Obsah zabezpečenia v systéme tvOS 11.3

V tomto dokumente sa popisuje obsah zabezpečenia v systéme tvOS 11.3.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia spoločnosti Apple.

Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple. Komunikáciu so spoločnosťou Apple môžete zašifrovať pomocou kľúča PGP zabezpečenia produktov Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

tvOS 11.3

CoreFoundation

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Apka môže byť schopná získať oprávnenia vyššej úrovne

Popis: Dochádzalo k problému s postupnosťou vykonania procesov, ktorý bol vyriešený dodatočným overovaním.

CVE-2018-4155: Samuel Groß (@5aelo)

CoreText

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie reťazca so škodlivým kódom môže viesť k odmietnutiu služby

Popis: Dochádzalo k problému súvisiacemu s odmietnutím služby, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2018-4142: Robin Leroy zo spoločnosti Google Switzerland GmbH

Udalosti súborového systému

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Apka môže byť schopná získať oprávnenia vyššej úrovne

Popis: Dochádzalo k problému s postupnosťou vykonania procesov, ktorý bol vyriešený dodatočným overovaním.

CVE-2018-4167: Samuel Groß (@5aelo)

Jadro

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Apka so škodlivým kódom môže spúšťať ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.

CVE-2018-4150: Anonymný výskumník

Jadro

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Apka môže byť schopná čítať vyhradenú pamäť

Popis: Dochádzalo k problému s overovaním, ktorý bol vyriešený vylepšením čistenia vstupu.

CVE-2018-4104: Národné centrum Spojeného kráľovstva pre kybernetickú bezpečnosť (NCSC)

Jadro

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2018-4143: derrek (@derrekr6)

Jadro

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Apka so škodlivým kódom môže byť schopná určiť rozloženie pamäte jadra

Popis: Pri zmene stavu programov dochádzalo k problému s únikom informácií. Tento problém bol vyriešený vylepšením spracovania stavu.

CVE-2018-4185: Brandon Azad

libxml2

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k neočakávanému zlyhaniu prehliadača Safari

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2017-15412: Nick Wellnhofer

NSURLSession

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Apka môže byť schopná získať oprávnenia vyššej úrovne

Popis: Dochádzalo k problému s postupnosťou vykonania procesov, ktorý bol vyriešený dodatočným overovaním.

CVE-2018-4166: Samuel Groß (@5aelo)

Rýchly náhľad

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Apka môže byť schopná získať oprávnenia vyššej úrovne

Popis: Dochádzalo k problému s postupnosťou vykonania procesov, ktorý bol vyriešený dodatočným overovaním.

CVE-2018-4157: Samuel Groß (@5aelo)

Zabezpečenie

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Apka so škodlivým kódom môže byť schopná zvýšiť úroveň oprávnení

Popis: Dochádzalo k problému s pretečením zásobníka, ktorý bol vyriešený vylepšením overovania veľkosti.

CVE-2018-4144: Abraham Masri (@cheesecakeufo)

Systémové nastavenia

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Konfiguračný profil môže nesprávne zostať v platnosti aj po odstránení

Popis: Dochádzalo k problému v súčasti CFPreferences. Tento problém bol vyriešený vylepšením čistenia nastavení.

CVE-2018-4115: Johann Thalakada, Vladimir Zubkov a Matt Vlasach zo spoločnosti Wandera

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Neočakávaná interakcia s typmi indexovania spôsobovala zlyhanie ASSERT

Popis: Pri spracovávaní funkcií v jadre JavaScriptu dochádzalo k problému s indexovaním polí. Tento problém bol vyriešený vylepšením kontrol..

CVE-2018-4113: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k odmietnutiu služby

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2018-4146: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.

CVE-2018-4101: Yuan Deng z tímu Ant-financial Light-Year Security Lab

CVE-2018-4114: Nájdené programom OSS-Fuzz

CVE-2018-4118: Jun Kokatsu (@shhnjk)

CVE-2018-4119: Anonymný výskumník v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4120: Hanming Zhang (@4shitak4) z tímu Qihoo 360 Vulcan

CVE-2018-4121: natashenka z tímu Google Project Zero

CVE-2018-4122: WanderingGlitch z projektu Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4125: WanderingGlitch z projektu Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4127: Anonymný výskumník v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4128: Zach Markley

CVE-2018-4129: likemeng z tímu Baidu Security Lab v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4130: Omair v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4161: WanderingGlitch z projektu Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4162: WanderingGlitch z projektu Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4163: WanderingGlitch z projektu Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4165: Hanming Zhang (@4shitak4) z tímu Qihoo 360 Vulcan

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Neočakávaná interakcia spôsobovala zlyhanie ASSERT

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2018-4207: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Neočakávaná interakcia spôsobovala zlyhanie ASSERT

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2018-4208: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Neočakávaná interakcia spôsobovala zlyhanie ASSERT

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2018-4209: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Neočakávaná interakcia s typmi indexovania spôsobovala zlyhanie

Popis: Pri spracovávaní funkcií v jadre JavaScriptu dochádzalo k problému s indexovaním polí. Tento problém bol vyriešený vylepšením kontrol.

CVE-2018-4210: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Neočakávaná interakcia spôsobovala zlyhanie ASSERT

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2018-4212: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Neočakávaná interakcia spôsobovala zlyhanie ASSERT

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2018-4213: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.

CVE-2018-4145: Nájdené programom OSS-Fuzz

Ďalšie poďakovanie

Zabezpečenie

Poďakovanie za pomoc si zaslúži Abraham Masri (@cheesecakeufo).