Over de beveiligingsinhoud van tvOS 14.2

In dit document wordt de beveiligingsinhoud van tvOS 14.2 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

tvOS 14.2

Audio

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-27910: JunDong Xie en XingWei Li van het Ant Security Light-Year Lab

Audio

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-27916: JunDong Xie van het Ant Security Light-Year Lab

CoreAudio

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-10017: Francis in samenwerking met het Zero Day Initiative van Trend Micro, JunDong Xie van het Ant Security Light-Year Lab

CoreAudio

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-27908: anoniem in samenwerking met het Zero Day Initiative van Trend Micro, JunDong Xie en Xingwei Lin van het Ant Security Light-Year Lab

CVE-2020-27909: anoniem in samenwerking met het Zero Day Initiative van Trend Micro, JunDong Xie en Xingwei Lin van het Ant Security Light-Year Lab

CoreText

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.

CVE-2020-27922: Mickey Jin van Trend Micro

Crashrapportage

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: een lokale aanvaller kan zijn bevoegdheden mogelijk verhogen

Beschrijving: er was een probleem bij de validatielogica van het pad voor symlinks. Dit probleem is verholpen met verbeterde opschoning van het pad.

CVE-2020-10003: Tim Michaud (@TimGMichaud) van Leviathan

FontParser

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde bereikcontrole.

CVE-2020-27927: Xingwei Lin van het Ant Security Light-Year Lab

Foundation

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: een lokale gebruiker kan willekeurige bestanden lezen

Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.

CVE-2020-10002: James Hutchins

ImageIO

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-27924: Lei Sun

ImageIO

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-27912: Xingwei Lin van het Ant Security Light-Year Lab

CVE-2020-27923: Lei Sun

IOAcceleratorFamily

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: een schadelijk programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2020-27905: Mohamed Ghannam (@_simo36)

Kernel

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: een kwaadaardig programma kan de lay-out van het kernelgeheugen bepalen

Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.

CVE-2020-9974: Tommy Muir (@Muirey03)

Kernel

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2020-10016: Alex Helie

libxml2

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van code

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2020-27917: gevonden door OSS-Fuzz

CVE-2020-27920: gevonden door OSS-Fuzz

libxml2

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: een externe aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken

Beschrijving: een probleem met overloop van gehele getallen is verholpen door een verbeterde invoervalidatie.

CVE-2020-27911: gevonden door OSS-Fuzz

Logbestanden

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: een lokale aanvaller kan zijn bevoegdheden mogelijk verhogen

Beschrijving: een probleem met verwerking van paden is verholpen door verbeterde validatie.

CVE-2020-10010: Tommy Muir (@Muirey03)

Model I/O

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: het verwerken van een kwaadwillig vervaardigd USD-bestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.

CVE-2020-10011: Aleksandar Nikolic van Cisco Talos

Model I/O

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: het openen van een kwaadwillig vervaardigd bestand kan leiden tot het onverwacht afsluiten van het programma of het uitvoeren van willekeurige code

Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.

CVE-2020-10004: Aleksandar Nikolic van Cisco Talos

Symptom Framework

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: een lokale aanvaller kan zijn bevoegdheden mogelijk verhogen

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2020-27899: 08Tc3wBB in samenwerking met ZecOps

WebKit

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2020-27918: Liu Long van het Ant Security Light-Year Lab

XNU

Beschikbaar voor: Apple TV 4K en Apple TV HD

Impact: een proces in de sandbox kan de sandboxbeperkingen omzeilen

Beschrijving: meerdere problemen zijn verholpen door verbeterde logica.

CVE-2020-27935: Lior Halphon (@LIJI32)