Zawartość związana z zabezpieczeniami w systemie tvOS 11.3

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemie tvOS 11.3.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple. Komunikację z Apple można szyfrować za pomocą klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

tvOS 11.3

CoreFoundation

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: aplikacja może uzyskać podwyższony poziom uprawnień.

Opis: usunięto sytuację wyścigu przez wprowadzenie dodatkowego sprawdzania poprawności.

CVE-2018-4155: Samuel Groß (@5aelo)

CoreText

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: przetworzenie złośliwie spreparowanego ciągu znaków mogło doprowadzić do ataku typu „odmowa usługi”.

Opis: naprawiono błąd podatności na atak typu „odmowa usługi” przez poprawienie procedury obsługi pamięci.

CVE-2018-4142: Robin Leroy z Google Switzerland GmbH

Zdarzenia systemu plików

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: aplikacja może uzyskać podwyższony poziom uprawnień.

Opis: usunięto sytuację wyścigu przez wprowadzenie dodatkowego sprawdzania poprawności.

CVE-2018-4167: Samuel Groß (@5aelo)

Jądro

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4150: anonimowy badacz

Jądro

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.

Opis: naprawiono błąd sprawdzania poprawności przez poprawienie mechanizmu oczyszczania danych wejściowych.

CVE-2018-4104: brytyjska organizacja National Cyber Security Centre (NCSC)

Jądro

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4143: derrek (@derrekr6)

Jądro

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: złośliwa aplikacja może być w stanie określić rozkład pamięci jądra.

Opis: w procedurze zmiany stanu programu występował błąd powodujący ujawnianie informacji. Ten błąd naprawiono przez poprawienie procedur obsługi stanu.

CVE-2018-4185: Brandon Azad

libxml2

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do nieoczekiwanej awarii przeglądarki Safari.

Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.

CVE-2017-15412: Nick Wellnhofer

NSURLSession

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: aplikacja może uzyskać podwyższony poziom uprawnień.

Opis: usunięto sytuację wyścigu przez wprowadzenie dodatkowego sprawdzania poprawności.

CVE-2018-4166: Samuel Groß (@5aelo)

Szybki przegląd

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: aplikacja może uzyskać podwyższony poziom uprawnień.

Opis: usunięto sytuację wyścigu przez wprowadzenie dodatkowego sprawdzania poprawności.

CVE-2018-4157: Samuel Groß (@5aelo)

Zabezpieczenia

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: złośliwa aplikacja może zdobyć podwyższone uprawnienia.

Opis: usunięto błąd przepełnienia buforu przez poprawienie procedury sprawdzania poprawności rozmiaru.

CVE-2018-4144: Abraham Masri (@cheesecakeufo)

Preferencje systemowe

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: profil konfiguracji może nieprawidłowo nadal obowiązywać po usunięciu.

Opis: w interfejsie CFPreferences występował błąd. Ten błąd naprawiono przez ulepszenie mechanizmu czyszczenia preferencji.

CVE-2018-4115: Johann Thalakada, Vladimir Zubkov i Matt Vlasach z Wandera

WebKit

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: nieoczekiwana interakcja z typami indeksowania powoduje błąd ASSERT.

Opis: w sposobie obsługi funkcji w kodzie javascript występował błąd indeksowania macierzy. Ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2018-4113: wykryte przez OSS-Fuzz

WebKit

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do ataku typu „odmowa usługi”.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2018-4146: wykryte przez OSS-Fuzz

WebKit

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4101: Yuan Deng z Ant-financial Light-Year Security Lab

CVE-2018-4114: wykryte przez OSS-Fuzz

CVE-2018-4118: Jun Kokatsu (@shhnjk)

CVE-2018-4119: anonimowy badacz pracujący w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2018-4120: Hanming Zhang (@4shitak4) z Qihoo 360 Vulcan Team

CVE-2018-4121: natashenka z Google Project Zero

CVE-2018-4122: WanderingGlitch w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2018-4125: WanderingGlitch w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2018-4127: anonimowy badacz pracujący w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2018-4128: Zach Markley

CVE-2018-4129: likemeng z Baidu Security Lab w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2018-4130: Omair w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2018-4161: WanderingGlitch w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2018-4162: WanderingGlitch w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2018-4163: WanderingGlitch w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2018-4165: Hanming Zhang (@4shitak4) z Qihoo 360 Vulcan Team

WebKit

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2018-4207: wykryte przez OSS-Fuzz

WebKit

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2018-4208: wykryte przez OSS-Fuzz

WebKit

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2018-4209: wykryte przez OSS-Fuzz

WebKit

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: nieoczekiwana interakcja z typami indeksowania powodowała błąd.

Opis: w sposobie obsługi funkcji w kodzie javascript występował błąd indeksowania macierzy. Ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2018-4210: wykryte przez OSS-Fuzz

WebKit

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2018-4212: wykryte przez OSS-Fuzz

WebKit

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2018-4213: wykryte przez OSS-Fuzz

WebKit

Dostępne dla: urządzeń Apple TV 4K i Apple TV (4. generacji)

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania kodu.

Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4145: wykryte przez OSS-Fuzz

Dodatkowe podziękowania

Zabezpieczenia

Specjalne podziękowania za pomoc dla: Abraham Masri (@cheesecakeufo).