Сведения о проблемах системы безопасности, устраненных в tvOS 12.3

В этом документе описываются проблемы системы безопасности, устраняемые обновлением tvOS 12.3.

Сведения об обновлениях системы безопасности Apple

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Список последних выпусков представлен на странице Обновления системы безопасности Apple.

В документах Apple о безопасности уязвимости идентифицируются с помощью кода CVE-ID, когда это возможно.

Дополнительную информацию о безопасности см. на странице Безопасность продуктов Apple.

tvOS 12.3

Дата выпуска: 13 мая 2019 г.

AppleFileConduit

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Программа может выполнять произвольный код с системными правами.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной обработки памяти.

CVE-2019-8593: Дэни Лисянски (Dany Lisiansky) (@DanyL931)

CoreAudio

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Обработка вредоносного файла фильма может приводить к выполнению произвольного кода.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки ввода.

CVE-2019-8585: пользователь riusksk из VulWar Corp, сотрудничающий с Trend Micro в рамках программы Zero Day Initiative

Образы дисков

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Вредоносная программа может считывать данные из области памяти с ограниченным доступом.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2019-8560: Никита Пупышев из Московского государственного технического университета им. Н. Э. Баумана

Ядро

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

Описание. Проблема с использованием памяти после ее освобождения устранена путем улучшенного управления памятью.

CVE-2019-8605: Нед Уильямсон (Ned Williamson) из группы Google Project Zero

Ядро

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Локальный пользователь может вызывать неожиданное завершение работы системы или считывать память ядра.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2019-8576: Брэндон Азад (Brandon Azad) из группы Google Project Zero, Чунхо Чан (Junho Jang) и Ханул Чои (Hanul Choi) из группы LINE Security Team

Ядро

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Программа может вызывать неожиданное завершение работы системы или записать данные в память ядра.

Описание. Проблема смешения типов устранена путем улучшенной обработки памяти.

CVE-2019-8591: Нед Уильямсон (Ned Williamson) из группы Google Project Zero

MobileInstallation

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Локальный пользователь может изменять защищенные участки файловой системы.

Описание. При обработке символьных ссылок возникала проблема проверки. Проблема устранена путем улучшенной проверки символьных ссылок.

CVE-2019-8568: Дэни Лисянски (Dany Lisiansky) (@DanyL931)

MobileLockdown

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Вредоносная программа может повышать уровень привилегий до корневого пользователя.

Описание. Проблема проверки ввода устранена путем улучшенной проверки ввода.

CVE-2019-8637: Дэни Лисянски (Dany Lisiansky) (@DanyL931)

SQLite

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Программа может получать повышенные привилегии.

Описание. Проблема проверки ввода устранена путем улучшенной обработки памяти.

CVE-2019-8577: Омер Гулл (Omer Gull) из Checkpoint Research

SQLite

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Вредоносный SQL-запрос может приводить к выполнению произвольного кода.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной проверки ввода.

CVE-2019-8600: Омер Гулл (Omer Gull) из Checkpoint Research

SQLite

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Вредоносная программа может считывать данные из области памяти с ограниченным доступом.

Описание. Проблема проверки ввода устранена путем улучшенной проверки ввода.

CVE-2019-8598: Омер Гулл (Omer Gull) из Checkpoint Research

SQLite

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Вредоносная программа может повышать уровень привилегий.

Описание. Проблема с повреждением данных в памяти устранена путем удаления уязвимого кода.

CVE-2019-8602: Омер Гулл (Omer Gull) из Checkpoint Research

sysdiagnose

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Программа может выполнять произвольный код с системными правами.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной обработки памяти.

CVE-2019-8574: Дэйтон Пидхирни (Dayton Pidhirney) (@_watbulb) из Seekintoo (@seekintoo)

WebKit

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Обработка вредоносного веб-содержимого может приводить к раскрытию памяти процессов.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки ввода.

CVE-2019-8607: Чунхо Чан (Junho Jang) и Ханул Чои (Hanul Choi) из группы LINE Security Team

WebKit

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Обработка вредоносного веб-содержимого может приводить к выполнению произвольного кода.

Описание. Ряд проблем с повреждением данных в памяти устранен путем улучшенной обработки памяти.

CVE-2019-6237: Г. Гешев (G. Geshev), сотрудничающий с Trend Micro в рамках программы Zero Day Initiative, Лю Лун (Liu Long) из группы Qihoo 360 Vulcan Team

CVE-2019-8571: пользователь 01, сотрудничающий с Trend Micro в рамках программы Zero Day Initiative

CVE-2019-8583: пользователи sakura из подразделения Xuanwu Lab компании Tencent, jessica (@babyjess1ca_) из Tencent Keen Lab и dwfault из лаборатории ADLab в Venustech

CVE-2019-8584: Г. Гешев (G. Geshev) из MWR Labs, сотрудничающий с компанией Trend Micro в рамках программы Zero Day Initiative

CVE-2019-8586: анонимный исследователь

CVE-2019-8587: Г. Гешев (G. Geshev), сотрудничающий с компанией Trend Micro в рамках программы Zero Day Initiative

CVE-2019-8594: Суён Ли (Suyoung Lee) и Суель Сон (Sooel Son) из KAIST Web Security & Privacy Lab, Хёнсок Хан (HyungSeok Han) и Сан Кил Ча (Sang Kil Cha) из KAIST SoftSec Lab

CVE-2019-8595: Г. Гешев (G. Geshev) из MWR Labs, сотрудничающий с компанией Trend Micro в рамках программы Zero Day Initiative

CVE-2019-8596: Вэнь Сюй (Wen Xu) из отдела SSLab в Georgia Tech

CVE-2019-8597: пользователь 01, сотрудничающий с компанией Trend Micro в рамках программы Zero Day Initiative

CVE-2019-8601: пользователь Fluoroacetate, сотрудничающий с Trend Micro в рамках программы Zero Day Initiative

CVE-2019-8608: Г. Гешев (G. Geshev), сотрудничающий с компанией Trend Micro в рамках программы Zero Day Initiative

CVE-2019-8609: Вэнь Сюй (Wen Xu) из подразделения SSLab Технологического института Джорджии

CVE-2019-8610: анонимный пользователь, сотрудничающий с компанией Trend Micro в рамках программы Zero Day Initiative

CVE-2019-8611: Самуэль Гросс (Samuel Groß) из подразделения Google Project Zero

CVE-2019-8615: Г. Гешев (G. Geshev) из MWR Labs, сотрудничающий с компанией Trend Micro в рамках программы Zero Day Initiative

CVE-2019-8619: Вэнь Сюй (Wen Xu) из подразделения SSLab Технологического института Джорджии и Ханьцин Чжао (Hanqing Zhao) из группы Chaitin Security Research Lab

CVE-2019-8622: Самуэль Гросс (Samuel Groß) из подразделения Google Project Zero

CVE-2019-8623: Самуэль Гросс (Samuel Groß) из подразделения Google Project Zero

CVE-2019-8628: Вэнь Сюй (Wen Xu) из подразделения SSLab Технологического института Джорджии и Ханьцин Чжао (Hanqing Zhao) из группы Chaitin Security Research Lab

Wi-Fi

Целевые продукты: Apple TV 4K и Apple TV HD

Воздействие. Устройство может быть пассивно отслежено по MAC-адресу в сети Wi-Fi.

Описание. Проблема с конфиденциальностью пользователя устранена посредством удаления транслированного MAC-адреса.

CVE-2019-8620: Давид Крайтшманн (David Kreitschmann) и Милан Штуте (Milan Stute) из лаборатории Secure Mobile Networking Lab при Дармштадтском техническом университете

Дополнительные благодарности

CoreFoundation

Выражаем благодарность за помощь пользователям Vozzie, Rami и m4bln, Сянцянь Чжан (Xiangqian Zhang), Хуэймин Лю (Huiming Liu) из подразделения Xuanwu Lab компании Tencent.

Ядро

Выражаем благодарность за помощь Брэндону Азаду (Brandon Azad) и анонимному исследователю из подразделения Google Project Zero.

MediaLibrary

Выражаем благодарность за помощь Анхелю Рамиресу (Angel Ramirez) и Миню (Спарку) Чжену (Min (Spark) Zheng), Сяолуну Баю (Xiaolong Bai) из Alibaba Inc.

MobileInstallation

Выражаем благодарность за помощь Йигиту Кану Йилмазу (Yiğit Can YILMAZ, @yilmazcanyigit).

Информация о продуктах, произведенных не компанией Apple, или о независимых веб-сайтах, неподконтрольных и не тестируемых компанией Apple, не носит рекомендательного характера и не рекламируются компанией. Компания Apple не несет никакой ответственности за выбор, функциональность и использование веб-сайтов или продукции сторонних производителей. Компания Apple также не несет ответственности за точность или достоверность данных, размещенных на веб-сайтах сторонних производителей. Помните, что использование любых сведений или продуктов, размещенных в Интернете, сопровождается риском. За дополнительной информацией обращайтесь к поставщику. Другие названия компаний или продуктов могут быть товарными знаками соответствующих владельцев.

Дата публикации: