Acerca dos conteúdos de segurança do tvOS 15.4

Este documento descreve os conteúdos de segurança do tvOS 15.4.

Acerca das atualizações de segurança da Apple

Para proteção dos nossos clientes, a Apple não divulga, comenta nem confirma problemas de segurança enquanto não for efetuada uma investigação e não estiverem disponíveis as correções ou os lançamentos necessários. Os lançamentos recentes são apresentados na página Atualizações de segurança da Apple.

Sempre que possível, os documentos de segurança da Apple designam as vulnerabilidades através de ID CVE.

Para obter mais informações acerca da segurança, consulte a página Segurança dos produtos Apple.

tvOS 15.4

Accelerate Framework

Disponível para: Apple TV 4K e Apple TV HD

Impacto: abrir um ficheiro PDF criado com intuito malicioso poderá provocar o encerramento inesperado da app ou a execução de um código arbitrário

Descrição: foi resolvido um problema de ultrapassagem do limite máximo do buffer através do processamento melhorado da memória.

CVE-2022-22633: ryuzaki

Accelerate Framework

Disponível para: Apple TV 4K e Apple TV HD

Impacto: abrir um ficheiro PDF criado com intuito malicioso poderá provocar o encerramento inesperado da app ou a execução de um código arbitrário

Descrição: foi resolvido um problema de corrupção de memória através da gestão melhorada do estado.

CVE-2022-22633: ryuzaki

AppleAVD

Disponível para: Apple TV 4K e Apple TV HD

Impacto: o processamento de uma imagem criada com intuito malicioso poderá provocar a corrupção da área dinâmica para dados

Descrição: foi resolvido um problema de corrupção de memória através da validação melhorada.

CVE-2022-22666: Marc Schoenefeld, Dr. rer. nat.

AVEVideoEncoder

Disponível para: Apple TV 4K e Apple TV HD

Impacto: uma aplicação maliciosa poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvido um problema de ultrapassagem do limite máximo do buffer através da verificação melhorada dos limites.

CVE-2022-22634: um investigador anónimo

AVEVideoEncoder

Disponível para: Apple TV 4K e Apple TV HD

Impacto: uma app poderá conseguir obter privilégios elevados

Descrição: foi resolvido um problema de escrita fora dos limites através da verificação melhorada dos limites.

CVE-2022-22635: um investigador anónimo

AVEVideoEncoder

Disponível para: Apple TV 4K e Apple TV HD

Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvido um problema de escrita fora dos limites através da verificação melhorada dos limites.

CVE-2022-22636: um investigador anónimo

ImageIO

Disponível para: Apple TV 4K e Apple TV HD

Impacto: o processamento de uma imagem criada com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: foi resolvido um problema de leitura fora dos limites através da validação melhorada da entrada.

CVE-2022-22611: Xingyu Jin da Google

ImageIO

Disponível para: Apple TV 4K e Apple TV HD

Impacto: o processamento de uma imagem criada com intuito malicioso poderá provocar a corrupção da área dinâmica para dados

Descrição: foi resolvido um problema de consumo de memória através do processamento melhorado da memória.

CVE-2022-22612: Xingyu Jin da Google

IOGPUFamily

Disponível para: Apple TV 4K e Apple TV HD

Impacto: uma app poderá conseguir obter privilégios elevados

Descrição: foi resolvido um problema do tipo "use after free" (utilização após libertação de memória) com a gestão melhorada da memória.

CVE-2022-22641: Mohamed Ghannam (@_simo36)

Kernel

Disponível para: Apple TV 4K e Apple TV HD

Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvido um problema de escrita fora dos limites através da verificação melhorada dos limites.

CVE-2022-22613: Alex, um investigador anónimo

Kernel

Disponível para: Apple TV 4K e Apple TV HD

Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvido um problema do tipo "use after free" (utilização após libertação de memória) com a gestão melhorada da memória.

CVE-2022-22614: investigador anónimo

CVE-2022-22615: investigador anónimo

Kernel

Disponível para: Apple TV 4K e Apple TV HD

Impacto: uma aplicação maliciosa poderá conseguir aumentar os privilégios

Descrição: foi resolvido um problema de lógica através da gestão melhorada do estado.

CVE-2022-22632: Keegan Saunders

Kernel

Disponível para: Apple TV 4K e Apple TV HD

Impacto: um atacante com uma posição privilegiada poderá conseguir provocar um ataque de recusa de serviço

Descrição: foi resolvido um problema de perda de referência do indicador nulo através da validação melhorada.

CVE-2022-22638: derrek (@derrekr6)

Kernel

Disponível para: Apple TV 4K e Apple TV HD

Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvido um problema de corrupção de memória através da validação melhorada.

CVE-2022-22640: sqrtpwn

LLVM

Disponível para: Apple TV 4K e Apple TV HD

Impacto: uma app poderá conseguir apagar ficheiros para os quais não tem permissão

Descrição: foi resolvida uma condição de disputa através de validação adicional.

CVE-2022-21658: Florian Weimer (@fweimer)

MediaRemote

Disponível para: Apple TV 4K e Apple TV HD

Impacto: uma aplicação maliciosa poderá conseguir identificar que outras aplicações foram instaladas por um utilizador

Descrição: um problema de acesso foi resolvido através da melhoria das restrições de acesso.

CVE-2022-22670: Brandon Azad

Preferences

Disponível para: Apple TV 4K e Apple TV HD

Impacto: uma app maliciosa poderá conseguir ler as definições de outras apps

Descrição: o problema foi resolvido através de verificações de permissões adicionais.

CVE-2022-22609: Mickey Jin (@patch1t), Zhipeng Huo (@R3dF09) e Yuebin Sun (@yuebinsun2020) do Tencent Security Xuanwu Lab (xlab.tencent.com)

Sandbox

Disponível para: Apple TV 4K e Apple TV HD

Impacto: uma aplicação maliciosa poderá conseguir contornar determinadas preferências de privacidade

Descrição: o problema foi resolvido através da lógica melhorada de permissões.

CVE-2022-22600: Sudhakar Muthumani (@sudhakarmuthu04) da Primefort Private Limited, Khiem Tran

UIKit

Disponível para: Apple TV 4K e Apple TV HD

Impacto: uma pessoa com acesso físico a um dispositivo iOS poderá conseguir ver informação sensível a partir das sugestões do teclado

Descrição: este problema foi resolvido através de verificações melhoradas.

CVE-2022-22621: Joey Hewitt

WebKit

Disponível para: Apple TV 4K e Apple TV HD

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá divulgar informações confidenciais do utilizador

Descrição: foi resolvido um problema de gestão de cookies através da gestão melhorada do estado.

CVE-2022-22662: Prakash (@1lastBr3ath) da Threat Nix

WebKit

Disponível para: Apple TV 4K e Apple TV HD

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá provocar a execução de um código

Descrição: foi resolvido um problema de corrupção de memória através da gestão melhorada do estado.

CVE-2022-22610: Quan Yin da Bigo Technology Live Client Team

WebKit

Disponível para: Apple TV 4K e Apple TV HD

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: foi resolvido um problema do tipo "use after free" (utilização após libertação de memória) com a gestão melhorada da memória.

CVE-2022-22624: Kirin (@Pwnrin) do Tencent Security Xuanwu Lab

CVE-2022-22628: Kirin (@Pwnrin) do Tencent Security Xuanwu Lab

WebKit

Disponível para: Apple TV 4K e Apple TV HD

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: foi resolvido um problema de ultrapassagem do limite máximo do buffer através do processamento melhorado da memória.

CVE-2022-22629: Jeonghoon Shin da Theori em colaboração com o programa Zero Day Initiative da Trend Micro

WebKit

Disponível para: Apple TV 4K e Apple TV HD

Impacto: um site malicioso poderá causar um comportamento inesperado de origem cruzada

Descrição: foi resolvido um problema de lógica através da gestão melhorada do estado.

CVE-2022-22637: Tom McKee da Google

Agradecimentos adicionais

Bluetooth

Gostaríamos de agradecer a um investigador anónimo pela sua colaboração.

Siri

Gostaríamos de agradecer a um investigador anónimo pela sua colaboração

syslog

Gostaríamos de agradecer a Yonghwi Jin (@jinmo123) da Theori pela sua colaboração.

UIKit

Gostaríamos de agradecer a Tim Shadel da Day Logger, Inc. pela sua colaboração.

WebKit

Gostaríamos de agradecer a Abdullah Md Shaleh pela sua colaboração.

WebKit Storage

Gostaríamos de agradecer a Martin Bajanik da FingerprintJS pela sua colaboração.