Zawartość związana z zabezpieczeniami w systemie tvOS 13.3
W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemie tvOS 13.3.
Uaktualnienia zabezpieczeń Apple
W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.
Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach mają postać identyfikatorów CVE.
Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.
tvOS 13.3
Wydano 10 grudnia 2019 r.
CFNetwork
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: osoba atakująca z uprzywilejowanym dostępem do sieci może być w stanie ominąć zabezpieczenia HSTS dla ograniczonej liczby określonych domen najwyższego poziomu, które wcześniej nie znajdowały się na liście wstępnego wczytywania HSTS.
Opis: naprawiono błąd konfiguracji przez wprowadzenie dodatkowych ograniczeń.
CVE-2019-8834: Rob Sayre (@sayrer)
Wpis dodano 4 kwietnia 2020 r.
CFNetwork Proxies
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: aplikacja może uzyskać podwyższony poziom uprawnień.
Opis: ten błąd naprawiono przez poprawienie sprawdzania.
CVE-2019-8848: Zhuo Liang z Qihoo 360 Vulcan Team
FaceTime
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: przetworzenie złośliwie spreparowanej zawartości wideo przy użyciu usługi FaceTime może doprowadzić do wykonania dowolnego kodu.
Opis: usunięto błąd odczytu spoza zakresu przez poprawienie procedury sprawdzania poprawności danych wejściowych.
CVE-2019-8830: natashenka z Google Project Zero
Kernel
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.
Opis: naprawiono błąd powodujący uszkodzenie pamięci przez usunięcie kodu związanego z luką w zabezpieczeniach.
CVE-2019-8833: Ian Beer z Google Project Zero
Kernel
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2019-8828: Cim Stordal z Cognite
CVE-2019-8838: Dr Silvio Cesare z InfoSect
libexpat
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: przeprowadzenie analizy złośliwie spreparowanego pliku XML może doprowadzić do ujawnienia informacji o użytkowniku.
Opis: ten problem rozwiązano przez uaktualnienie do wersji expat 2.2.8.
CVE-2019-15903: Joonun Jang
libpcap
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: liczne błędy w bibliotece libpcap.
Opis: naprawiono liczne błędy przez uaktualnienie biblioteki libpcap do wersji 1.9.1.
CVE-2019-15161
CVE-2019-15162
CVE-2019-15163
CVE-2019-15164
CVE-2019-15165
Wpis dodano 6 kwietnia 2020 r.
Security
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2019-8832: Insu Yun z SSLab w Georgia Tech
WebKit
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może ujawnić witryny odwiedzone przez użytkownika.
Opis: w procedurze obsługi interfejsu Storage Access API występował błąd powodujący ujawnianie informacji. Ten błąd naprawiono przez poprawienie procedur obsługi procesów logicznych.
CVE-2019-8898: Michael Kleber z Google
Wpis dodano 11 lutego 2020 r., uaktualniono 20 lutego 2020 r.
WebKit
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do wykonania dowolnego kodu.
Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2019-8835: anonimowy badacz w ramach programu Zero Day Initiative firmy Trend Micro, Mike Zhang z Pangu Team
CVE-2019-8844: William Bowling (@wcbowling)
WebKit
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do wykonania dowolnego kodu.
Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.
CVE-2019-8846: Marcin Towalski z Cisco Talos
Dodatkowe podziękowania
Core Data
Dziękujemy za udzieloną pomoc: natashenka z Google Project Zero.
Przedstawione informacje dotyczące produktów, które nie zostały wyprodukowane przez firmę Apple, bądź niezależnych witryn internetowych, które nie są kontrolowane ani testowane przez firmę Apple, nie mają charakteru rekomendacji. Firma Apple nie ponosi odpowiedzialności za wybór, działanie lub wykorzystanie witryn bądź produktów innych firm. Firma Apple nie składa żadnych oświadczeń dotyczących dokładności ani wiarygodności witryn internetowych innych firm. Skontaktuj się z dostawcą, aby uzyskać dodatkowe informacje.