Om sikkerhetsinnholdet i tvOS 13.3.1
I dette dokumentet beskrives sikkerhetsinnholdet i tvOS 13.3.1.
Om sikkerhetsoppdateringer fra Apple
Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Nylige utgivelser er oppført på siden Sikkerhetsoppdateringer fra Apple.
Apple-sikkerhetsdokumenter refererer til sårbarheter etter CVE-ID når det er mulig.
For mer informasjon om sikkerhet kan du gå til siden for Apple-produktsikkerhet.
tvOS 13.3.1
Audio
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan utføre vilkårlig kode med systemrettigheter
Beskrivelse: Et problem med sikkerhetsbrudd i minnet ble løst gjennom forbedret minnehåndtering.
CVE-2020-3857: Zhuo Liang fra Qihoo 360 Vulcan Team
files
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et skadelig program kan være i stand til å overskrive vilkårlige filer
Beskrivelse: Et problem med tilgang ble løst med forbedrede tilgangsrestriksjoner.
CVE-2020-3855: Csaba Fitzl (@theevilbit)
ImageIO
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Behandling av et skadelig bilde kan føre til kjøring av vilkårlig kode
Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret validering av inndata.
CVE-2020-3826: Samuel Groß fra Google Project Zero
CVE-2020-3870
CVE-2020-3878: Samuel Groß fra Google Project Zero
CVE-2020-3880: Samuel Groß fra Google Project Zero
IOAcceleratorFamily
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter
Beskrivelse: Et problem med sikkerhetsbrudd i minnet ble løst gjennom forbedret minnehåndtering.
CVE-2020-3837: Brandon Azad fra Google Project Zero
IOUSBDeviceFamily
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter
Beskrivelse: Et problem med sikkerhetsbrudd i minnet ble løst gjennom forbedret minnehåndtering.
CVE-2019-8836: Xiaolong Bai og Min (Spark) Zheng fra Alibaba Inc. og Luyi Xing fra Indiana University Bloomington
IPSec
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Innlasting av en skadelig racoon-konfigurasjonsfil kan føre til utføring av vilkårlig kode
Beskrivelse: Det var et «off by one»-problem med behandlingen av racoon-konfigurasjonsfiler. Problemet ble løst gjennom forbedret grenseverdikontroll.
CVE-2020-3840: @littlelailo
Kernel
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan lese begrenset minne
Beskrivelse: Et valideringsproblem ble løst gjennom forbedret rensing av inndata.
CVE-2020-3875: Brandon Azad fra Google Project Zero
Kernel
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan lese begrenset minne
Beskrivelse: Et problem med initialisering av minne ble løst gjennom forbedret minnehåndtering.
CVE-2020-3872: Haakon Garseg Mørk fra Cognite og Cim Stordal fra Cognite
Kernel
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et skadelig program kan være i stand til å fastslå layouten til kjerneminnet
Beskrivelse: Et tilgangsproblem ble løst med forbedret minnehåndtering.
CVE-2020-3836: Brandon Azad fra Google Project Zero
Kernel
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter
Beskrivelse: Et problem med sikkerhetsbrudd i minnet ble løst gjennom forbedret minnehåndtering.
CVE-2020-3842: Ned Williamson i samarbeid med Google Project Zero
Kernel
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et skadelig program kan kanskje kjøre vilkårlig kode med systemrettigheter
Beskrivelse: Et problem med typeforveksling ble løst gjennom forbedret minnehåndtering.
CVE-2020-3853: Brandon Azad fra Google Project Zero
libxml2
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Behandling av en skadelig XML-fil kan føre til uventet avslutning av et program eller utføring av vilkårlig kode
Beskrivelse: En bufferoverflyt ble løst gjennom forbedret størrelsesvalidering.
CVE-2020-3846: Ranier Vilela
libxpc
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Behandling av en skadelig streng kan føre til skade på heapen
Beskrivelse: Et problem med sikkerhetsbrudd i minnet ble løst gjennom forbedret validering av inndata.
CVE-2020-3856: Ian Beer fra Google Project Zero
libxpc
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan være i stand til å få utvidede rettigheter
Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret grenseverdikontroll.
CVE-2020-3829: Ian Beer fra Google Project Zero
WebKit
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Behandling av skadelig nettinnhold kan føre til utføring av vilkårlig kode
Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret minnehåndtering.
CVE-2020-3825: Przemysław Sporysz fra Euvic
CVE-2020-3868: Marcin Towalski fra Cisco Talos
WebKit
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et skadelig nettsted kan være i stand til å forårsake tjenestenekt (DoS)
Beskrivelse: Et problem med tjenestenekt ble løst gjennom forbedret minnehåndtering.
CVE-2020-3862: Srikanth Gatta fra Google Chrome
WebKit
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Behandling av skadelig nettinnhold kan føre til universell skripting mellom nettsteder
Beskrivelse: Et logisk problem ble løst gjennom forbedret tilstandshåndtering.
CVE-2020-3867: en anonym forsker
WebKit Page Loading
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: En DOM-objektkontekst på øverste nivå kan feilaktig ha blitt ansett som sikker
Beskrivelse: Et logisk problem ble løst gjennom forbedret validering.
CVE-2020-3865: Ryan Pickren (ryanpickren.com)
WebKit Page Loading
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: En DOM-objektkontekst har kanskje ikke hatt et unikt sikkerhetsopphav
Beskrivelse: Et logisk problem ble løst gjennom forbedret validering.
CVE-2020-3864: Ryan Pickren (ryanpickren.com)
wifivelocityd
Tilgjengelig for Apple TV 4K og Apple TV HD
Virkning: Et program kan utføre vilkårlig kode med systemrettigheter
Beskrivelse: Problemet ble løst gjennom forbedret tillatelseslogikk.
CVE-2020-3838: Dayton Pidhirney (@_watbulb)
Ytterligere anerkjennelser
IOSurface
Vi vil gjerne takke Liang Chen (@chenliang0817) for hjelpen.
Informasjon om produkter som ikke er laget av Apple, samt uavhengige nettsteder som ikke kontrolleres eller testes av Apple, er gitt uten anbefaling eller godkjenning. Apple påtar seg ikke noe ansvar for utvalget av, bruken av eller ytelsen til nettsteder og produkter fra tredjeparter. Apple garanterer ikke for nøyaktigheten eller påliteligheten til tredjeparters nettsteder. Kontakt leverandøren for mer informasjon.