Om sikkerhetsinnholdet i tvOS 14.4

Dette dokumentet beskriver sikkerhetsinnholdet i tvOS 14.4.

Om sikkerhetsoppdateringer fra Apple

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Nylige utgivelser er oppført på siden for Sikkerhetsoppdateringer fra Apple.

Apple-sikkerhetsdokumenter refererer til sårbarheter etter CVE-ID når det er mulig.

For mer informasjon om sikkerhet kan du gå til siden for Apple-produktsikkerhet.

tvOS 14.4

Utgitt 26. januar 2021

Analyse

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: En ekstern angriper kan forårsake tjenestenekt

Beskrivelse: Problemet ble løst gjennom bedre kontroller.

CVE-2021-1761: Cees Elzinga

Oppføring lagt til 1. februar 2021

APFS

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: En lokal bruker kan være i stand til å lese vilkårlige filer

Beskrivelse: Problemet ble løst gjennom forbedret tillatelseslogikk.

CVE-2021-1797: Thomas Tempelmann

Oppføring lagt til 1. februar 2021

CoreAnimation

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Et skadelig program kunne utføre vilkårlig kode som førte til kompromittering av brukerinformasjon

Beskrivelse: Et problem med sikkerhetsbrud i minnet ble løst gjennom forbedret tilstandshåndtering.

CVE-2021-1760: @S0rryMybad fra 360 Vulcan Team

Oppføring lagt til 1. februar 2021

CoreAudio

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av skadelig nettinnhold kan føre til utføring av kode

Beskrivelse: Et problem med skriving utenfor området ble løst gjennom forbedret validering av inndata.

CVE-2021-1747: JunDong Xie fra Ant Security Light-Year Lab

Oppføring lagt til 1. februar 2021

CoreGraphics

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av en skadelig fontfil kan føre til utføring av vilkårlig kode

Beskrivelse: Et problem med skriving utenfor området ble løst gjennom forbedret grenseverdikontroll.

CVE-2021-1776: Ivan Fratric fra Google Project Zero

Oppføring lagt til 1. februar 2021

CoreMedia

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av et skadelig bilde kan føre til utføring av vilkårlig kode

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret validering av inndata.

CVE-2021-1759: Hou JingYi (@hjy79425575) fra Qihoo 360 CERT

Oppføring lagt til 1. februar 2021

CoreText

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av en skadelig tekstfil kan føre til at vilkårlig kode utføres

Beskrivelse: En stabeloverflyt ble løst ved å forbedre valideringen av inndata.

CVE-2021-1772: Mickey Jin (@patch1t) fra Trend Micro i samarbeid med Trend Micro Zero Day Initiative

Oppføring lagt til 1. februar 2021, oppdatert 16. mars 2021

CoreText

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: En ekstern angriper kan være i stand kjøre vilkårlig kode

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret grenseverdikontroll.

CVE-2021-1792: Mickey Jin og Junzhi Lu fra Trend Micro i samarbeid med Trend Micro Zero Day Initiative

Oppføring lagt til 1. februar 2021, oppdatert 16. mars 2021

Crash Reporter

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: En lokal bruker kan være i stand til å opprette eller modifisere systemfiler

Beskrivelse: Et logisk problem ble løst gjennom forbedret tilstandshåndtering.

CVE-2021-1786: Csaba Fitzl (@theevilbit) fra Offensive Security

Oppføring lagt til 1. februar 2021

Crash Reporter

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: En lokal angriper kan være i stand til å utvide rettighetene sine

Beskrivelse: Flere problemer ble løst gjennom forbedret logikk.

CVE-2021-1787: James Hutchins

Oppføring lagt til 1. februar 2021

FairPlay

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Et skadelig program kan være i stand til å oppgi kjerneminne

Beskrivelse: Det var et problem med lesing utenfor grenseområdet som førte til avdekking av kjerneminnet. Dette ble løst gjennom forbedret validering av inndata.

CVE-2021-1791: Junzhi Lu (@pwn0rz), Qi Sun og Mickey Jin fra Trend Micro i samarbeid med Trend Micro Zero Day Initiative

Oppføring lagt til 1. februar 2021, oppdatert 16. mars 2021

FontParser

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: En ekstern angriper kan være i stand kjøre vilkårlig kode

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret grenseverdikontroll.

CVE-2021-1758: Peter Nguyen fra STAR Labs

Oppføring lagt til 1. februar 2021

ImageIO

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: En ekstern angriper kan være i stand til å forårsake uventet avslutning av et program eller kjøring av vilkårlig kode

Beskrivelse: Et logisk problem ble løst gjennom forbedret tilstandshåndtering.

CVE-2021-1818: Xingwei Lin fra Ant-Financial Light-Year Security Lab

Oppføring lagt til 16. mars 2021

ImageIO

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av et skadelig bilde kan føre til tjenestenekt

Beskrivelse: Problemet ble løst gjennom bedre kontroller.

CVE-2021-1766: Danny Rosseau fra Carve Systems

Oppføring lagt til 1. februar 2021

ImageIO

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av et skadelig bilde kan føre til utføring av vilkårlig kode

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret validering av inndata.

CVE-2021-1785: Xingwei Lin fra Ant Security Light-Year Lab

Oppføring lagt til 1. februar 2021

ImageIO

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av et skadelig bilde kan føre til kjøring av vilkårlig kode

Beskrivelse: Et problem med skriving utenfor området ble løst gjennom forbedret validering av inndata.

CVE-2021-1744: Xingwei Lin fra Ant Security Light-Year Lab

Oppføring lagt til 1. februar 2021

ImageIO

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: En ekstern angriper kan være i stand til å forårsake uventet avslutning av et program eller kjøring av vilkårlig kode

Beskrivelse: Et logisk problem ble løst gjennom forbedret tilstandshåndtering.

CVE-2021-1818: Xingwei Lin fra Ant-Financial Light-Year Security Lab

Oppføring lagt til 1. februar 2021

ImageIO

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av et skadelig bilde kan føre til kjøring av vilkårlig kode

Beskrivelse: Problemet ble løst gjennom bedre kontroller.

CVE-2021-1742: Xingwei Lin fra Ant Security Light-Year Lab

CVE-2021-1746: Jeonghoon Shin (@singi21a) fra THEORI, Mickey Jin og Qi Sun fra Trend Micro i samarbeid med Trend Micro Zero Day Initiative, Xingwei Lin fra Ant Security Light-Year Lab

CVE-2021-1754: Xingwei Lin fra Ant Security Light-Year Lab

CVE-2021-1774: Xingwei Lin fra Ant Security Light-Year Lab

CVE-2021-1777: Xingwei Lin fra Ant Security Light-Year Lab

CVE-2021-1793: Xingwei Lin fra Ant Security Light-Year Lab

Oppføring lagt til 1. februar 2021, oppdatert 16. mars 2021

ImageIO

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av et skadelig bilde kan føre til tjenestenekt

Beskrivelse: Et logisk problem ble løst gjennom forbedret tilstandshåndtering.

CVE-2021-1773: Xingwei Lin fra Ant Security Light-Year Lab

Oppføring lagt til 1. februar 2021

ImageIO

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av et skadelig bilde kan føre til kjøring av vilkårlig kode

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret grenseverdikontroll.

CVE-2021-1741: Xingwei Lin fra Ant Security Light-Year Lab

CVE-2021-1743: Mickey Jin og Junzhi Lu fra Trend Micro i samarbeid med Trend Micro Zero Day Initiative, Xingwei Lin fra Ant Security Light-Year Lab

Oppføring lagt til 1. februar 2021, oppdatert 16. mars 2021

ImageIO

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av et skadelig bilde kan føre til tjenestenekt

Beskrivelse: Det var et problem med lesing utenfor grensene i curl. Problemet ble løst gjennom forbedret grensekontroll.

CVE-2021-1778: Xingwei Lin fra Ant Security Light-Year Lab

Oppføring lagt til 1. februar 2021

ImageIO

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av et skadelig bilde kan føre til kjøring av vilkårlig kode

Beskrivelse: Et tilgangsproblem ble løst med forbedret minnehåndtering.

CVE-2021-1783: Xingwei Lin fra Ant Security Light-Year Lab

Oppføring lagt til 1. februar 2021

IOSkywalkFamily

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: En lokal angriper kan være i stand til å utvide rettighetene sine

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret grenseverdikontroll.

CVE-2021-1757: Proteas og Pan ZhenPeng (@Peterpan0927) fra Alibaba Security

Oppføring lagt til 1. februar 2021

iTunes Store

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av en skadelig URL kan føre til kjøring av vilkårlig javascript-kode

Beskrivelse: Et valideringsproblem ble løst gjennom forbedret rensing av inndata.

CVE-2021-1748: CodeColorist i samarbeid med Ant Security Light-Year Labs

Oppføring lagt til 1. februar 2021, oppdatert 16. mars 2021

Kjerne

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: En ekstern angriper kan forårsake tjenestenekt

Beskrivelse: Et problem med fortsatt bruk etter frigjøring ble løst med forbedret minnestyring.

CVE-2021-1764: @m00nbsd

Oppføring lagt til 1. februar 2021, oppdatert 16. mars 2021

Kjerne

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter

Beskrivelse: Flere problemer ble løst gjennom forbedret logikk.

CVE-2021-1750: @0xalsr

Oppføring lagt til 1. februar 2021

Kjerne

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Et skadelig program kan være i stand til å utvide rettigheter. Apple kjenner til en rapport om at dette problemet kan ha vært under aktiv utnyttelse.

Beskrivelse: En kappløpssituasjon ble løst gjennom forbedret låsing.

CVE-2021-1782: en anonym forsker

Swift

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: En ondsinnet angriper med muligheter for vilkårlig lesing og skriving kan klare å forbigå pekergodkjenningen

Beskrivelse: Et logisk problem ble løst gjennom forbedret validering.

CVE-2021-1769: CodeColorist fra Ant-Financial Light-Year Labs

Oppføring lagt til 1. februar 2021

WebKit

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av skadelig nettinnhold kan føre til utføring av vilkårlig kode

Beskrivelse: Et problem med fortsatt bruk etter frigjøring ble løst med forbedret minnestyring.

CVE-2021-1788: Francisco Alonso (@revskills)

Oppføring lagt til 1. februar 2021, oppdatert 16. mars 2021

WebKit

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Behandling av skadelig nettinnhold kan føre til utføring av vilkårlig kode

Beskrivelse: Et problem med typeforveksling ble løst gjennom forbedret tilstandshåndtering.

CVE-2021-1789: @S0rryMybad fra 360 Vulcan Team

Oppføring lagt til 1. februar 2021

WebKit

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Skadelig nettinnhold kan være i strid med sandkasseretningslinjene for iFrame

Beskrivelse: Problemet ble løst gjennom forbedret håndheving av sandkasse for iFrame.

CVE-2021-1801: Eliya Stein fra Confiant

Oppføring lagt til 1. februar 2021

WebRTC

Tilgjengelig for Apple TV 4K og Apple TV HD

Virkning: Et skadelig nettsted kan få tilgang til begrensede porter på vilkårlige servere

Beskrivelse: Et problem med portviderekobling ble løst med ekstra portvalidering.

CVE-2021-1799: Gregory Vishnepolsky og Ben Seri fra Armis Security, samt Samy Kamkar

Oppføring lagt til 1. februar 2021

Ytterligere anerkjennelser

iTunes Store

Vi vil gjerne takke CodeColorist fra Ant-Financial Light-Year Labs for hjelpen.

Oppføring lagt til 1. februar 2021

Kjerne

Vi vil gjerne takke Junzhi Lu (@pwn0rz), Mickey Jin og Jesse Change fra Trend Micro for hjelpen.

Oppføring lagt til 1. februar 2021

libpthread

Vi vil gjerne takke CodeColorist fra Ant-Financial Light-Year Labs for hjelpen.

Oppføring lagt til 1. februar 2021

Butikkdemo

Vi vil gjerne takke @08Tc3wBB for hjelpen.

Oppføring lagt til 1. februar 2021

Informasjon om produkter som ikke er laget av Apple, samt uavhengige nettsteder som ikke kontrolleres eller testes av Apple, er gitt uten anbefaling eller godkjenning. Apple påtar seg ikke noe ansvar for utvalget av, bruken av eller ytelsen til nettsteder og produkter fra tredjeparter. Apple garanterer ikke for nøyaktigheten eller påliteligheten til tredjeparters nettsteder. Kontakt leverandøren for mer informasjon.

Publiseringsdato: