Om sikkerhetsoppdateringer fra Apple
Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Nylige utgivelser er oppført på siden for Apples sikkerhetsutgivelser.
Apple-sikkerhetsdokumenter refererer til sårbarheter etter CVE-ID når det er mulig.
For mer informasjon om sikkerhet kan du gå til siden for Apple-produktsikkerhet.
tvOS 17.4
Utgitt 7. mars 2024
Accessibility
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: En skadelig app kan være i stand til å se brukerdata i loggoppføringer relatert til tilgjengelighetsvarsler
Beskrivelse: Et personvernproblem ble løst gjennom forbedret sensurering av private data i loggoppføringer.
CVE-2024-23291
AppleMobileFileIntegrity
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: Et program kan være i stand til å opphøye rettigheter
Beskrivelse: Problemet ble løst ved å fjerne den sårbare koden.
CVE-2024-23288: Wojciech Regula fra SecuRing (wojciechregula.blog) og Kirin (@Pwnrin)
CoreBluetooth - LE
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: En app kan være i stand til å få tilgang til Bluetooth-tilkoblede mikrofoner uten brukerens tillatelse
Beskrivelse: Et problem med tilgang ble løst med forbedrede tilgangsrestriksjoner.
CVE-2024-23250: Guilherme Rambo fra Best Buddy Apps (rambo.codes)
file
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: Behandling av en fil kan føre til tjenestenekt eller potensiell avsløring av minneinnhold
Beskrivelse: Problemet ble løst gjennom forbedrede kontroller.
CVE-2022-48554
Image Processing
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: En app kan utilsiktet kjøre kode med kjernerettigheter
Beskrivelse: Problemet ble løst gjennom forbedret håndtering av minnet.
CVE-2024-23270: en anonym forsker
ImageIO
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: Behandling av et bilde kan føre til kjøring av vilkårlig kode
Beskrivelse: Et problem med bufferoverflyt ble løst gjennom forbedret minnehåndtering.
CVE-2024-23286: Dohyun Lee (@l33d0hyun)
Kernel
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: En app kan kanskje få tilgang til sensitiv brukerinformasjon
Beskrivelse: En kappløpssituasjon ble løst gjennom tilleggsvalidering.
CVE-2024-23235
Kernel
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: Et program kan forårsake uventet systemavslutning eller skrive til kjerneminnet
Beskrivelse: Et sårbarhetsproblem med skadet minne ble løst gjennom forbedret låsing.
CVE-2024-23265: Xinru Chi fra Pangu Lab
Kernel
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: En angriper med kjernemuligheter for vilkårlig lesing og skriving kan klare å forbigå kjerneminnebeskyttelser. Apple kjenner til en rapport om at dette problemet kan ha blitt utnyttet.
Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering.
CVE-2024-23225
libxpc
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: En app kan bryte ut av sandkassen
Beskrivelse: Problemet ble løst gjennom forbedrede kontroller.
CVE-2024-23278: en anonym forsker
libxpc
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: En app kan utføre vilkårlig kode utenfor sandkassen sin eller med bestemte høyere tillatelser
Beskrivelse: Problemet ble løst gjennom forbedret håndtering av minnet.
CVE-2024-0258: ali yabuz
MediaRemote
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: Et skadelig program kan få tilgang til privat informasjon
Beskrivelse: Problemet ble løst gjennom forbedrede kontroller.
CVE-2024-23297: scj643
Metal
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: Et program kan lese begrenset minne
Beskrivelse: Et valideringsproblem ble løst gjennom forbedret rensing av inndata.
CVE-2024-23264: Meysam Firouzi @R00tkitsmm i samarbeid med Trend Micro Zero Day Initiative
RTKit
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: En angriper med kjernemuligheter for vilkårlig lesing og skriving kan klare å forbigå kjerneminnebeskyttelser. Apple kjenner til en rapport om at dette problemet kan ha blitt utnyttet.
Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering.
CVE-2024-23296
Sandbox
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: En app kan kanskje lekke sensitiv brukerinformasjon
Beskrivelse: En kappløpssituasjon ble løst med forbedret tilstandshåndtering.
CVE-2024-23239: Mickey Jin (@patch1t)
Sandbox
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: En app kan kanskje få tilgang til sensitiv brukerinformasjon
Beskrivelse: Et logisk problem ble løst gjennom forbedrede restriksjoner.
CVE-2024-23290: Wojciech Regula fra SecuRing (wojciechregula.blog)
Siri
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: En angriper med fysisk tilgang kan bruke Siri til å få tilgang til sensitive brukeropplysninger
Beskrivelse: Dette problemet ble løst med forbedret tilstandshåndtering.
CVE-2024-23293: Bistrit Dahal
Spotlight
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: En app kan kanskje lekke sensitiv brukerinformasjon
Beskrivelse: Dette problemet ble løst med forbedret tilstandshåndtering.
CVE-2024-23241
UIKit
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: En app kan bryte ut av sandkassen
Beskrivelse: Problemet ble løst ved å fjerne den sårbare koden.
CVE-2024-23246: Deutsche Telekom Security GmbH sponset av Bundesamt für Sicherheit in der Informationstechnik
WebKit
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: Behandling av nettinnhold kan føre til kjøring av vilkårlig kode
Beskrivelse: Problemet ble løst gjennom forbedret håndtering av minnet.
WebKit Bugzilla: 259694
CVE-2024-23226: Pwn2car
WebKit
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: Et skadelig nettsted kan eksfiltrere lyddata på tvers av opphav
Beskrivelse: Problemet ble løst gjennom forbedret håndtering av grensesnittet.
WebKit Bugzilla: 263795
CVE-2024-23254: James Lee (@Windowsrcer)
WebKit
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: Behandling av nettinnhold med ondsinnet utforming kan forhindre håndheving av regler for innholdssikkerhet
Beskrivelse: Et logisk problem ble løst gjennom forbedret validering.
WebKit Bugzilla: 264811
CVE-2024-23263: Johan Carlsson (joaxcar)
WebKit
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: Et skadelig nettsted kan kanskje samle inn identifiserende brukerinformasjon
Beskrivelse: Et problem med innsetting ble løst gjennom forbedret validering.
WebKit Bugzilla: 266703
CVE-2024-23280: en anonym forsker
WebKit
Tilgjengelig for: Apple TV HD og Apple TV 4K (alle modeller)
Virkning: Behandling av nettinnhold med ondsinnet utforming kan forhindre håndheving av regler for innholdssikkerhet
Beskrivelse: Et logisk problem ble løst gjennom forbedret tilstandshåndtering.
WebKit Bugzilla: 267241
CVE-2024-23284: Georg Felber og Marco Squarcina
Ytterligere anerkjennelser
CoreAnimation
Vi vil gjerne takke Junsung Lee for hjelpen.
CoreMotion
Vi vil gjerne takke Eric Dorphy fra Twin Cities App Dev LLC for hjelpen.
Kernel
Vi vil gjerne takke Tarek Joumaa (@tjkr0wn) for hjelpen.
libxml2
Vi vil gjerne takke OSS-Fuzz, Ned Williamson fra Google Project Zero for hjelpen.
libxpc
Vi vil gjerne takke Rasmus Sten, F-Secure (Mastodon: @pajp@blog.dll.nu) og en anonym forsker for hjelpen.
Photos
Vi vil gjerne takke Abhay Kailasia (@abhay_kailasia) fra Lakshmi Narain College Of Technology Bhopal for deres hjelp.
Power Management
Vi vil gjerne takke Pan ZhenPeng (@Peterpan0927) fra STAR Labs SG Pte. Ltd. for hjelpen.
Sandbox
Vi vil gjerne takke Zhongquan Li (@Guluisacat) for hjelpen.
Siri
Vi vil gjerne takke Bistrit Dahal for hjelpen.
Software Update
Vi vil gjerne takke Bin Zhang fra Dublin City University for hjelpen.
WebKit
Vi vil gjerne takke Nan Wang (@eternalsakura13) fra 360 Vulnerability Research Institute, Valentino Dalla Valle, Pedro Bernardo, Marco Squarcina og Lorenzo Veronese fra TU Wien for hjelpen.