Om säkerhetsinnehållet i tvOS 12.3

Det här dokumentet beskriver säkerhetsinnehållet i tvOS 12.3.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

tvOS 12.3

AppleFileConduit

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Ett program kan köra opålitlig kod med systembehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2019-8593: Dany Lisiansky (@DanyL931)

Bluetooth

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: På grund av en felkonfiguration i parkopplingsprotokollen för Bluetooth i BLE-versionen (Bluetooth Low Energy) av FIDO-säkerhetsnycklar kan det vara möjligt för en angripare som befinner sig nära att snappa upp Bluetooth-trafik vid parkoppling

Beskrivning: Problemet åtgärdades genom att inaktivera tillbehör med osäkra Bluetooth-anslutningar. Kunder som använder BLE-versionen (Bluetooth Low Energy) av Titan Security Key från Google ska läsa Androids junibulletiner och Googles råd och vidta lämpliga åtgärder.

CVE-2019-2102: Matt Beaver och Erik Peterson på Microsoft Corp.

CoreAudio

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Bearbetning av en ljudfil med skadligt innehåll kan leda till körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad felhantering.

CVE-2019-8592: riusksk på VulWar Corp i samarbete med Trend Micros Zero Day Initiative

CoreAudio

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Bearbetning av en filmfil med skadligt innehåll kan leda till körning av opålitlig kod

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2019-8585: riusksk på VulWar Corp i samarbete med Trend Micros Zero Day Initiative

CoreText

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Bearbetning av ett typsnitt med skadligt innehåll kan leda till att processminnet avslöjas

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2019-8582: riusksk på VulWar Corp tillsammans med Trend Micros Zero Day Initiative

Skivavbilder

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Ett program utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett valideringsproblem hanterades genom förbättrad indatasanering.

CVE-2019-8560: Nikita Pupyshev på Bauman Moscow State Technological University

Kernel

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Ett program utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett valideringsproblem hanterades genom förbättrad indatasanering.

CVE-2019-8633: Zhuo Liang på Qihoo 360 Vulcan Team

Kernel

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: En lokal användare kan eventuellt orsaka att systemet avslutas oväntat eller att kernelminnet läses

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2019-8576: Brandon Azad på Google Project Zero och Junho Jang och Hanul Choi på LINE Security Team

Kernel

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Ett program kan leda till oväntad systemavstängning eller skrivning till kernelminne

Beskrivning: Ett problem med sammanblandning av typer åtgärdades genom förbättrad minneshantering.

CVE-2019-8591: Ned Williamson i samarbete med Google Project Zero

Meddelanden

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Användare som tagits bort från en iMessage-konversation kan fortfarande ändra status

Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8631: Jamie Bishop på Dynastic

MobileInstallation

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: En lokal användare kan ändra skyddade delar av filsystemet

Beskrivning: Ett valideringsproblem förekom i hanteringen av symlänkar. Problemet åtgärdades genom förbättrad validering av symlänkar.

CVE-2019-8568: Dany Lisiansky (@DanyL931)

MobileLockdown

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Ett skadligt program kan tillskansa sig rotbehörighet

Beskrivning: Ett indatavalideringsfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-8637: Dany Lisiansky (@DanyL931)

SQLite

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Ett program kan få högre behörighet

Beskrivning: Ett indatavalideringsfel åtgärdades genom förbättrad minneshantering.

CVE-2019-8577: Omer Gull på Checkpoint Research

SQLite

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: En skadligt utformad SQL-fråga kan ge upphov till körning av godtycklig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-8600: Omer Gull på Checkpoint Research

SQLite

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Ett skadligt program utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett indatavalideringsfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-8598: Omer Gull på Checkpoint Research

SQLite

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett minnesfel åtgärdades genom borttagning av den sårbara koden.

CVE-2019-8602: Omer Gull på Checkpoint Research

sysdiagnose

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Ett program kan köra opålitlig kod med systembehörighet

Beskrivning: Problemet har åtgärdats genom förbättrad behörighetslogik.

CVE-2019-8574: Dayton Pidhirney (@_watbulb) på Seekintoo (@seekintoo)

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Bearbetning av skadligt webbinnehåll kan leda till att processminnet visas

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2019-8607: Junho Jang och Hanul Choi på LINE Security Team

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Flera minnesproblem åtgärdades genom förbättrad minneshantering.

CVE-2019-6237: G. Geshev i samarbete med Trend Micro Zero Day Initiative, Liu Long på Qihoo 360 Vulcan Team

CVE-2019-8571: 01 i samarbete med Trend Micros Zero Day Initiative

CVE-2019-8583: sakura på Tencent Xuanwu Lab, jessica (@babyjess1ca_) på Tencent Keen Lab och dwfault som arbetar på ADLab på Venustech

CVE-2019-8584: G. Geshev på MWR Labs i samarbete med Trend Micro Zero Day Initiative

CVE-2019-8586: en anonym forskare

CVE-2019-8587: G. Geshev i samarbete med Trend Micro Zero Day Initiative

CVE-2019-8594: Suyoung Lee och Sooel Son på KAIST Web Security & Privacy Lab och HyungSeok Han och Sang Kil Cha på KAIST SoftSec Lab

CVE-2019-8595: G. Geshev från MWR Labs i samarbete med Trend Micro Zero Day Initiative

CVE-2019-8596: Wen Xu på SSLab vid Georgia Tech

CVE-2019-8597: 01 i samarbete med Trend Micro Zero Day Initiative

CVE-2019-8601: Fluoroacetate i samarbete med Trend Micros Zero Day Initiative

CVE-2019-8608: G. Geshev i samarbete med Trend Micro Zero Day Initiative

CVE-2019-8609: Wen Xu på SSLab vid Georgia Tech

CVE-2019-8610: Anonym i samarbete med Trend Micro Zero Day Initiative

CVE-2019-8611: Samuel Groß på Google Project Zero

CVE-2019-8615: G. Geshev från MWR Labs i samarbete med Trend Micros Zero Day Initiative

CVE-2019-8619: Wen Xu på SSLab vid Georgia Tech och Hanqing Zhao på Chaitin Security Research Lab

CVE-2019-8622: Samuel Groß på Google Project Zero

CVE-2019-8623: Samuel Groß på Google Project Zero

CVE-2019-8628: Wen Xu på SSLab vid Georgia Tech och Hanqing Zhao på Chaitin Security Research Lab

Wifi

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: En angripare med en privilegierad nätverksposition kan ändra drivrutinstillstånd

Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8612: Milan Stute på Secure Mobile Networking Lab på Technische Universität Darmstadt

Wifi

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: En enhet kan passivt spåras med hjälp av dess wifi-MAC-adress

Beskrivning: Ett problem med användarintegritet åtgärdades genom att ta bort MAC-adressen som sändes.

CVE-2019-8620: David Kreitschmann och Milan Stute på Secure Mobile Networking Lab på Technische Universität Darmstadt

Ytterligare tack

CoreAudio

Vi vill tacka riusksk på VulWar Corp tillsammans med Trend Micros Zero Day Initiative för deras hjälp.

CoreFoundation

Vi vill tacka Vozzie och Rami och m4bln, Xiangqian Zhang, Huiming Liu på Tencents Xuanwu Lab för hjälpen.

Kernel

Vi vill tacka Brandon Azad på Google Project Zero och en anonym forskare för hjälpen.

MediaLibrary

Vi vill tacka Angel Ramirez och Min (Spark) Zheng, Xiaolong Bai på Alibaba Inc. för hjälpen.

MobileInstallation

Vi vill tacka Yiğit Can YILMAZ (@yilmazcanyigit) för hjälpen.