Om säkerhetsinnehållet i tvOS 12.2

Det här dokumentet beskriver säkerhetsinnehållet i tvOS 12.2.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

tvOS 12.2

Släpptes 25 mars 2019

802.1X

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: En angripare med en privilegierad nätverksposition kan påverka nätverkstrafik

Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-6203: Dominic White på SensePost (@singe)

Lades till 15 april 2019

CFString

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Bearbetning av en skadlig sträng kan leda till att tjänsten nekas

Beskrivning: Ett valideringsproblem hanterades genom förbättrad logik.

CVE-2019-8516: SWIPS Team på Frifee Inc.

configd

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2019-8552: Mohamed Ghannam (@_simo36)

CoreCrypto

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett buffertspill åtgärdades med förbättrad gränskontroll.

CVE-2019-8542: en anonym forskare

file

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Bearbetning av en skadligt utformad fil kan leda till att användarinformation avslöjas

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2019-8906: Francisco Alonso

Uppdaterades 15 april 2019

Foundation

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Ett program kan få högre behörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-7286: en anonym forskare, Clement Lecigne på Google Threat Analysis Group, Ian Beer på Google Project Zero och Samuel Groß på Google Project Zero

GeoServices

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Klick på en skadlig SMS-länk kan leda till körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2019-8553: en anonym forskare

iAP

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett buffertspill åtgärdades med förbättrad gränskontroll.

CVE-2019-8542: en anonym forskare

IOHIDFamily

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: En lokal användare kan eventuellt orsaka att systemet avslutas oväntat eller att kernelminnet läses

Beskrivning: Ett minnesfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8545: Adam Donenfeld (@doadam) från Zimperium zLabs-teamet

Kernel

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: En fjärrangripare kan eventuellt orsaka att systemet avslutas oväntat eller att kernelminnet blir korrupt

Beskrivning: Ett problem med buffertspill åtgärdades genom förbättrad storleksvalidering.

CVE-2019-8527: Ned Williamson på Google och derrek (@derrekr6)

Kernel

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Ett program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2019-8528: Fabiano Anemone (@anoane), Zhao Qixun (@S0rryMybad) på Qihoo 360 Vulcan Team

Lades till 3 april 2019

Kernel

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Ett skadligt program kan ta reda på schemat för kärnminnet

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2019-8540: Weibo Wang (@ma1fan) från Qihoo 360 Nirvan-teamet

Kernel

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Ett program kan få högre behörighet

Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8514: Samuel Groß på Google Project Zero

Kernel

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: En lokal användare kan läsa kernelminne

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2019-7293: Ned Williamson på Google

Kernel

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Ett skadligt program kan ta reda på schemat för kärnminnet

Beskrivning: Det förekom ett problem med läsning utanför gränserna som ledde till att kernelminne avslöjades. Problemet har åtgärdats genom förbättrad indatavalidering.

CVE-2019-6207: Weibo Wang från Qihoo 360 Nirvan-teamet (@ma1fan)

CVE-2019-8510: Stefan Esser på Antid0te UG

Strömhantering

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Ett skadligt program kan köra opålitlig kod med systembehörighet

Beskrivning: Flera problem med indatavalidering förekom i MIG-genererad kod. De här problemen har åtgärdats genom förbättrad validering.

CVE-2019-8549: Mohamed Ghannam (@_simo36) på SSD Secure Disclosure (ssd-disclosure.com)

Siri

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: En skadlig app kan starta en dikteringsbegäran utan att användaren godkänt det

Beskrivning: Ett API-problem förekom i hanteringen av dikteringsbegäran. Problemet har åtgärdats genom förbättrad validering.

CVE-2019-8502: Luke Deshotels på North Carolina State University, Jordan Beichler på North Carolina State University, William Enck på North Carolina State University, Costin Carabaș på universitetet POLITEHNICA i Bukarest och Răzvan Deaconescu på universitetet POLITEHNICA i Bukarest

TrueTypeScaler

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Bearbetning av ett typsnitt med skadligt innehåll kan leda till att processminnet avslöjas

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2019-8517: riusksk på VulWar Corp i samarbete med Trend Micro Zero Day Initiative

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till universell skriptkörning över flera sajter

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrad validering.

CVE-2019-8551: Ryan Pickren (ryanpickren.com)

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8535: Zhiyang Zeng (@Wester) från Tencent Blade-teamet

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Flera minnesproblem åtgärdades genom förbättrad minneshantering.

CVE-2019-6201: dwfault i samarbete med ADLab på Venustech

CVE-2019-8518: Samuel Groß på Google Project Zero

CVE-2019-8523: Apple

CVE-2019-8524: G. Geshev i samarbete med Trend Micro Zero Day Initiative

CVE-2019-8558: Samuel Groß på Google Project Zero

CVE-2019-8559: Apple

CVE-2019-8563: Apple

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: En process i sandlådeläge kan kringgå sandlådebegränsningarna

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2019-8562: Wen Xu på SSLab vid Georgia Tech och Hanqing Zhao på Chaitin Security Research Lab

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan avslöja känslig användarinformation

Beskrivning: Ett problem med flera källor förekom vid hämtning av API. Problemet har åtgärdats genom förbättrad indatavalidering.

CVE-2019-8515: James Lee (@Windowsrcer)

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2019-8536: Apple

CVE-2019-8544: en anonym forskare

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2019-7285: dwfault som arbetar på ADLab på Venustech

CVE-2019-8556: Apple

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett problem med sammanblandning av typer åtgärdades genom förbättrad minneshantering.

CVE-2019-8506: Samuel Groß på Google Project Zero

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: En skadligt utformad webbplats kan köra skript i samband med en annan webbplats.

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrad validering.

CVE-2019-8503: Linus Särud på Detectify

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Bearbetning av skadligt webbinnehåll kan leda till att processminnet visas

Beskrivning: Ett valideringsproblem hanterades genom förbättrad logik.

CVE-2019-7292: Zhunki och Zhiyi Zhang från 360 ESG Codesafe-teamet

XPC

Tillgängligt för: Apple TV 4K och Apple TV HD tidigare Apple TV (4:e generationen)

Effekt: Ett skadligt program kan skriva över filer oförutsägbart

Beskrivning: Problemet åtgärdades med förbättrade kontroller.

CVE-2019-8530: CodeColorist på Ant-Financial LightYear Labs

Ytterligare tack

Kernel

Vi vill tacka Brandon Azad på Google Project Zero för hjälpen.

Safari

Vi vill tacka Nikhil Mittal (@c0d3G33k) på Payatu Labs (payatu.com) för hjälpen.

WebKit

Vi vill tacka Andrey Kovalev på Yandex Security Team för hjälpen.

Information om produkter som inte tillverkas av Apple eller som finns på oberoende webbplatser som inte står under Apples kontroll eller testats av Apple anges endast i informationssyfte och är inte att betrakta som rekommendationer av eller stöd för produkterna. Apple tar inget ansvar för valet eller nyttjandet av webbplatser eller produkter från tredje part och inte heller för produkternas prestanda. Apple garanterar inte att informationen på webbplatser från tredje part är korrekt eller tillförlitlig. Det finns konkreta risker med att använda internet. Kontakta leverantören om du vill veta mer. Andra företags- och produktnamn kan vara varumärken som tillhör respektive ägare.

Publiceringsdatum: