Om säkerhetsinnehållet i tvOS 11.4.1

Det här dokumentet beskriver säkerhetsinnehållet i tvOS 11.4.1.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet. Du kan kryptera kommunikation med Apple genom att använda en PGP-nyckel från Apple Product Security.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

tvOS 11.4.1

CFNetwork

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Cookies är oväntat kvar i Safari

Beskrivning: Ett problem med cookiehantering åtgärdades med förbättrade kontroller.

CVE-2018-4293: en anonym forskare

CoreCrypto

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Ett skadligt program kan bryta sig ut från sitt begränsade läge

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2018-4269: Abraham Masri (@cheesecakeufo)

Kernel

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: En lokal användare kan läsa kernelminne

Beskrivning: Det förekom ett problem med läsning utanför gränserna som ledde till att kernelminne avslöjades. Problemet har åtgärdats genom förbättrad indatavalidering.

CVE-2018-4282: Adam Donenfeld (@doadam) på Zimperium zLabs Team, Proteas på Qihoo 360 Nirvan Team, Valentin ”slashd” Shilnenkov

libxpc

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Ett program kan få högre behörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2018-4280: Brandon Azad

libxpc

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Ett skadligt program utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2018-4248: Brandon Azad

LinkPresentation

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Besök på en skadlig webbplats kan leda till att adressfältet förfalskas

Beskrivning: Ett problem med omstyrning förekom i hanteringen av webbadresser. Problemet har åtgärdats genom förbättrad indatavalidering.

CVE-2018-4277: xisigr på Tencents Xuanwu Lab (tencent.com)

WebKit

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till att Safari avslutas oväntat

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2018-4270: upptäcktes av OSS-Fuzz

WebKit

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: En webbplats med skadligt innehåll kan komma åt ljuddata från flera källor

Beskrivning: Ljud som hämtats via ljudelement kan nås från flera källor. Problemet åtgärdades med förbättrad spårning av ljud-taint.

CVE-2018-4278: Jun Kokatsu (@shhnjk)

WebKit

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett problem med sammanblandning av typer åtgärdades genom förbättrad minneshantering.

CVE-2018-4284: upptäcktes av OSS-Fuzz

WebKit

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: En skadligt utformad webbplats kan orsaka att åtkomsten till tjänsten nekas

Beskrivning: Ett konkurrenstillstånd åtgärdades genom ytterligare validering.

CVE-2018-4266: upptäcktes av OSS-Fuzz

WebKit

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Flera minnesproblem åtgärdades genom förbättrad minneshantering.

CVE-2018-4261: Omair i samarbete med Trend Micros Zero Day Initiative

CVE-2018-4262: Mateusz Krzywicki i samarbete med Trend Micros Zero Day Initiative

CVE-2018-4263: Arayz i samarbete med Trend Micros Zero Day Initiative

CVE-2018-4264: upptäcktes av OSS-Fuzz, Yu Zhou och Jundong Xie på Ant-financial Light-Year Security Lab

CVE-2018-4265: cc i samarbete med Trend Micros Zero Day Initiative

CVE-2018-4267: Arayz på Pangu-teamet i samarbete med Trend Micros Zero Day Initiative

CVE-2018-4272: upptäcktes av OSS-Fuzz

WebKit

Tillgängligt för: Apple TV 4K och Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till att Safari avslutas oväntat

Beskrivning: Flera minnesfel åtgärdades med hjälp av förbättrad indatavalidering.

CVE-2018-4271: upptäcktes av OSS-Fuzz

CVE-2018-4273: upptäcktes av OSS-Fuzz

Ytterligare tack

Kernel

Vi vill tacka juwei lin (@panicaII) på Trend Micro i samarbete med Trend Micros Zero Day Initiative för deras hjälp.