Over Apple beveiligingsupdates
Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.
Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.
Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.
tvOS 14.7
Releasedatum: 19 juli 2021
Analytics
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een lokale aanvaller heeft mogelijk toegang tot analysegegevens
Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.
CVE-2021-30871: Denis Tokarev (@illusionofcha0s)
Toegevoegd op 25 mei 2022
App Store
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een kwaadaardig programma kan mogelijk bepaalde privacyvoorkeuren omzeilen
Beschrijving: een bevoegdhedenprobleem is verholpen door verbeterde validatie.
CVE-2021-31006: Csaba Fitzl (@theevilbit) van Offensive Security
Toegevoegd op 25 mei 2022
Audio
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een lokale aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken
Beschrijving: dit probleem is verholpen door middel van verbeterde controles.
CVE-2021-30781: tr3e
AVEVideoEncoder
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.
CVE-2021-30748: George Nosenko
Toegevoegd op 19 januari 2022
CoreAudio
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.
CVE-2021-30775: JunDong Xie van Ant Security Light-Year Lab
CoreAudio
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het afspelen van een kwaadaardig audiobestand kan leiden tot het onverwacht beëindigen van een app
Beschrijving: een logicaprobleem is verholpen door verbeterde validatie.
CVE-2021-30776: JunDong Xie van Ant Security Light-Year Lab
CoreText
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2021-30789: Mickey Jin (@patch1t) van Trend Micro, Sunglin van Knownsec 404 team
Crash Reporter
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een kwaadaardig programma kan rootbevoegdheden verkrijgen
Beschrijving: een logicaprobleem is verholpen door verbeterde validatie.
CVE-2021-30774: Yizhuo Wang van Group of Software Security In Progress (G.O.S.S.I.P) van Shanghai Jiao Tong University
CVMS
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een kwaadaardig programma kan rootbevoegdheden verkrijgen
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde bereikcontrole.
CVE-2021-30780: Tim Michaud (@TimGMichaud) van Zoom Video Communications
dyld
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een proces in de sandbox kan de sandboxbeperkingen omzeilen
Beschrijving: een logicaprobleem is verholpen door verbeterde validatie.
CVE-2021-30768: Linus Henze (pinauten.de)
FontParser
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met overloop van gehele getallen is verholpen door een verbeterde invoervalidatie.
CVE-2021-30760: Sunglin van Knownsec 404 team
FontParser
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van een kwaadwillig vervaardigd tiff-bestand kan leiden tot denial-of-service of mogelijk geheugeninhoud vrijgeven
Beschrijving: dit probleem is verholpen door middel van verbeterde controles.
CVE-2021-30788: tr3e in samenwerking met het Zero Day Initiative van Trend Micro
FontParser
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een stackoverflow is verholpen door betere invoervalidatie.
CVE-2021-30759: hjy79425575 in samenwerking met het Zero Day Initiative van Trend Micro
Identity Service
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een schadelijk programma kan de controles van codeondertekening omzeilen
Beschrijving: een probleem met de ondertekening van code is verholpen door verbeterde controles.
CVE-2021-30773: Linus Henze (pinauten.de)
Image Processing
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2021-30802: Matthew Denton van Google Chrome Security
ImageIO
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code
Beschrijving: dit probleem is verholpen door middel van verbeterde controles.
CVE-2021-30779: Jzhu, Ye Zhang (@co0py_Cat) van Baidu Security
ImageIO
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een bufferoverloop is verholpen door een verbeterde bereikcontrole.
CVE-2021-30785: CFF van Topsec Alpha Team, Mickey Jin (@patch1t) van Trend Micro
Kernel
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een kwaadwillige aanvaller met willekeurige lees- en schrijfcapaciteiten kan Pointer Authentication omzeilen
Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.
CVE-2021-30769: Linus Henze (pinauten.de)
Kernel
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een aanvaller die het uitvoeren van kernelcode al heeft bereikt, kan kernelgeheugenbeperkingen omzeilen
Beschrijving: een logicaprobleem is verholpen door verbeterde validatie.
CVE-2021-30770: Linus Henze (pinauten.de)
libxml2
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: een externe aanvaller kan het uitvoeren van willekeurige code veroorzaken
Beschrijving: dit probleem is verholpen door middel van verbeterde controles.
CVE-2021-3518
WebKit
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een type confusion-probleem is verholpen door een verbeterde statusverwerking.
CVE-2021-30758: Christoph Guttandin van Media Codings
WebKit
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2021-30795: Sergei Glazunov van Google Project Zero
WebKit
Beschikbaar voor: Apple TV 4K en Apple TV HD
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van code
Beschrijving: dit probleem is verholpen door middel van verbeterde controles.
CVE-2021-30797: Ivan Fratric van Google Project Zero
Aanvullende erkenning
Assets
Met dank aan Cees Elzinga voor de hulp.
CoreText
Met dank aan Mickey Jin (@patch1t) van Trend Micro voor de hulp.
Power Management
Met dank aan Pan ZhenPeng(@Peterpan0927) van Alibaba Security Pandora Lab, Csaba Fitzl (@theevilbit) en Lisandro Ubiedo (@_lubiedo) van Stratosphere Lab voor de hulp.
Toegevoegd op 7 juni 2023
Safari
Met dank aan een anonieme onderzoeker voor de hulp.
Sandbox
Met dank aan Csaba Fitzl (@theevilbit) van Offensive Security voor de hulp.
sysdiagnose
Met dank aan Carter Jones (linkedin.com/in/carterjones/) en Tim Michaud (@TimGMichaud) van Zoom Video Communications voor de hulp.
Toegevoegd op 25 mei 2022