Om säkerhetsinnehållet i tvOS 17.2

I det här dokumentet beskrivs säkerhetsinnehållet i tvOS 17.2.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga appkorrigeringar eller utgåvor är tillgängliga. De senaste släppen visas på sidan Apples säkerhetssläpp.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan Apples produktsäkerhet.

tvOS 17.2

AVEVideoEncoder

Tillgängligt för: Apple TV HD och Apple TV 4K (alla modeller)

Effekt: En app kan avslöja kernelminnet

Beskrivning: Problemet åtgärdades med förbättrad redigering av känslig information.

CVE-2023-42884: En anonym forskare

ImageIO

Tillgängligt för: Apple TV HD och Apple TV 4K (alla modeller)

Effekt: Bearbetning av en bildfil kan leda till körning av opålitlig kod

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-42898: Zhenjiang Zhao från Pangu Team, Qianxin och Junsung Lee

CVE-2023-42899: Meysam Firouzi @R00tkitSMM och Junsung Lee

Kernel

Tillgängligt för: Apple TV HD och Apple TV 4K (alla modeller)

Effekt: En app kan bryta sig ut från sin sandlåda

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-42914: Eloi Benoist-Vanderbeken (@elvanderb) på Synacktiv (@Synacktiv)

Libsystem

Tillgängligt för: Apple TV HD och Apple TV 4K (alla modeller)

Effekt: En app kanske kan komma åt skyddade användardata

Beskrivning: Ett behörighetsproblem åtgärdades genom att ta bort känslig kod och utöka kontroller.

CVE-2023-42893

Sandbox

Tillgängligt för: Apple TV HD och Apple TV 4K (alla modeller)

Effekt: En app kan komma åt användarkänsliga data

Beskrivning: Problemet åtgärdades med förbättrad redigering av känslig information.

CVE-2023-42936: Csaba Fitzl (@theevilbit) på OffSec

TCC

Tillgängligt för: Apple TV HD och Apple TV 4K (alla modeller)

Effekt: En app kan bryta sig ut från sin sandlåda

Beskrivning: Ett problem med hantering av sökvägar åtgärdades med hjälp av förbättrad validering.

CVE-2023-42947: Zhongquan Li (@Guluisacat) från Dawn Security Lab i JingDong

Transparency

Tillgängligt för: Apple TV HD och Apple TV 4K (alla modeller)

Effekt: En app kanske kan komma åt känsliga användardata

Beskrivning: Problemet åtgärdades genom förbättrad begränsning av åtkomst till databehållare.

CVE-2023-40389: Csaba Fitzl (@theevilbit) på Offensive Security och Joshua Jewett (@JoshJewett33)

WebKit

Tillgängligt för: Apple TV HD och Apple TV 4K (alla modeller)

Effekt: Bearbetning av webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-42890: Pwn2car

WebKit

Tillgängligt för: Apple TV HD och Apple TV 4K (alla modeller)

Effekt: Bearbetning av en bild kan leda till ett dos-angrepp

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-42883: Zoom Offensive Security Team

WebKit

Tillgängligt för: Apple TV HD och Apple TV 4K (alla modeller)

Effekt: Bearbetning av webbinnehåll kan avslöja känslig information. Apple känner till en rapport om att det här problemet kan ha utnyttjats i versioner av iOS som släppts före iOS 16.7.1.

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2023-42916: Clément Lecigne på Googles Threat Analysis Group

WebKit

Tillgängligt för: Apple TV HD och Apple TV 4K (alla modeller)

Effekt: Bearbetning av webbinnehåll kan leda till körning av opålitlig kod. Apple känner till en rapport om att det här problemet kan ha utnyttjats i versioner av iOS som släppts före iOS 16.7.1.

Beskrivning: En sårbarhet för minnesfel åtgärdades med förbättrad låsning.

CVE-2023-42917: Clément Lecigne på Googles Threat Analysis Group

WebKit

Tillgängligt för: Apple TV HD och Apple TV 4K (alla modeller)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett UAF-fel åtgärdades genom förbättrad minneshantering.

CVE-2023-42950: Nan Wang (@eternalsakura13) på 360 Vulnerability Research Institute och rushikesh nandedkar

Ytterligare tack

WebSheet

Vi vill tacka Paolo Ruggero från e-phors S.p.A. (Ett FINCANTIERI S.p.A.-företag) för hjälpen.

Wi-Fi

Vi vill tacka Noah Roskin-Frazee och professor J. (ZeroClicks.ai Lab) för hjälpen.