Obsah zabezpečenia v systéme tvOS 13.3.1

V tomto dokumente sa popisuje obsah zabezpečenia v systéme tvOS 13.3.1.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple.

tvOS 13.3.1

Dátum vydania: 28. januára 2020

Zvuk

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Aplikácia môže byť schopná spustiť ľubovoľný kód so systémovými oprávneniami

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2020-3857: Zhuo Liang z tímu Vulcan Team spoločnosti Qihoo 360

ImageIO

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Spracovanie obrázka so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s čítaním dát v zakázaných oblastiach, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-3826: Samuel Groß z tímu Google Project Zero

CVE-2020-3870

CVE-2020-3878: Samuel Groß z tímu Google Project Zero

CVE-2020-3880: Samuel Groß z tímu Google Project Zero

Dátum aktualizovania záznamu: 4. apríla 2020

IOAcceleratorFamily

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2020-3837: Brandon Azad z tímu Google Project Zero

IOUSBDeviceFamily

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2019-8836: Xiaolong Bai a Min (Spark) Zheng zo spoločnosti Alibaba Inc. a Luyi Xing z univerzity Indiana University Bloomington

Dátum pridania záznamu: 22. júna 2020

IPSec

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Načítanie konfiguračného súboru súčasti racoon s nebezpečným kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Pri spracovávaní súborov súčasti racoon dochádzalo k chybe off-by-one. Tento problém bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-3840: @littlelailo

Jadro

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Aplikácia môže byť schopná čítať vyhradenú pamäť

Popis: Dochádzalo k problému s overovaním, ktorý bol vyriešený vylepšením čistenia vstupu.

CVE-2020-3875: Brandon Azad z tímu Google Project Zero

Jadro

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Aplikácia môže byť schopná čítať vyhradenú pamäť

Popis: Dochádzalo k problému súvisiacemu s inicializáciou pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2020-3872: Haakon Garseg Mørk zo spoločnosti Cognite a Cim Stordal zo spoločnosti Cognite

Jadro

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Aplikácia so škodlivým kódom môže byť schopná určiť rozloženie pamäte jadra

Popis: Dochádzalo k problému s prístupom, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2020-3836: Brandon Azad z tímu Google Project Zero

Jadro

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2020-3842: Ned Williamson v spolupráci s tímom Google Project Zero

Jadro

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Aplikácia so škodlivým kódom môže byť schopná spustiť ľubovoľný kód so systémovými oprávneniami

Popis: Dochádzalo k problému so zámenou typu, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2020-3853: Brandon Azad z tímu Google Project Zero

libxml2

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Spracovanie súboru XML so škodlivým kódom môže viesť k neočakávanému ukončeniu aplikácie alebo spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s pretečením zásobníka, ktorý bol vyriešený vylepšením overovania veľkosti.

CVE-2020-3846: Ranier Vilela

Dátum pridania záznamu: 29. januára 2020

libxpc

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Spracovanie reťazca so škodlivým kódom môže viesť k poškodeniu haldy

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-3856: Ian Beer z tímu Google Project Zero

libxpc

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Aplikácia môže byť schopná získať oprávnenia vyššej úrovne

Popis: Dochádzalo k problému s čítaním dát v zakázaných oblastiach, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-3829: Ian Beer z tímu Google Project Zero

WebKit

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.

CVE-2020-3825: Przemysław Sporysz zo spoločnosti Euvic

CVE-2020-3868: Marcin Towalski zo spoločnosti Cisco Talos

Dátum aktualizovania záznamu: 29. januára 2020

WebKit

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Webová stránka so škodlivým kódom môže byť schopná spôsobiť odmietnutie služby

Popis: Dochádzalo k problému súvisiacemu s odmietnutím služby, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2020-3862: Srikanth Gatta z tímu Google Chrome

Dátum pridania záznamu: 29. januára 2020

WebKit

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k univerzálnemu skriptovaniu medzi lokalitami (XSS)

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-3867: Anonymný výskumník

Dátum pridania záznamu: 29. januára 2020

Načítavanie stránok mechanizmom WebKit

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Kontext objektu DOM najvyššej úrovne sa mohol nesprávne považovať za bezpečný

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením overovania.

CVE-2020-3865: Ryan Pickren (ryanpickren.com)

Dátum pridania záznamu: 29. januára 2020, dátum aktualizovania: 11. februára 2020

Načítavanie stránok mechanizmom WebKit

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Kontext objektu DOM nemusel mať jedinečný pôvod zabezpečenia

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením overovania.

CVE-2020-3864: Ryan Pickren (ryanpickren.com)

Dátum pridania záznamu: 11. februára 2020

wifivelocityd

K dispozícii pre: Apple TV 4K a Apple TV HD

Dopad: Aplikácia môže byť schopná spustiť ľubovoľný kód so systémovými oprávneniami

Popis: Tento problém bol vyriešený vylepšením logiky povolení.

CVE-2020-3838: Dayton Pidhirney (@_watbulb)

Ďalšie poďakovanie

IOSurface

Poďakovanie za pomoc si zaslúži Liang Chen (@chenliang0817).

Informácie o produktoch, ktoré nevyrába spoločnosť Apple, alebo nezávislých webových stránkach, ktoré nekontroluje ani netestuje spoločnosť Apple, sa poskytujú bez akéhokoľvek odporúčania či podpory. Spoločnosť Apple nenesie žiadnu zodpovednosť v súvislosti s výberom, výkonom alebo používaním webových stránok alebo produktov tretích strán. Spoločnosť Apple neposkytuje žiadne vyhlásenia týkajúce sa presnosti či spoľahlivosti webových stránok tretích strán. Ak chcete získať ďalšie informácie, obráťte sa na dodávateľa.

Dátum zverejnenia: