
Toegevoegd op 6 november 2019
CoreCrypto
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van omvangrijke invoer kan leiden tot een denial of service
Beschrijving: een probleem met denial of service is verholpen door een verbeterde invoervalidatie.
CVE-2019-8741: Nicky Mouha van NIST
Toegevoegd op 29 oktober 2019
CoreAudio
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van een kwaadwillig vervaardigde film kan leiden tot het vrijgeven van procesgeheugen
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.
CVE-2019-8705: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro
Toegevoegd op 8 oktober 2019
Foundation
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een externe aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2019-8746: natashenka en Samuel Groß van Google Project Zero
Toegevoegd op 29 oktober 2019
IOUSBDeviceFamily
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2019-8718: Joshua Hill en Sem Voigtländer
Toegevoegd op 29 oktober 2019
Kernel
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een programma kan toegang krijgen tot verhoogde bevoegdheden
Beschrijving: dit probleem is verholpen door middel van verbeterde bevoegdheden.
CVE-2019-8703: een anonieme onderzoeker
Toegevoegd op 16 maart 2021
Kernel
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een kwetsbaarheid voor geheugenbeschadiging is verholpen door verbeterde vergrendeling.
CVE-2019-8740: Mohamed Ghannam (@_simo36)
Toegevoegd op 29 oktober 2019
Kernel
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een lokale app kan een permanente accountaanduiding lezen
Beschrijving: een validatieprobleem is verholpen door verbeterde logica.
CVE-2019-8809: Apple
Toegevoegd op 29 oktober 2019
Kernel
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2019-8712: Mohamed Ghannam (@_simo36)
Toegevoegd op 29 oktober 2019
Kernel
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een kwaadaardig programma kan de lay-out van het kernelgeheugen bepalen
Beschrijving: er was een probleem met geheugenbeschadiging bij de verwerking van IPv6-pakketten. Dit probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2019-8744: Zhuo Liang van het Qihoo 360 Vulcan Team
Toegevoegd op 29 oktober 2019
Kernel
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.
CVE-2019-8709: derrek (@derrekr6) derrek (@derrekr6)
Toegevoegd op 29 oktober 2019
Kernel
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2019-8717: Jann Horn van Google Project Zero
Toegevoegd op 8 oktober 2019
Kernel
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een kwaadaardig programma kan de lay-out van het kernelgeheugen bepalen
Beschrijving: het probleem is verholpen door een verbeterde logica voor bevoegdheden.
CVE-2019-8780: Siguza
Toegevoegd op 8 oktober 2019
Toetsenborden
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een lokale gebruiker kan vertrouwelijke gebruikersinformatie vrijgeven
Beschrijving: een probleem met identiteitscontrole is verholpen door verbeterd statusbeheer.
CVE-2019-8704: 王 邦 宇 (wAnyBug.Com) van SAINTSEC
libxml2
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: meerdere problemen in libxml2
Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door verbeterde invoervalidatie.
CVE-2019-8749: gevonden door OSS-Fuzz
CVE-2019-8756: gevonden door OSS-Fuzz
Toegevoegd op 8 oktober 2019
libxslt
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: meerdere problemen in libxslt
Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door verbeterde invoervalidatie.
CVE-2019-8750: gevonden door OSS-Fuzz
Toegevoegd op 29 oktober 2019
mDNSResponder
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een aanvaller die fysiek in de buurt is, kan mogelijk apparaatnamen zien in AWDL-communicatie
Beschrijving: dit probleem is verholpen door de apparaatnamen te vervangen door een willekeurige identificatiecode.
CVE-2019-8799: David Kreitschmann en Milan Stute van het Secure Mobile Networking Lab van Technische Universität Darmstadt
Toegevoegd op 29 oktober 2019
UIFoundation
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van een kwaadwillig vervaardigd tekstbestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een bufferoverloop is verholpen door een verbeterde bereikcontrole.
CVE-2019-8745: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro
Toegevoegd op 8 oktober 2019
UIFoundation
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2019-8831: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro
Toegevoegd op 18 november 2019
WebKit
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot universele cross-site-scripting
Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.
CVE-2019-8625: Sergei Glazunov van Google Project Zero
CVE-2019-8719: Sergei Glazunov van Google Project Zero
CVE-2019-8764: Sergei Glazunov van Google Project Zero
Toegevoegd op 8 oktober 2019, bijgewerkt op 29 oktober 2019
WebKit
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code
Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.
CVE-2019-8707: een anonieme onderzoeker in samenwerking met het Zero Day Initiative van Trend Micro, cc in samenwerking met het Zero Day Initiative van Trend Micro
CVE-2019-8710: gevonden door OSS-Fuzz
CVE-2019-8726: Jihui Lu van het Tencent KeenLab
CVE-2019-8728: Junho Jang van het LINE Security Team en Hanul Choi van ABLY Corporation
CVE-2019-8733: Sergei Glazunov van Google Project Zero
CVE-2019-8734: gevonden door OSS-Fuzz
CVE-2019-8735: G. Geshev in samenwerking met het Zero Day Initiative van Trend Micro
CVE-2019-8743: zhunki van het Codesafe Team van Legendsec van de Qi'anxin Group
CVE-2019-8751: Dongzhuo Zhao in samenwerking met ADLab van Venustech
CVE-2019-8752: Dongzhuo Zhao in samenwerking met ADLab van Venustech
CVE-2019-8763: Sergei Glazunov van Google Project Zero
CVE-2019-8765: Samuel Groß van Google Project Zero
CVE-2019-8766: gevonden door OSS-Fuzz
CVE-2019-8773: gevonden door OSS-Fuzz
Toegevoegd op 8 oktober 2019, bijgewerkt op 29 oktober 2019
WebKit
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot universele cross-site-scripting
Beschrijving: een validatieprobleem is verholpen door verbeterde logica.
CVE-2019-8762: Sergei Glazunov van Google Project Zero
Toegevoegd op 18 november 2019
WebKit
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.
CVE-2020-9932: Dongzhuo Zhao in samenwerking met ADLab van Venustech
Toegevoegd op 28 juli 2020
Wifi
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een apparaat kan passief worden gevolgd via het wifi-MAC-adres
Beschrijving: een probleem met de privacy van de gebruiker is verholpen door het verwijderen van het broadcast-MAC-adres.
CVE-2019-8854: Ta-Lun Yen van UCCU Hacker en FuriousMacTeam van de United States Naval Academy en de Mitre Cooperation
Toegevoegd op 4 december 2019
Aanvullende erkenning
Audio
Met dank aan riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro voor hun hulp.
Toegevoegd op 29 oktober 2019
boringssl
Met dank aan Nimrod Aviram van Tel Aviv University, Robert Merget van Ruhr-Universität Bochum, Juraj Somorovsky van Ruhr-Universität Bochum en Thijs Alkemade (@xnyhps) van Computest voor de hulp.
Toegevoegd op 8 oktober 2019, bijgewerkt op 29 oktober 2019
HomeKit
Met dank aan Tian Zhang voor de hulp.
Toegevoegd op 29 oktober 2019
Kernel
Met dank aan Brandon Azad van Google Project Zero en Vlad Tsyrklevich voor hun hulp.
Bijgewerkt op 28 juli 2020
Toetsen
Met dank aan Sara Haradhvala van Harlen Web Consulting en een anonieme onderzoeker voor hun hulp.
Bijgewerkt op 28 juli 2020
mDNSResponder
Met dank aan Gregor Lang van e.solutions GmbH voor de hulp.
Toegevoegd op 29 oktober 2019
Profielen
Met dank aan Erik Johnson van Vernon Hills High School, James Seeley (@Code4iOS) van Shriver Job Corps en James Seeley (@Code4iOS) van Shriver Job Corps voor hun hulp.
Bijgewerkt op 29 oktober 2019
WebKit
Met dank aan MinJeong Kim van het Information Security Lab, Chungnam National University, JaeCheol Ryou van het Information Security Lab, Chungnam National University in Zuid-Korea, Yiğit Can YILMAZ (@yilmazcanyigit), Zhihua Yao van het DBAPPSecurity Zion Lab, een anonieme onderzoeker, cc in samenwerking met het Zero Day Initiative van Trend Micro voor hun hulp.
Toegevoegd op 8 oktober 2019, bijgewerkt op 29 oktober 2019