Om sikkerhetsinnholdet i tvOS 10.1

Dette dokumentet beskriver sikkerhetsinnholdet i tvOS 10.1.

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Nylige utgivelser er oppført på siden for Sikkerhetsoppdateringer fra Apple.

Hvis du vil ha mer informasjon om sikkerhet, kan du gå til siden for Apple Produktsikkerhet. Du kan kryptere kommunikasjon med Apple ved å bruke PGP-nøkkelen for Apple-produktsikkerhet.

Apple-sikkerhetsdokumenter refererer til sårbarheter etter CVE-ID når det er mulig.

tvOS 10.1

Utgitt 12. desember 2016

Lyd

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av en skadelig fil kan føre til utføring av vilkårlig kode

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering av inndata.

CVE-2016-7658: Haohao Kong fra Keen Lab (@keen_lab) hos Tencent

CVE-2016-7659: Haohao Kong fra Keen Lab (@keen_lab) hos Tencent

Oppføring lagt til 13. desember 2016

CoreFoundation

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av skadelige strenger kan føre til uventet avslutning av et program eller utføring av vilkårlig kode

Beskrivelse: Det var et problem med skadet minne i behandlingen av strenger. Problemet ble løst gjennom forbedret grensekontroll.

CVE-2016-7663: En anonym forsker

Oppføring lagt til 13. desember 2016

CoreGraphics

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av en skadelig fontfil kan føre til uventet avslutning av programmer

Beskrivelse: En dereferanse for en nullpeker ble løst gjennom forbedret validering av inndata.

CVE-2016-7627: TRAPMINE Inc. & Meysam Firouzi @R00tkitSMM

Oppføring lagt til 13. desember 2016

Eksterne CoreMedia-skjermer

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Et lokalt program kan utføre vilkårlig kode i konteksten av medietjenerdaemonen

Beskrivelse: Et problem med typeforveksling ble løst gjennom forbedret minnehåndtering.

CVE-2016-7655: Keen Lab arbeider med Trend Micros Zero Day Initiative

Oppføring lagt til 13. desember 2016

CoreMedia Playback

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av en skadelig .mp4-fil kan føre til utføring av vilkårlig kode

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.

CVE-2016-7588: dragonltx fra Huawei 2012 Laboratories

Oppføring lagt til 13. desember 2016

CoreText

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av en skadelig fontfil kan føre til utføring av vilkårlig kode

Beskrivelse: Det var flere problemer med skadet minne under håndteringen av fontfiler. Problemene ble løst gjennom forbedret grensekontroll.

CVE-2016-7595: riusksk(泉哥) fra Tencent Security Platform Department

Oppføring lagt til 13. desember 2016

CoreText

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av en skadelig streng kan føre til tjenestenekt

Beskrivelse: Et problem ved gjengivelse av overlappende områder ble løst gjennom forbedret validering.

CVE-2016-7667: Nasser Al-Hadhrami (@fast_hack), Saif Al-Hinai (welcom_there) fra Digital Unit (dgunit.com)

Oppføring lagt til 15. desember 2016

Diskfiler

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Et program kan utføre vilkårlig kode med kjernerettigheter

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering av inndata.

CVE-2016-7616: daybreaker@Minionz arbeider med Trend Micros Zero Day Initiative

Oppføring lagt til 13. desember 2016

FontParser

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av en skadelig fontfil kan føre til utføring av vilkårlig kode

Beskrivelse: Det var flere problemer med skadet minne under håndteringen av fontfiler. Problemene ble løst gjennom forbedret grensekontroll.

CVE-2016-4691: riusksk(泉哥) fra Tencent Security Platform Department

Oppføring lagt til 13. desember 2016

ICU

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av skadelig nettinnhold kan føre til utføring av vilkårlig kode

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.

CVE-2016-7594: André Bargull

Oppføring lagt til 13. desember 2016

ImageIO

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: En ekstern angriper kan lekke minne

Beskrivelse: Et problem med lesing utenfor grensene ble løst gjennom forbedret grensekontroll.

CVE-2016-7643: Yangkang (@dnpushme) fra Qihoo360 Qex Team

Oppføring lagt til 13. desember 2016

IOHIDFamily

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Et lokalt program med systemrettigheter kan utføre vilkårlig kode med kjernerettigheter

Beskrivelse: Et problem med fortsatt bruk etter frigjøring ble løst gjennom forbedret minnehåndtering.

CVE-2016-7591: daybreaker fra Minionz

Oppføring lagt til 13. desember 2016

IOKit

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Et program kan lese kjerneminnet

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering av inndata.

CVE-2016-7657: Keen Lab arbeider med Trend Micros Zero Day Initiative

Oppføring lagt til 13. desember 2016

IOKit

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: En lokal bruker kan være i stand til å bestemme oppsett av kjerneminne

Beskrivelse: Et problem med delt minne ble løst gjennom forbedret minnehåndtering.

CVE-2016-7714: Qidan He (@flanker_hqd) fra KeenLab arbeider med Trend Micros Zero Day Initiative

Oppføring lagt til 25. januar 2017

JavaScriptCore

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Et skript som utføres i JavaScript-sandkassen kan få tilgang til en tilstand utenfor sandkassen.

Beskrivelse: Det var et valideringsproblem i behandlingen av JavaScript. Problemet ble løst gjennom forbedret validering.

CVE-2016-4695: Mark S. Miller fra Google

Oppføring lagt til 16. august 2017

Kjerne

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Et program kan utføre vilkårlig kode med kjernerettigheter 

Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret validering av inndata.

CVE-2016-7606: @cocoahuke, Chen Qin fra Topsec Alpha Team (topsec.com)

CVE-2016-7612: Ian Beer fra Google Project Zero

Oppføring lagt til 13. desember 2016

Kjerne

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Et program kan lese kjerneminnet

Beskrivelse: Et problem med utilstrekkelig initialisering ble løst gjennom ordentlig initialisering av minne omgjort til brukerplass.

CVE-2016-7607: Brandon Azad

Oppføring lagt til 13. desember 2016

Kjerne

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: En lokal bruker kan være i stand til å forårsake tjenestenekt (DoS) i systemet

Beskrivelse: Et problem med nekting av tjeneste ble løst gjennom forbedret minnehåndtering.

CVE-2016-7615: National Cyber Security Centre (NCSC) i Storbritannia

Oppføring lagt til 13. desember 2016

Kjerne

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: En lokal bruker kan forårsake at et system avsluttes uventet eller at vilkårlig kode utføres i kjernen

Beskrivelse: Et problem med fortsatt bruk etter frigjøring ble løst gjennom forbedret minnehåndtering.

CVE-2016-7621: Ian Beer fra Google Project Zero

Oppføring lagt til 13. desember 2016

Kjerne

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: En lokal bruker kan få rotrettigheter

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering av inndata.

CVE-2016-7637: Ian Beer fra Google Project Zero

Oppføring lagt til 13. desember 2016

Kjerne

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Et program kan forårsake tjenestenekt

Beskrivelse: Et problem med nekting av tjeneste ble løst gjennom forbedret minnehåndtering.

CVE-2016-7647: Lufeng Li fra Qihoo 360 Vulcan Team

Oppføring lagt til 17. mai 2017

libarchive

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: En lokal angriper kan overskrive eksisterende filer

Beskrivelse: Det var et valideringsproblem i håndteringen av symlinks. Problemet ble løst gjennom forbedret validering av symlinks.

CVE-2016-7619: En anonym forsker

Oppføring lagt til 13. desember 2016

Strømstyring

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: En lokal bruker kan få rotrettigheter

Beskrivelse: Et problem med referanser til mach-portnavn ble løst gjennom forbedret validering.

CVE-2016-7661: Ian Beer fra Google Project Zero

Oppføring lagt til 13. desember 2016

Profiler

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Åpning av et skadelig sertifikat kan føre til utføring av vilkårlig kode

Beskrivelse: Det var et problem med skadet minne i håndteringen av sertifikatprofiler. Problemet ble løst gjennom forbedret validering av inndata.

CVE-2016-7626: Maksymilian Arciemowicz (CXSECURITY.COM)

Sikkerhet

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: En angriper kan utnytte svakheter i den kryptografiske 3DES-algoritmen

Beskrivelse: 3DES ble fjernet som standard chiffer.

CVE-2016-4693: Gaëtan Leurent og Karthikeyan Bhargavan fra INRIA Paris

Oppføring lagt til 13. desember 2016

Sikkerhet

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: En angriper i en privilegert nettverksposisjon kan forårsake tjenestenekt

Beskrivelse: Det var et valideringsproblem i håndteringen av OCSP-svarnettadresser. Problemet ble løst gjennom verifisering av OCSP-inndragelsesstatus etter CA-validering og begrensning av antall OCSP-forespørsler per sertifikat.

CVE-2016-7636: Maksymilian Arciemowicz (CXSECURITY.COM)

Oppføring lagt til 13. desember 2016

Sikkerhet

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Sertifikater kan uventet evalueres som godkjent

Beskrivelse: Det var et problem med evaluering av sertifikater i sertifikatvalideringen. Problemet ble løst gjennom ekstra kontroll av sertifikater.

CVE-2016-7662: Apple

Oppføring lagt til 13. desember 2016

syslog

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: En lokal bruker kan få rotrettigheter

Beskrivelse: Et problem med referanser til mach-portnavn ble løst gjennom forbedret validering.

CVE-2016-7660: Ian Beer fra Google Project Zero

Oppføring lagt til 13. desember 2016

WebKit

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av skadelig nettinnhold kan føre til utføring av vilkårlig kode

Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret minnehåndtering.

CVE-2016-4692: Apple

CVE-2016-7635: Apple

CVE-2016-7652: Apple

Oppføring lagt til 13. desember 2016

WebKit

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av skadelig nettinnhold kan føre til at prosessminne avsløres

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering av inndata.

CVE-2016-4743: Alan Cutter

Oppføring lagt til 13. desember 2016

WebKit

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av skadelig nettinnhold kan føre til at brukerinformasjon avsløres

Beskrivelse: Et valideringsproblem ble løst gjennom forbedret tilstandshåndtering.

CVE-2016-7586: Boris Zbarsky

Oppføring lagt til 13. desember 2016

WebKit

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av skadelig nettinnhold kan føre til utføring av vilkårlig kode

Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret tilstandshåndtering.

CVE-2016-7587: Adam Klein

CVE-2016-7610: Zheng Huang fra Baidu Security Lab arbeider med Trend Micros Zero Day Initiative

CVE-2016-7611: en anonym forsker som arbeider med Trend Micros Zero Day Initiative

CVE-2016-7639: Tongbo Luo fra Palo Alto Networks

CVE-2016-7640: Kai Kang fra Tencents Xuanwu Lab (tencent.com)

CVE-2016-7641: Kai Kang fra Tencents Xuanwu Lab (tencent.com)

CVE-2016-7642: Tongbo Luo fra Palo Alto Networks

CVE-2016-7645: Kai Kang fra Tencents Xuanwu Lab (tencent.com)

CVE-2016-7646: Kai Kang fra Tencents Xuanwu Lab (tencent.com)

CVE-2016-7648: Kai Kang fra Tencents Xuanwu Lab (tencent.com)

CVE-2016-7649: Kai Kang fra Tencents Xuanwu Lab (tencent.com)

CVE-2016-7654: Keen Lab arbeider med Trend Micros Zero Day Initiative

Oppføring lagt til 13. desember 2016

WebKit

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av skadelig nettinnhold kan føre til utføring av vilkårlig kode

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret tilstandshåndtering.

CVE-2016-7589: Apple

CVE-2016-7656: Keen Lab arbeider med Trend Micros Zero Day Initiative

Oppføring lagt til 13. desember 2016

WebKit

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av skadelig nettinnhold kan føre til at prosessminne avsløres

Beskrivelse: Et problem med utilstrekkelig initialisering av minnetilgang ble løst gjennom forbedring av minneinitialisering.

CVE-2016-7598: Samuel Groß

Oppføring lagt til 13. desember 2016

WebKit

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av skadelig nettinnhold kan føre til at brukerinformasjon avsløres

Beskrivelse: Det var et problem med håndteringen av HTTP-viderekoblinger. Problemet ble løst gjennom forbedret validering av kryssopphav.

CVE-2016-7599: Muneaki Nishimura (nishimunea) fra Recruit Technologies Co., Ltd.

Oppføring lagt til 13. desember 2016

WebKit

Tilgjengelig for: Apple TV (4. generasjon)

Virkning: Behandling av skadelig nettinnhold kan føre til uventet avslutning av et program eller utføring av vilkårlig kode

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret tilstandshåndtering.

CVE-2016-7632: Jeonghoon Shin

Oppføring lagt til 13. desember 2016

Informasjon om produkter som ikke produseres av Apple, eller om uavhengige nettsteder som ikke styres eller testes av Apple, gis uten anbefalinger eller bifall. Apple påtar seg ikke noe ansvar med hensyn til utvalg, ytelse eller bruk av tredjeparts nettsteder eller produkter. Apple har ingen forestillinger angående nøyaktigheten eller påliteligheten til tredjeparts nettsteder. Det finnes en iboende risiko ved bruk av Internett. Ta kontakt med leverandøren for å få mer informasjon. Andre firma- og produktnavn kan være varemerker for de respektive innehaverne.

Publiseringsdato: