Informacje o zawartości związanej z zabezpieczeniami w oprogramowaniu Apple TV 7.2

Ten dokument zawiera informacje o zawartości związanej z zabezpieczeniami w oprogramowaniu Apple TV 7.2.

W celu ochrony swoich klientów firma Apple nie ujawnia, nie omawia ani nie potwierdza problemów dotyczących zabezpieczeń przed ich pełnym zbadaniem i udostępnieniem wszelkich niezbędnych poprawek lub wersji oprogramowania. Więcej informacji o bezpieczeństwie produktów firmy Apple można znaleźć w witrynie Bezpieczeństwo produktów firmy Apple.

Informacje o kluczu PGP serwisu Bezpieczeństwo produktów firmy Apple zawiera artykuł Używanie klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Tam, gdzie jest to możliwe, w odniesieniu do luk w zabezpieczeniach są używane identyfikatory CVE, aby ułatwić uzyskanie dalszych informacji.

Informacje o innych uaktualnieniach zabezpieczeń zawiera artykuł Uaktualnienia zabezpieczeń firmy Apple.

Urządzenie Apple TV 7.2

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

  Opis: w obiektach IOKit używanych przez sterowniki audio występował błąd sprawdzania poprawności. Ten problem rozwiązano przez poprawienie procedury sprawdzania metadanych.

  Identyfikator CVE

  CVE-2015-1086

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: aplikacja używająca parsera NSXMLParser może zostać niewłaściwie użyta w celu ujawnienia informacji

  Opis: w procedurze obsługi danych XML przez parser NSXMLParser występował błąd dotyczący zewnętrznych jednostek XML. Ten problem rozwiązano przez niewczytywanie jednostek zewnętrznych z różnych źródeł.

  Identyfikator CVE

  CVE-2015-1092: Ikuya Fukumoto

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: złośliwie spreparowana aplikacja może być w stanie określić rozkład pamięci jądra.

  Opis: w komponencie IOAcceleratorFamily występował błąd, który powodował ujawnienie zawartości pamięci jądra. Ten problem rozwiązano przez usunięcie niepotrzebnego kodu.

  Identyfikator CVE

  CVE-2015-1094: Cererdlong z Alibaba Mobile Security Team

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: złośliwe urządzenie HID może spowodować wykonanie dowolnego kodu.

  Opis: w interfejsie API komponentu IOHIDFamily występował błąd powodujący uszkodzenie zawartości pamięci. Ten problem rozwiązano przez poprawienie procedur obsługi pamięci.

  Identyfikator CVE

  CVE-2015-1095: Andrew Church

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: złośliwie spreparowana aplikacja może być w stanie określić rozkład pamięci jądra.

  Opis: w komponencie IOHIDFamily występował błąd powodujący ujawnianie zawartości pamięci jądra. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

  Identyfikator CVE

  CVE-2015-1096: Ilja van Sprundel z IOActive

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: złośliwie spreparowana aplikacja może być w stanie określić rozkład pamięci jądra.

  Opis: w komponencie MobileFrameBuffer występował problem powodujący ujawnianie zawartości pamięci jądra. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

  Identyfikator CVE

  CVE-2015-1097: Barak Gabai z zespołu X-Force Application Security Research Team firmy IBM

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: złośliwie spreparowana aplikacja może spowodować atak typu „odmowa usługi”.

  Opis: w wywołaniu systemowym jądra setreuid występował problem związany z sytuacją wyścigu. Ten problem rozwiązano przez poprawienie procedury zarządzania stanem.

  Identyfikator CVE

  CVE-2015-1099: Mark Mentovai z Google Inc.

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: złośliwie spreparowana aplikacja może podnieść swoje uprawnienia przy użyciu usługi ze złamanymi zabezpieczeniami, która powinna działać z obniżonymi uprawnieniami.

  Opis: wywołania systemowe setreuid i setregid nie usuwały trwale uprawnień. Ten problem rozwiązano przez prawidłowe usuwanie uprawnień.

  Identyfikator CVE

  CVE-2015-1117: Mark Mentovai z Google Inc.

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: złośliwie spreparowana aplikacja może być w stanie spowodować nieoczekiwane zamknięcie systemu lub odczytanie pamięci jądra.

  Opis: w jądrze występował błąd dostępu do pamięci spoza dozwolonego zakresu. Ten problem rozwiązano przez poprawienie procedur obsługi pamięci.

  Identyfikator CVE

  CVE-2015-1100: Maxime Villard, witryna m00nbsd

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

  Opis: w jądrze występuje błąd powodujący uszkodzenie zawartości pamięci. Ten problem rozwiązano przez poprawienie procedur obsługi pamięci.

  Identyfikator CVE

  CVE-2015-1101: użytkownik lokihardt@ASRT w ramach programu Zero Day Initiative firmy HP

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: atakująca osoba z uprzywilejowanym dostępem do sieci może spowodować atak typu „odmowa usługi”.

  Opis: w procedurze obsługi nagłówków TCP występowała niespójność stanu. Ten problem rozwiązano przez poprawienie procedury obsługi stanu.

  Identyfikator CVE

  CVE-2015-1102: Andrey Khudyakov i Maxim Zhuravlev z Kaspersky Lab

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: atakująca osoba z uprzywilejowanym dostępem do sieci może spowodować przekierowanie ruchu użytkownika do dowolnych hostów.

  Opis: przekierowania ICMP były domyślnie włączone w systemie iOS. Ten problem rozwiązano przez wyłączenie przekierowań ICMP.

  Identyfikator CVE

  CVE-2015-1103: Zimperium Mobile Security Labs

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: osoba atakująca zdalnie może być w stanie obejść filtry sieciowe.

  Opis: system mógł traktować pewne pakiety IPv6 ze zdalnych interfejsów sieciowych jako pakiety lokalne. Ten problem rozwiązano przez odrzucanie takich pakietów.

  Identyfikator CVE

  CVE-2015-1104: Stephen Roettger z zespołu do spraw bezpieczeństwa w firmie Google

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: osoba atakująca zdalnie może spowodować atak typu „odmowa usługi”.

  Opis: w procedurze obsługi danych TCP poza pasmem występowała niespójność stanu. Ten problem rozwiązano przez poprawienie procedur zarządzania stanem.

  Identyfikator CVE

  CVE-2015-1105: Kenton Varda z Sandstorm.io

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: przetworzenie złośliwie spreparowanego profilu może doprowadzić do nieoczekiwanego zamknięcia aplikacji.

  Opis: w procedurze obsługi profilów konfiguracji występował błąd powodujący uszkodzenie zawartości pamięci. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

  Identyfikator CVE

  CVE-2015-1118: Zhaofeng Chen, Hui Xue, Yulong Zhang i Tao Wei z firmy FireEye, Inc.

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: podczas pobierania zasobów podcastów może dojść do zbędnego przesłania informacji do serwerów zewnętrznych.

  Opis: podczas pobierania zasobów podcastu zasubskrybowanego przez użytkownika do zewnętrznych serwerów były wysyłane unikatowe identyfikatory. Ten problem rozwiązano przez usunięcie tych identyfikatorów.

  Identyfikator CVE

  CVE-2015-1110: Alex Selivanov

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowszego)

  Zagrożenie: aplikacje innych firm mogą uzyskać dostęp do identyfikatorów sprzętowych.

  Opis: w piaskownicy aplikacji innych firm występował błąd powodujący ujawnienie informacji. Ten problem rozwiązano przez poprawienie profilu piaskownicy.

  Identyfikator CVE

  CVE-2015-1114

• Apple TV

  Dostępne dla: urządzenia Apple TV (3. generacji i nowsze)

  Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może doprowadzić do wykonania dowolnego kodu.

  Opis: w oprogramowaniu WebKit występowało wiele błędów powodujących uszkodzenie zawartości pamięci. Te problemy rozwiązano przez poprawienie obsługi pamięci.

  Identyfikator CVE

  CVE-2015-1068: Apple

  CVE-2015-1069: użytkownik lokihardt@ASRT w ramach programu Zero Day Initiative firmy HP

  CVE-2015-1070: Apple

  CVE-2015-1071: Apple

  CVE-2015-1072

  CVE-2015-1073: Apple

  CVE-2015-1074: Apple

  CVE-2015-1076

  CVE-2015-1077: Apple

  CVE-2015-1078: Apple

  CVE-2015-1079: Apple

  CVE-2015-1080: Apple

  CVE-2015-1081: Apple

  CVE-2015-1082: Apple

  CVE-2015-1083: Apple

  CVE-2015-1119: Renata Hodovan z Uniwersytetu w Segedynie / Samsung Electronics

  CVE-2015-1120: Apple

  CVE-2015-1121: Apple

  CVE-2015-1122: Apple

  CVE-2015-1123: Randy Luecke i Anoop Menon z Google Inc.

  CVE-2015-1124: Apple