Over de beveiligingsinhoud van tvOS 10.1

In dit document wordt de beveiligingsinhoud van tvOS 10.1 beschreven.

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging. U kunt communicatie met Apple coderen via de Apple Product Security PGP-sleutel.

Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.

tvOS 10.1

Releasedatum: 12 december 2016

Audio

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van een kwaadwillig vervaardigd bestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.

CVE-2016-7658: Haohao Kong van het Keen Lab (@keen_lab) van Tencent

CVE-2016-7659: Haohao Kong van het Keen Lab (@keen_lab) van Tencent

Toegevoegd op 13 december 2016

CoreFoundation

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van kwaadaardige tekenreeksen kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

Beschrijving: er was een probleem met geheugenbeschadiging tijdens de verwerking van tekenreeksen. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.

CVE-2016-7663: een anonieme onderzoeker

Toegevoegd op 13 december 2016

CoreGraphics

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het onverwacht beëindigen van het programma

Beschrijving: een null pointer-dereferentieprobleem is verholpen door verbeterde invoervalidatie.

CVE-2016-7627: TRAPMINE Inc. en Meysam Firouzi @R00tkitSMM

Toegevoegd op 13 december 2016

Externe beeldschermen van CoreMedia

Beschikbaar voor: Apple TV (4e generatie)

Impact: een lokaal programma kan willekeurige code uitvoeren in de context van de mediaserver-daemon

Beschrijving: een probleem met verwarring van het type is verholpen door een verbeterde verwerking van het geheugen.

CVE-2016-7655: Keen Lab in samenwerking met het Zero Day Initiative van Trend Micro

Toegevoegd op 13 december 2016

CoreMedia afspelen

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van een kwaadwillig vervaardigd .mp4-bestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2016-7588: dragonltx van Huawei 2012 Laboratories

Toegevoegd op 13 december 2016

CoreText

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: er waren meerdere problemen met geheugenbeschadiging bij de verwerking van lettertypebestanden. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.

CVE-2016-7595: riusksk (泉哥) van Tencent Security Platform Department

Toegevoegd op 13 december 2016

CoreText

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van een kwaadwillig vervaardigde tekenreeks kan leiden tot een denial of service

Beschrijving: een probleem bij het weergeven van overlappende bereiken is verholpen door verbeterde validatie.

CVE-2016-7667: Nasser Al-Hadhrami (@fast_hack), Saif Al-Hinai (welcom_there) van Digital Unit (dgunit.com)

Toegevoegd op 15 december 2016

Schijfkopieën

Beschikbaar voor: Apple TV (4e generatie)

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.

CVE-2016-7616: daybreaker@Minionz in samenwerking met het Zero Day Initiative van Trend Micro

Toegevoegd op 13 december 2016

FontParser

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: er waren meerdere problemen met geheugenbeschadiging bij de verwerking van lettertypebestanden. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.

CVE-2016-4691: riusksk (泉哥) van Tencent Security Platform Department

Toegevoegd op 13 december 2016

ICU

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2016-7594: André Bargull

Toegevoegd op 13 december 2016

ImageIO

Beschikbaar voor: Apple TV (4e generatie)

Impact: een externe aanvaller kan geheugen vrijgeven

Beschrijving: een probleem met lezen buiten het bereik is verholpen door middel van een verbeterde controle van de grenzen.

CVE-2016-7643: Yangkang (@dnpushme) van het Qihoo360 Qex Team

Toegevoegd op 13 december 2016

IOHIDFamily

Beschikbaar voor: Apple TV (4e generatie)

Impact: een lokaal programma met systeembevoegdheden kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2016-7591: daybreaker van Minionz

Toegevoegd op 13 december 2016

IOKit

Beschikbaar voor: Apple TV (4e generatie)

Impact: een programma kan mogelijk het kernelgeheugen lezen

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.

CVE-2016-7657: Keen Lab in samenwerking met het Zero Day Initiative van Trend Micro

Toegevoegd op 13 december 2016

IOKit

Beschikbaar voor: Apple TV (4e generatie)

Impact: een lokale gebruiker kan de indeling van het kernelgeheugen bepalen

Beschrijving: een probleem met gedeeld geheugen is verholpen door een verbeterde verwerking van het geheugen.

CVE-2016-7714: Qidan He (@flanker_hqd) van KeenLab in samenwerking met het Zero Day Initiative van Trend Micro

Toegevoegd op 25 januari 2017

JavaScriptCore

Beschikbaar voor: Apple TV (4e generatie)

Impact: een script dat wordt uitgevoerd in een JavaScript-sandbox kan ook buiten die sandbox worden uitgevoerd.

Beschrijving: er was een validatieprobleem bij het verwerken van JavaScript. Dit probleem is verholpen door een verbeterde validatie.

CVE-2016-4695: Mark S. Miller van Google

Toegevoegd op 16 augustus 2017

Kernel

Beschikbaar voor: Apple TV (4e generatie)

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden 

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde invoervalidatie.

CVE-2016-7606: @cocoahuke, Chen Qin van het Topsec Alpha Team (topsec.com)

CVE-2016-7612: Ian Beer van Google Project Zero

Toegevoegd op 13 december 2016

Kernel

Beschikbaar voor: Apple TV (4e generatie)

Impact: een programma kan mogelijk het kernelgeheugen lezen

Beschrijving: een probleem met onvoldoende initialisatie is verholpen door de juiste initialisatie van het geheugen dat wordt geretourneerd aan gebruikersruimte.

CVE-2016-7607: Brandon Azad

Toegevoegd op 13 december 2016

Kernel

Beschikbaar voor: Apple TV (4e generatie)

Impact: een lokale gebruiker kan zorgen voor denial of service van het systeem

Beschrijving: een denial of service-probleem is verholpen door een verbeterde verwerking van het geheugen.

CVE-2016-7615: het National Cyber Security Centre (NCSC) van het Verenigd Koninkrijk

Toegevoegd op 13 december 2016

Kernel

Beschikbaar voor: Apple TV (4e generatie)

Impact: een lokale gebruiker kan zorgen voor het onverwacht beëindigen van het systeem of het uitvoeren van willekeurige code in de kernel

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2016-7621: Ian Beer van Google Project Zero

Toegevoegd op 13 december 2016

Kernel

Beschikbaar voor: Apple TV (4e generatie)

Impact: een lokale gebruiker kan mogelijk rootbevoegdheden verkrijgen

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.

CVE-2016-7637: Ian Beer van Google Project Zero

Toegevoegd op 13 december 2016

Kernel

Beschikbaar voor: Apple TV (4e generatie)

Impact: een programma zorgt mogelijk voor een denial of service

Beschrijving: een denial of service-probleem is verholpen door een verbeterde verwerking van het geheugen.

CVE-2016-7647: Lufeng Li van het Qihoo 360 Vulcan Team

Toegevoegd op 17 mei 2017

libarchive

Beschikbaar voor: Apple TV (4e generatie)

Impact: een lokale aanvaller kan bestaande bestanden overschrijven

Beschrijving: Er was een validatieprobleem bij de verwerking van symlinks. Dit probleem is verholpen door een verbeterde validatie van symlinks.

CVE-2016-7619: een anonieme onderzoeker

Toegevoegd op 13 december 2016

Energiebeheer

Beschikbaar voor: Apple TV (4e generatie)

Impact: een lokale gebruiker kan mogelijk rootbevoegdheden verkrijgen

Beschrijving: een probleem met mach port-naamreferenties is verholpen door een verbeterde validatie.

CVE-2016-7661: Ian Beer van Google Project Zero

Toegevoegd op 13 december 2016

Profielen

Beschikbaar voor: Apple TV (4e generatie)

Impact: het openen van een kwaadwillig vervaardigd certificaat kan leiden tot het uitvoeren van willekeurige code

Beschrijving: er was een probleem met geheugenbeschadiging bij de verwerking van certificaatprofielen. Dit probleem is verholpen door een verbeterde invoervalidatie.

CVE-2016-7626: Maksymilian Arciemowicz (cxsecurity.com)

Beveiliging

Beschikbaar voor: Apple TV (4e generatie)

Impact: een aanvaller kan mogelijk gebruikmaken van de kwetsbaarheden in het cryptografische 3DES-algoritme

Beschrijving: 3DES is verwijderd als standaardcodering.

CVE-2016-4693: Gaëtan Leurent en Karthikeyan Bhargavan van INRIA Parijs

Toegevoegd op 13 december 2016

Beveiliging

Beschikbaar voor: Apple TV (4e generatie)

Impact: een aanvaller in een geprivilegieerde netwerkpositie kan een denial of service veroorzaken

Beschrijving: er was een validatieprobleem bij de verwerking van OCSP-responder-URL's. Dit probleem is verholpen door de controle van de OCSP-intrekkingsstatus na CA-validatie en het beperken van het aantal OCSP-verzoeken per certificaat.

CVE-2016-7636: Maksymilian Arciemowicz (cxsecurity.com)

Toegevoegd op 13 december 2016

Beveiliging

Beschikbaar voor: Apple TV (4e generatie)

Impact: certificaten kunnen onverwacht worden beoordeeld als vertrouwd

Beschrijving: er was een probleem met certificaatevaluatie bij certificaatvalidatie. Dit probleem is verholpen door een extra validatie van certificaten.

CVE-2016-7662: Apple

Toegevoegd op 13 december 2016

syslog

Beschikbaar voor: Apple TV (4e generatie)

Impact: een lokale gebruiker kan mogelijk rootbevoegdheden verkrijgen

Beschrijving: een probleem met mach port-naamreferenties is verholpen door een verbeterde validatie.

CVE-2016-7660: Ian Beer van Google Project Zero

Toegevoegd op 13 december 2016

WebKit

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.

CVE-2016-4692: Apple

CVE-2016-7635: Apple

CVE-2016-7652: Apple

Toegevoegd op 13 december 2016

WebKit

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het vrijgeven van procesgeheugen

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.

CVE-2016-4743: Alan Cutter

Toegevoegd op 13 december 2016

WebKit

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het vrijgeven van gebruikersinformatie

Beschrijving: een probleem met validatie is verholpen door een verbeterd statusbeheer.

CVE-2016-7586: Boris Zbarsky

Toegevoegd op 13 december 2016

WebKit

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterd statusbeheer.

CVE-2016-7587: Adam Klein

CVE-2016-7610: Zheng Huang van Baidu Security Lab in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2016-7611: een anonieme onderzoeker in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2016-7639: Tongbo Luo van Palo Alto Networks

CVE-2016-7640: Kai Kang van het Xuanwu Lab van Tencent (tencent.com)

CVE-2016-7641: Kai Kang van het Xuanwu Lab van Tencent (tencent.com)

CVE-2016-7642: Tongbo Luo van Palo Alto Networks

CVE-2016-7645: Kai Kang van het Xuanwu Lab van Tencent (tencent.com)

CVE-2016-7646: Kai Kang van het Xuanwu Lab van Tencent (tencent.com)

CVE-2016-7648: Kai Kang van het Xuanwu Lab van Tencent (tencent.com)

CVE-2016-7649: Kai Kang van het Xuanwu Lab van Tencent (tencent.com)

CVE-2016-7654: Keen Lab in samenwerking met het Zero Day Initiative van Trend Micro

Toegevoegd op 13 december 2016

WebKit

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterd statusbeheer.

CVE-2016-7589: Apple

CVE-2016-7656: Keen Lab in samenwerking met het Zero Day Initiative van Trend Micro

Toegevoegd op 13 december 2016

WebKit

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het vrijgeven van procesgeheugen

Beschrijving: een probleem met niet-geïnitialiseerde geheugentoegang is verholpen door een verbeterde geheugeninitialisatie.

CVE-2016-7598: Samuel Groß

Toegevoegd op 13 december 2016

WebKit

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het vrijgeven van gebruikersinformatie

Beschrijving: er was een probleem bij de verwerking van HTTP-doorverwijzingen. Dit probleem is verholpen door een verbeterde cross-origin-validatie.

CVE-2016-7599: Muneaki Nishimura (nishimunea) van Recruit Technologies Co., Ltd.

Toegevoegd op 13 december 2016

WebKit

Beschikbaar voor: Apple TV (4e generatie)

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterd statusbeheer.

CVE-2016-7632: Jeonghoon Shin

Toegevoegd op 13 december 2016

Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Aan het gebruik van internet zijn risico’s verbonden. Neem contact op met de leverancier voor meer informatie. Andere bedrijfs- en productnamen zijn mogelijk handelsmerken van de respectievelijke eigenaars.

Publicatiedatum: