Om sikkerhetsoppdateringer fra Apple
Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Nylige utgivelser er oppført på siden for Sikkerhetsoppdateringer fra Apple.
Apple-sikkerhetsdokumenter refererer til sårbarheter etter CVE-ID når det er mulig.
For mer informasjon om sikkerhet kan du gå til siden for Apple-produktsikkerhet.
tvOS 13
Utgitt 24. september 2019
AppleFirmwareUpdateKext
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter
Beskrivelse: Et sårbarhetsproblem med skadet minne ble løst gjennom forbedret låsing.
CVE-2019-8747: Mohamed Ghannam (@_simo36)
Oppføring lagt til 29. oktober 2019
Lyd
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Behandling av en skadelig lydfil kan føre til utføring av vilkårlig kode
Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret tilstandshåndtering.
CVE-2019-8706: Yu Zhou fra Ant-financial Light-Year Security Lab
Oppføring lagt til 29. oktober 2019
Lyd
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Behandling av en skadelig lydfil kan avdekke begrenset minne
Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret validering av inndata.
CVE-2019-8850: Anonym i samarbeid med Trend Micro Zero Day Initiative
Oppføring lagt til 4. desember 2019
CFNetwork
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Behandling av skadelig nettinnhold kan føre til et angrep med skripting mellom nettsteder
Beskrivelse: Problemet ble løst gjennom bedre kontroller.
CVE-2019-8753: Łukasz Pilorz fra Standard Chartered GBS Poland
Oppføring lagt til 29. oktober 2019
CoreAudio
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Avspilling av en skadelig lydfil kan føre til utføring av vilkårlig kode
Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering av inndata.
CVE-2019-8592: riusksk fra VulWar Corp i samarbeid med Trend Micro Zero Day Initiative
Oppføring lagt til 6. november 2019
CoreCrypto
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Behandling av store mengder inndata kan føre til tjenestenekt
Beskrivelse: Et problem med tjenestenekt ble løst gjennom forbedret validering av inndata.
CVE-2019-8741: Nicky Mouha fra NIST
Oppføring lagt til 29. oktober 2019
CoreAudio
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Behandling av en skadelig filmfil kan føre til at prosessminne avsløres
Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering.
CVE-2019-8705: riusksk fra VulWar Corp i samarbeid med Trend Micros Zero Day Initiative
Oppføring lagt til 8. oktober 2019
Foundation
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: En ekstern angriper kan være i stand til å forårsake uventet avslutning av et program eller kjøring av vilkårlig kode
Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret validering av inndata.
CVE-2019-8746: Natalie Silvanovich og Samuel Groß fra Google Project Zero
Oppføring lagt til 29. oktober 2019
IOUSBDeviceFamily
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter
Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.
CVE-2019-8718: Joshua Hill og Sem Voigtländer
Oppføring lagt til 29. oktober 2019
Kjerne
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter
Beskrivelse: Et sårbarhetsproblem med skadet minne ble løst gjennom forbedret låsing.
CVE-2019-8740: Mohamed Ghannam (@_simo36)
Oppføring lagt til 29. oktober 2019
Kjerne
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: En lokal app kan være i stand til å lese en vedvarende kontoidentifikator
Beskrivelse: Et valideringsproblem ble løst gjennom forbedret logikk.
CVE-2019-8809: Apple
Oppføring lagt til 29. oktober 2019
Kjerne
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan utføre vilkårlig kode med systemrettigheter
Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.
CVE-2019-8712: Mohamed Ghannam (@_simo36)
Oppføring lagt til 29. oktober 2019
Kjerne
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et skadelig program kan være i stand til å fastslå layouten til kjerneminnet
Beskrivelse: Det var et problem med ødelagt minne i håndteringen av IPv6-pakker. Problemet ble løst gjennom forbedret minnehåndtering.
CVE-2019-8744: Zhuo Liang fra Qihoo 360 Vulcan Team
Oppføring lagt til 29. oktober 2019
Kjerne
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter
Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret tilstandshåndtering.
CVE-2019-8709: derrek (@derrekr6) derrek (@derrekr6)
Oppføring lagt til 29. oktober 2019
Kjerne
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter
Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.
CVE-2019-8717: Jann Horn fra Google Project Zero
Oppføring lagt til 8. oktober 2019
Kjerne
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et skadelig program kan være i stand til å fastslå layouten til kjerneminnet
Beskrivelse: Problemet ble løst gjennom forbedret tillatelseslogikk.
CVE-2019-8780: Siguza
Oppføring lagt til 8. oktober 2019
Tastaturer
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: En lokal bruker kan lekke sensitiv brukerinformasjon
Beskrivelse: Et problem med autentisering ble løst gjennom forbedret tilstandshåndtering.
CVE-2019-8704: 王 邦 宇 (wAnyBug.Com) fra SAINTSEC
libxml2
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Flere problemer i libxml2
Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret validering av inndata.
CVE-2019-8749: funnet av OSS-Fuzz
CVE-2019-8756: funnet av OSS-Fuzz
Oppføring lagt til 8. oktober 2019
libxslt
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Flere problemer i libxslt
Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret validering av inndata.
CVE-2019-8750: funnet av OSS-Fuzz
Oppføring lagt til 29. oktober 2019
mDNSResponder
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: En angriper i fysisk nærhet kan passivt se enhetsnavn i AWDL-kommunikasjoner
Beskrivelse: Dette problemet ble løst ved å erstatte enhetsnavn med en tilfeldig identifikator.
CVE-2019-8799: David Kreitschmann og Milan Stute fra Technische Universität Darmstadts Secure Mobile Networking Lab
Oppføring lagt til 29. oktober 2019
UIFoundation
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Behandling av en skadelig tekstfil kan føre til at vilkårlig kode utføres
Beskrivelse: En bufferoverflyt ble løst gjennom forbedret grenseverdikontroll.
CVE-2019-8745: riusksk fra VulWar Corp i samarbeid med Trend Micros Zero Day Initiative
Oppføring lagt til 8. oktober 2019
UIFoundation
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan utføre vilkårlig kode med systemrettigheter
Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.
CVE-2019-8831: riusksk fra VulWar Corp i samarbeid med Trend Micros Zero Day Initiative
Oppføring lagt til 18. november 2019
WebKit
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Behandling av skadelig nettinnhold kan føre til universell skripting mellom nettsteder
Beskrivelse: Et logisk problem ble løst gjennom forbedret tilstandshåndtering.
CVE-2019-8625: Sergei Glazunov fra Google Project Zero
CVE-2019-8719: Sergei Glazunov fra Google Project Zero
CVE-2019-8764: Sergei Glazunov fra Google Project Zero
Oppføring lagt til 8. oktober 2019, oppdatert 29. oktober 2019
WebKit
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Behandling av skadelig nettinnhold kan føre til utføring av vilkårlig kode
Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret minnehåndtering.
CVE-2019-8707: en anonym forsker i samarbeid med Trend Micros Zero Day Initiative og cc i samarbeid med Trend Micros Zero Day Initiative
CVE-2019-8710: funnet av OSS-Fuzz
CVE-2019-8726: Jihui Lu fra Tencent KeenLab
CVE-2019-8728: Junho Jang fra LINE Security Team og Hanul Choi fra ABLY Corporation
CVE-2019-8733: Sergei Glazunov fra Google Project Zero
CVE-2019-8734: funnet av OSS-Fuzz
CVE-2019-8735: G. Geshev i samarbeid med Trend Micros Zero Day Initiative
CVE-2019-8743: zhunki fra Codesafe Team ved Legendsec i Qi'anxin Group
CVE-2019-8751: Dongzhuo Zhao i samarbeid med ADLab hos Venustech
CVE-2019-8752: Dongzhuo Zhao i samarbeid med ADLab hos Venustech
CVE-2019-8763: Sergei Glazunov fra Google Project Zero
CVE-2019-8765: Samuel Groß fra Google Project Zero
CVE-2019-8766: funnet av OSS-Fuzz
CVE-2019-8773: funnet av OSS-Fuzz
Oppføring lagt til 8. oktober 2019, oppdatert 29. oktober 2019
WebKit
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Behandling av skadelig nettinnhold kan føre til universell skripting mellom nettsteder
Beskrivelse: Et valideringsproblem ble løst gjennom forbedret logikk.
CVE-2019-8762: Sergei Glazunov fra Google Project Zero
Oppføring lagt til 18. november 2019
Wi-Fi
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: En enhet kan bli sporet passivt ved bruk av MAC-adressen for Wi-Fi
Beskrivelse: Et problem med personvern ble løst gjennom fjerning av MAC-kringkastingsadressen.
CVE-2019-8854: Ta-Lun Yen fra UCCU Hacker og FuriousMacTeam fra United States Naval Academy og Mitre Cooperation
Oppføring lagt til 4. desember 2019
Ytterligere anerkjennelse
Lyd
Vi vil gjerne takke riusksk fra VulWar Corp i samarbeid med Trend Micro Zero Day Initiative for hjelpen.
Oppføring lagt til 29. oktober 2019
HomeKit
Vi vil gjerne takke Tian Zhang for hjelpen.
Oppføring lagt til 29. oktober 2019
Kjerne
Vi vil gjerne takke Brandon Azad fra Google Project Zero for hjelpen.
Oppføring lagt til 29. oktober 2019
boringssl
Vi vil gjerne takke Nimrod Aviram fra Tel Aviv University, Robert Merget fra Ruhr University Bochum, Juraj Somorovsky fra Ruhr University Bochum og Thijs Alkemade (@xnyhps) fra Computest for hjelpen.
Oppføring lagt til 8. oktober 2019, oppdatert 29. oktober 2019
Tastatur
Vi vil gjerne takke en anonym forsker for hjelpen.
mDNSResponder
Vi vil gjerne takke Gregor Lang fra e.solutions GmbH for hjelpen.
Oppføring lagt til 29. oktober 2019
Profiler
Vi vil gjerne takke Erik Johnson fra Vernon Hills High School, James Seeley (@Code4iOS) fra Shriver Job Corps og James Seeley (@Code4iOS) fra Shriver Job Corps for hjelpen.
Oppføring oppdatert 29. oktober 2019
WebKit
Vi vil gjerne takke MinJeong Kim fra Information Security Lab, Chungnam National University, JaeCheol Ryou fra Information Security Lab, Chungnam National University i Sør-Korea, Yiğit Can YILMAZ (@yilmazcanyigit), Zhihua Yao fra DBAPPSecurity Zion Lab og en anonym forsker i samarbeid med Trend Micros Zero Day Initiative for hjelpen.
Oppføring lagt til 8. oktober 2019, oppdatert 29. oktober 2019