Om säkerhetsinnehållet i tvOS 12.1.2

Det här dokumentet beskriver säkerhetsinnehållet i tvOS 12.1.2.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

tvOS 12.1.2

AppleKeyStore

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: En process i sandlådeläge kan kringgå sandlådebegränsningarna

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2019-6235: Brandon Azad

CoreAnimation

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Ett program med skadligt innehåll utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2019-6231: Zhuo Liang på Qihoo 360 Nirvan Team

CoreAnimation

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Ett skadligt program kan bryta sig ut från sitt begränsade läge

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2019-6230: Proteas, Shrek_wzw och Zhuo Liang på Qihoo 360 Nirvan Team

FaceTime

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: En fjärrangripare kan påbörja ett FaceTime-samtal som orsakar körning av opålitlig kod

Beskrivning: Ett problem med buffertspill åtgärdades genom förbättrad minneshantering.

CVE-2019-6224: natashenka på Google Project Zero

IOKit

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Ett skadligt program kan bryta sig ut från sitt begränsade läge

Beskrivning: Ett problem med sammanblandning av typer åtgärdades genom förbättrad minneshantering.

CVE-2019-6214: Ian Beer på Google Project Zero

Kernel

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2019-6225: Brandon Azad på Google Project Zero, Qixun Zhao på Qihoo 360 Vulcan Team

Kernel

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Ett skadligt program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-6210: Ned Williamson på Google

Kernel

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Ett skadligt program kan leda till oväntade förändringar av minnet som delas mellan processer

Beskrivning: Ett minnesfel åtgärdades med förbättrad låsstatuskontroll.

CVE-2019-6205: Ian Beer på Google Project Zero

Kernel

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Ett program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett buffertspill åtgärdades med förbättrad gränskontroll.

CVE-2019-6213: Ian Beer på Google Project Zero

Kernel

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Ett skadligt program kan ta reda på schemat för kärnminnet

Beskrivning: Det förekom ett problem med läsning utanför gränserna som ledde till att kernelminne avslöjades. Problemet har åtgärdats genom förbättrad indatavalidering.

CVE-2019-6209: Brandon Azad på Google Project Zero

Kernel

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Ett skadligt program kan leda till oväntade förändringar av minnet som delas mellan processer

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2019-6208: Jann Horn på Google Project Zero

libxpc

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Ett skadligt program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-6218: Ian Beer på Google Project Zero

SQLite

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: En skadligt utformad SQL-fråga kan ge upphov till körning av godtycklig kod

Beskrivning: Flera minnesfel åtgärdades med hjälp av förbättrad indatavalidering.

CVE-2018-20346: Tencent Blade Team

CVE-2018-20505: Tencent Blade Team

CVE-2018-20506: Tencent Blade Team

WebKit

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2019-6227: Qixun Zhao på Qihoo 360 Vulcan Team

CVE-2019-6233: G. Geshev från MWR Labs i samarbete med Trend Micros Zero Day Initiative

CVE-2019-6234: G. Geshev från MWR Labs i samarbete med Trend Micros Zero Day Initiative

WebKit

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till universell skriptkörning över flera sajter

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrad validering.

CVE-2019-6229: Ryan Pickren (ryanpickren.com)

WebKit

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett problem med sammanblandning av typer åtgärdades genom förbättrad minneshantering.

CVE-2019-6215: lokihardt på Google Project Zero

WebKit

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Flera minnesproblem åtgärdades genom förbättrad minneshantering.

CVE-2019-6212: Mike Zhang från The Pangu team, Wen Xu på SSLab vid Georgia Tech

CVE-2019-6216: Fluoroacetate i samarbete med Trend Micros Zero Day Initiative

CVE-2019-6217: Fluoroacetate i samarbete med Trend Micros Zero Day Initiative, Proteas, Shrek_wzw och Zhuo Liang på Qihoo 360 Nirvan Team

CVE-2019-6226: Apple

WebKit

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan avslöja känslig användarinformation

Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8570: James Lee (@Windowsrcer) på S2SWWW.com

Ytterligare tack

mDNSResponder

Vi vill tacka Fatemah Alharbi på University of California, Riverside (UCR) och Taibah University (TU), Jie Chang på LinkSure Network, Yuchen Zhou på Northeastern University, Feng Qian på University of Minnesota – Twin City, Zhiyun Qian på University of California, Riverside (UCR) och Nael Abu-Ghazaleh på University of California, Riverside (UCR) för deras hjälp.

WebKit

Vi vill tacka en anonym forskare för hjälpen.