Despre actualizările de securitate Apple
Pentru protecția clienților noștri, Apple nu divulgă, nu discută și nu confirmă problemele de securitate până când nu se efectuează o investigație și până când nu sunt disponibile corecții sau versiuni noi. Versiunile recente sunt listate pe pagina Actualizări de securitate Apple.
Documentele de securitate Apple menționează vulnerabilitățile după CVE-ID (ID CVE), atunci când este posibil.
Pentru informații suplimentare despre securitate, consultă pagina referitoare la securitatea produselor Apple.
Acest document descrie conținutul de securitate din tvOS 13.4
Lansare: 24 martie 2020
Conturi
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: este posibil ca un proces din sandbox să poată ocoli restricțiile sandboxului
Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea restricțiilor.
CVE-2020-9772: Allison Husain (UC Berkeley)
Adăugare intrare: 21 mai 2020
ActionKit
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: o aplicație poate utiliza un client SSH furnizat de cadre de lucru private
Descriere: această problemă a fost rezolvată prin noi drepturi.
CVE-2020-3917: Steven Troughton-Smith (@stroughtonsmith)
AppleMobileFileIntegrity
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: o aplicație poate folosi drepturi arbitrare
Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.
CVE-2020-3883: Linus Henze (pinauten.de)
Procesarea imaginilor
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: o aplicație poate executa un cod arbitrar cu privilegii de sistem
Descriere: o problemă de corupere a memoriei a fost rezolvată printr-o gestionare mai bună a memoriei.
CVE-2020-9768: Mohamed Ghannam (@_simo36)
IOHIDFamily
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: este posibil ca o aplicație rău intenționată să poată executa un cod arbitrar având privilegii de kernel
Descriere: a fost rezolvată o problemă de inițializare a memoriei prin îmbunătățirea tratării memoriei.
CVE-2020-3919: Alex Plaskett (F-Secure Consulting)
Intrare actualizată pe 21 mai 2020
Kernel
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: o aplicație poate citi memorie restricționată
Descriere: a fost rezolvată o problemă de inițializare a memoriei prin îmbunătățirea tratării memoriei.
CVE-2020-3914: pattern-f (@pattern_F_) (WaCai)
Kernel
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: este posibil ca o aplicație rău intenționată să poată executa un cod arbitrar având privilegii de kernel
Descriere: au fost rezolvate mai multe probleme de alterare a memoriei prin îmbunătățirea gestionării stării.
CVE-2020-9785: Proteas (Qihoo 360 Nirvan Team)
libxml2
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: probleme multiple în libxml2
Descriere: o problemă de depășire a memoriei-tampon a fost rezolvată prin îmbunătățirea verificării limitelor.
CVE-2020-3909: LGTM.com
CVE-2020-3911: problemă găsită de OSS-Fuzz
libxml2
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: probleme multiple în libxml2
Descriere: a fost rezolvată o problemă de depășire de memoriei-tampon prin îmbunătățirea validării dimensiunii.
CVE-2020-3910: LGTM.com
Sandbox
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: se poate ca un utilizator local să vizualizeze informații sensibile despre utilizator
Descriere: o problemă de acces a fost rezolvată prin restricții suplimentare pentru sandbox.
CVE-2020-3918: Augusto Alvarez (Outcourse Limited)
Adăugare intrare: vineri, 1 mai 2020
WebKit
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: anumite site-uri pot să nu fie afișate în Preferințe Safari
Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea restricțiilor.
CVE-2020-9787: Ryan Pickren (ryanpickren.com)
Adăugare intrare: vineri, 1 mai 2020
WebKit
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar
Descriere: a fost rezolvată o problemă de deteriorare a memoriei prin îmbunătățirea tratării memoriei.
CVE-2020-3895: grigoritchy
CVE-2020-3900: Dongzhuo Zhao în colaborare cu ADLab (Venustech)
WebKit
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: o aplicație poate citi memorie restricționată
Descriere: a fost rezolvată o condiție de rulare prin validare suplimentară.
CVE-2020-3894: Sergei Glazunov de la Google Project Zero
WebKit
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: un atacator de la distanță poate cauza executarea unui cod arbitrar
Descriere: a fost rezolvată o problemă de consumare a memoriei prin îmbunătățirea tratării memoriei.
CVE-2020-3899: problemă găsită de OSS-Fuzz
WebKit
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: procesarea unui conținut web creat cu rea intenție poate cauza un atac cu scripting între site-uri
Descriere: o problemă de validare a intrării a fost rezolvată prin îmbunătățirea validării intrării.
CVE-2020-3902: Yiğit Can YILMAZ (@yilmazcanyigit)
WebKit
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar
Descriere: a fost rezolvată o problemă de confuzie a tipului prin îmbunătățirea tratării memoriei.
CVE-2020-3901: Benjamin Randazzo (@____benjamin)
WebKit
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: originea unei descărcări poate fi asociată incorect
Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea restricțiilor.
CVE-2020-3887: Ryan Pickren (ryanpickren.com)
WebKit
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod
Descriere: o problemă de corupere a memoriei a fost rezolvată printr-o gestionare mai bună a memoriei.
CVE-2020-9783: Apple
WebKit
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: un atacator de la distanță poate cauza executarea unui cod arbitrar
Descriere: a fost rezolvată o problemă de confuzie a tipului prin îmbunătățirea tratării memoriei.
CVE-2020-3897: Brendan Draper (@6r3nd4n) lucrând cu Trend Micro’s Zero Day Initiative
Încărcare pagină WebKit
Disponibilitate pentru: Apple TV 4K și Apple TV HD
Impact: adresa URL a unui fișier poate fi procesată incorect
Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea restricțiilor.
CVE-2020-3885: Ryan Pickren (ryanpickren.com)
Alte mențiuni
FontParser
Dorim să îi mulțumim lui Matthew Denton (Google Chrome) pentru asistența acordată.
Kernel
Dorim să îi mulțumim lui Siguza pentru asistența acordată.
LinkPresentation
Dorim să îi mulțumim lui Travis pentru asistența acordată.
WebKit
Dorim să le mulțumim lui Emilio Cobos Álvarez (Mozilla) și lui Samuel Groß (Google Project Zero) pentru asistența acordată.
Intrare actualizată pe 4 aprilie 2020