Obsah zabezpečenia v systéme tvOS 11.4

V tomto dokumente sa opisuje obsah zabezpečenia v systéme tvOS 11.4.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia spoločnosti Apple.

Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple. Komunikáciu so spoločnosťou Apple môžete zašifrovať pomocou kľúča PGP zabezpečenia produktov Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

tvOS 11.4

Bluetooth

Dostupné pre: Apple TV 4K

Dopad: Útočník s oprávneniami v sieti môže byť schopný zaznamenávať prenosy cez Bluetooth

Opis: V rozhraní Bluetooth dochádzalo k problému súvisiacemu s overovaním vstupu. Tento problém bol vyriešený vylepšením overovania vstupu.

CVE-2018-5383: Lior Neumann a Eli Biham

Crash Reporter

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Aplikácia môže byť schopná získať oprávnenia vyššej úrovne

Opis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania chýb.

CVE-2018-4206: Ian Beer (Google Project Zero)

FontParser

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie súboru písma so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Opis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania.

CVE-2018-4211: Proteas z tímu Qihoo 360 Nirvan

Kernel

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Opis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2018-4249: Kevin Backhouse (Semmle Ltd.)

Kernel

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Opis: Dochádzalo k problému s pretečením buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2018-4241: Ian Beer (Google Project Zero)

CVE-2018-4243: Ian Beer (Google Project Zero)

libxpc

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Aplikácia môže byť schopná získať oprávnenia vyššej úrovne

Opis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením overovania.

CVE-2018-4237: Samuel Groß (@5aelo) v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

libxpc

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Aplikácia môže byť schopná spustiť ľubovoľný kód so systémovými oprávneniami

Opis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2018-4404: Samuel Groß (@5aelo) v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

LinkPresentation

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie textovej správy so škodlivým kódom môže viesť k sfalšovaniu používateľského rozhrania

Opis: Pri spracovávaní URL adries dochádzalo k problému s falšovaním. Tento problém bol vyriešený vylepšením overovania vstupu.

CVE-2018-4187: Roman Mueller (@faker_), Zhiyang Zeng (@Wester) z oddelenia Tencent Security Platform Department

Messages

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Lokálny používateľ môže byť schopný uskutočňovať útoky vydávaním sa za inú osobu

Opis: Dochádzalo k problému súvisiacemu s vložením kódu, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2018-4235: Anurodh Pokharel (Salesforce.com)

Messages

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie správy so škodlivým kódom môže viesť k odmietnutiu služby

Opis: Tento problém bol vyriešený vylepšením overovania správ.

CVE-2018-4240: Sriram (@Sri_Hxor, PrimeFort Pvt. Ltd.)

Security

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Lokálny používateľ môže byť schopný čítať perzistentný identifikátor zariadenia

Opis: Dochádzalo k problému súvisiacemu s autorizáciou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2018-4224: Abraham Masri (@cheesecakeufo)

Security

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Lokálny používateľ môže byť schopný čítať perzistentný identifikátor účtu

Opis: Dochádzalo k problému súvisiacemu s autorizáciou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2018-4223: Abraham Masri (@cheesecakeufo)

UIKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie textového súboru so škodlivým kódom môže viesť k odmietnutiu služby

Opis: Pri spracovávaní textu dochádzalo k problému s overovaním. Tento problém bol vyriešený vylepšením overovania textu.

CVE-2018-4198: Hunter Byrnes

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Návšteva webovej stránky so škodlivým kódom môže viesť k prepísaniu súborov cookie

Opis: Pri spracovávaní súborov cookie webového prehliadača dochádzalo k problému s povoleniami. Tento problém bol vyriešený vylepšením obmedzení.

CVE-2018-4232: Anonymný výskumník, Aymeric Chaib

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Opis: Dochádzalo k problému s postupnosťou vykonania procesov, ktorý bol vyriešený vylepšením zamykania.

CVE-2018-4192: Markus Gaasedelen, Amy Burnett a Patrick Biernat zo spoločnosti Ret2 Systems, Inc. v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k neočakávanému zlyhaniu prehliadača Safari

Opis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2018-4214: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Opis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2018-4204: Nájdené programom OSS-Fuzz, Richard Zhu (fluorescence) v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Opis: Dochádzalo k problému so zámenou typu, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2018-4246: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Opis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením správy stavu.

CVE-2018-4200: Ivan Fratric (Google Project Zero)

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Opis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.

CVE-2018-4201: Anonymný výskumník

CVE-2018-4218: natashenka (Google Project Zero)

CVE-2018-4233: Samuel Groß (@5aelo) v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Návšteva webovej stránky so škodlivým kódom môže viesť k sfalšovaniu lišty s adresou

Opis: Dochádzalo k problému s nekonzistentným používateľským rozhraním, ktorý bol vyriešený vylepšením správy stavu.

CVE-2018-4188: YoKo Kho (@YoKoAcc, Mitra Integrasi Informatika, PT)

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Opis: Dochádzalo k problému s pretečením medzipamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2018-4199: Alex Plaskett, Georgi Geshev a Fabi Beterke z tímu MWR Labs v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Návšteva webovej stránky so škodlivým kódom môže viesť k úniku citlivých dát

Opis: Pri načítavaní obrázkov masiek CSS sa neočakávane odosielali aj prihlasovacie údaje. Tento problém bol vyriešený použitím spôsobu načítania, ktorý podporuje mechanizmus CORS.

CVE-2018-4190: Jun Kokatsu (@shhnjk)

WebKit

Dostupné pre: Apple TV 4K a Apple TV (4. generácia)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Opis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2018-4222: natashenka (Google Project Zero)