Om säkerhetsinnehållet i tvOS 12.4

Det här dokumentet beskriver säkerhetsinnehållet i tvOS 12.4.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

tvOS 12.4

Lanserad 22 juli 2019

Bluetooth

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: En angripare med en privilegierad nätverksposition kan manipulera Bluetooth-trafik (nyckelförhandling av Bluetooth – KNOB)

Beskrivning: Ett indatavalideringsproblem förekom i Bluetooth. Problemet har åtgärdats genom förbättrad indatavalidering.

CVE-2019-9506: Daniele Antonioli på SUTD, Singapore, dr Nils Ole Tippenhauer på CISPA i Tyskland och professor Kasper Rasmussen på University of Oxford i England

.Lades till 13 augusti 2019

Core Data

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: En fjärrangripare kan läcka minne

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2019-8646: Natalie Silvanovich på Google Project Zero

Core Data

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: En fjärrangripare kan orsaka körning av opålitlig kod

Beskrivning: Ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2019-8647: Samuel Groß och Natalie Silvanovich på Google Project Zero

Core Data

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: En fjärrangripare kunde orsaka ett oväntat programavslut eller körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-8660: Samuel Groß och Natalie Silvanovich på Google Project Zero

Heimdal

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Det fanns ett problem i Samba som gjorde det möjligt för angripare att utföra obehöriga åtgärder genom att snappa upp kommunikation mellan tjänster

Beskrivning: Problemet åtgärdades med förbättrade kontroller som förhindrar obehöriga åtgärder.

CVE-2018-16860: Isaac Boukris och Andrew Bartlett från Samba Team and Catalyst

Bildbearbetning

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Bearbetning av en bild med skadligt innehåll kan leda till ett dos-angrepp

Beskrivning: Ett problem med dos-angrepp åtgärdades genom förbättrad validering.

CVE-2019-8668: en anonym forskare

Lades till 8 oktober 2019

libxslt

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: En fjärrangripare kan visa känslig information

Beskrivning: Ett stackspill åtgärdades genom förbättrad indatavalidering.

CVE-2019-13118: hittad av OSS-Fuzz

Profiler

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Ett skadligt program kan begränsa åtkomsten till webbplatser

Beskrivning: Ett valideringsproblem förekom i behörighetsvalideringen. Problemet åtgärdades med hjälp av förbättrad validering av processbehörigheten.

CVE-2019-8698: Luke Deshotels, Jordan Beichler och William Enck från North Carolina State University; Costin Carabaș och Răzvan Deaconescu från University POLITEHNICA of Bucharest

Överblick

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: En angripare kan utlösa ett problem med användning av tidigare använt minne i ett program som deserialiserar ett obetrott NSDictionary

Beskrivning: Problemet åtgärdades med förbättrade kontroller.

CVE-2019-8662: Natalie Silvanovich och Samuel Groß på Google Project Zero

Siri

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: En fjärrangripare kan läcka minne

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2019-8646: Natalie Silvanovich på Google Project Zero

UIFoundation

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Tolkning av ett Office-dokument med skadligt innehåll kan leda till att ett program avslutas oväntat eller till körning av opålitlig kod

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2019-8657: riusksk på VulWar Corp i samarbete med Trend Micros Zero Day Initiative

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Bearbetning av skadligt webbinnehåll kan leda till universell skriptkörning över flera sajter

Beskrivning: Det fanns ett logikproblem i hanteringen av inläsning av dokument. Problemet åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8690: Sergei Glazunov på Google Project Zero

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Bearbetning av skadligt webbinnehåll kan leda till universell skriptkörning över flera sajter

Beskrivning: Det fanns ett logikproblem i hanteringen av synkron inläsning av sidor. Problemet åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8649: Sergei Glazunov på Google Project Zero

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Bearbetning av skadligt webbinnehåll kan leda till universell skriptkörning över flera sajter

Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8658: akayn i samarbete med Trend Micros Zero Day Initiative

WebKit

Tillgängligt för: Apple TV 4K och Apple TV HD

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Flera minnesproblem åtgärdades genom förbättrad minneshantering.

CVE-2019-8644: G. Geshev i samarbete med Trend Micros Zero Day Initiative

CVE-2019-8666: Zongming Wang (王宗明) och Zhe Jin (金哲) från Chengdu Security Response Center på Qihoo 360 Technology Co. Ltd.

CVE-2019-8669: akayn i samarbete med Trend Micros Zero Day Initiative

CVE-2019-8671: Apple

CVE-2019-8672: Samuel Groß på Google Project Zero

CVE-2019-8673: Soyeon Park och Wen Xu på SSLab vid Georgia Tech

CVE-2019-8676: Soyeon Park och Wen Xu på SSLab vid Georgia Tech

CVE-2019-8677: Jihui Lu på Tencent KeenLab

CVE-2019-8678: Anthony Lai (@darkfloyd1014) på Knownsec, Ken Wong (@wwkenwong) på VXRL, Jeonghoon Shin (@singi21a) på Theori, Johnny Yu (@straight_blast) på VX Browser Exploitation Group, Chris Chan (@dr4g0nfl4me) på VX Browser Exploitation Group, Phil Mok (@shadyhamsters) på VX Browser Exploitation Group, Alan Ho (@alan_h0) på Knownsec, Byron Wai på VX Browser Exploitation och P1umer på ADLab vid Venustech

CVE-2019-8679: Jihui Lu på Tencent KeenLab

CVE-2019-8680: Jihui Lu på Tencent KeenLab

CVE-2019-8681: G. Geshev i samarbete med Trend Micro Zero Day Initiative

CVE-2019-8683: lokihardt på Google Project Zero

CVE-2019-8684: lokihardt på Google Project Zero

CVE-2019-8685: akayn, Dongzhuo Zhao i samarbete med ADLab på Venustech, Ken Wong (@wwkenwong) på VXRL, Anthony Lai (@darkfloyd1014) på VXRL och Eric Lung (@Khlung1) på VXRL

CVE-2019-8686: G. Geshev i samarbete med Trend Micros Zero Day Initiative

CVE-2019-8687: Apple

CVE-2019-8688: Insu Yun på SSLab vid Georgia Tech

CVE-2019-8689: lokihardt på Google Project Zero

Uppdaterades 11 september 2019

Ytterligare tack

Game Center

Vi vill tacka Min (Spark) Zheng och Xiaolong Bai på Alibaba Inc. för deras hjälp.

MobileInstallation

Vi vill tacka Dany Lisiansky (@DanyL931) för all hjälp.

Information om produkter som inte tillverkas av Apple eller som finns på oberoende webbplatser som inte står under Apples kontroll eller testats av Apple anges endast i informationssyfte och är inte att betrakta som rekommendationer av eller stöd för produkterna. Apple tar inget ansvar för valet eller nyttjandet av webbplatser eller produkter från tredje part och inte heller för produkternas prestanda. Apple garanterar inte att informationen på webbplatser från tredje part är korrekt eller tillförlitlig. Det finns konkreta risker med att använda internet. Kontakta leverantören om du vill veta mer. Andra företags- och produktnamn kan vara varumärken som tillhör respektive ägare.

Publiceringsdatum: