Uaktualnienia zabezpieczeń Apple
W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.
Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.
Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.
tvOS 14.0
Wydano 16 września 2020 r.
Zasoby
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: osoba atakująca może wykorzystać relację zaufania w celu pobrania złośliwej zawartości.
Opis: rozwiązano problem dotyczący zaufania przez usunięcie starszego interfejsu API.
CVE-2020-9979: CodeColorist z Ant-Financial LightYear Labs
Klawiatura
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: złośliwa aplikacja może być w stanie ujawnić poufne informacje użytkownika.
Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.
CVE-2020-9976: Rias A. Sherzad z JAIDE GmbH w Hamburgu, Niemcy
Piaskownica
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: złośliwa aplikacja może uzyskać dostęp do plików objętych ograniczeniami.
Opis: naprawiono błąd logiczny przez poprawienie ograniczeń.
CVE-2020-9968: Adam Chester (@_xpn_) z TrustedSec
Wpis uaktualniono 17 września 2020 r.
WebKit
Dostępne dla: urządzeń Apple TV 4K i Apple TV HD
Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może spowodować atak XSS (cross-site-scripting).
Opis: usunięto błąd sprawdzania poprawności danych wejściowych przez poprawienie procedury sprawdzania poprawności danych wejściowych.
CVE-2020-9952: Ryan Pickren (ryanpickren.com)
Dodatkowe podziękowania
Bluetooth
Dziękujemy za udzieloną pomoc: Andy Davis z NCC Group i Dennis Heinze (@ttdennis) z TU Darmstadt, Secure Mobile Networking Lab.
Core Location
Dziękujemy za udzieloną pomoc: Yiğit Can YILMAZ (@yilmazcanyigit).
iAP
Dziękujemy za udzieloną pomoc: Andy Davis z NCC Group.
Jądro
Dziękujemy za udzieloną pomoc: Brandon Azad z Google Project Zero.
Framework lokalizacji
Dziękujemy za udzieloną pomoc: Nicolas Brunner (linkedin.com/in/nicolas-brunner-651bb4128).
Wpis uaktualniono 19 października 2020 r.