เกี่ยวกับเนื้อหาด้านความปลอดภัยของ tvOS 10.2
เอกสารนี้จะอธิบายเกี่ยวกับเนื้อหาด้านความปลอดภัยของ tvOS 10.2
เกี่ยวกับรายการอัพเดทความปลอดภัยของ Apple
เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการตรวจสอบ และมีแพตช์หรือมีการเปิดตัวออกมาแล้ว รายการที่เปิดตัวล่าสุดจะแสดงอยู่ในหน้ารายการอัพเดทความปลอดภัยของ Apple
สำหรับข้อมูลเพิ่มเติมเกี่ยวกับความปลอดภัย โปรดดูที่หน้าความปลอดภัยของผลิตภัณฑ์ Apple คุณสามารถเข้ารหัสการสื่อสารกับ Apple ได้โดยใช้คีย์ PGP สำหรับความปลอดภัยของผลิตภัณฑ์ Apple
เอกสารด้านความปลอดภัยของ Apple จะอ้างอิงช่องโหว่ต่างๆ ตาม CVE-ID หากทำได้
tvOS 10.2
เสียง
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลไฟล์เสียงที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2430: นักวิจัยนิรนามที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro
CVE-2017-2462: นักวิจัยนิรนามที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro
Carbon
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลไฟล์ .dfont ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้รหัสโดยอำเภอใจ
คำอธิบาย: มีบัฟเฟอร์ล้นในการจัดการไฟล์แบบอักษร ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-2017-2379: John Villamil, Doyensec, riusksk (泉哥) จาก Tencent Security Platform Department
CoreGraphics
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลภาพที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้ระบบปฏิเสธการให้บริการได้
คำอธิบาย: ปัญหาการเรียกซํ้านับครั้งไม่ถ้วนได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น
CVE-2017-2417: riusksk (泉哥) จาก Tencent Security Platform Department
CoreGraphics
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2444: Mei Wang จาก 360 GearTeam
CoreText
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลไฟล์แบบอักษรที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้รหัสโดยอำเภอใจ
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2435: John Villamil, Doyensec
CoreText
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลแบบอักษรที่ออกแบบมาเพื่อประสงค์ร้ายอาจเปิดเผยหน่วยความจำของการประมวลผล
คำอธิบาย: ปัญหาการอ่านนอกขอบเขตได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2450: John Villamil, Doyensec
CoreText
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลข้อความตัวอักษรที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้แอพพลิเคชั่นปฏิเสธการให้บริการได้
คำอธิบาย: ปัญหาทรัพยากรลดลงได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2461: นักวิจัยนิรนาม, Isaac Archambault จาก IDAoADI
FontParser
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลไฟล์แบบอักษรที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้รหัสโดยอำเภอใจ
คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2487: riusksk (泉哥) จาก Tencent Security Platform Department
CVE-2017-2406: riusksk (泉哥) จาก Tencent Security Platform Department
FontParser
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การแยกวิเคราะห์ไฟล์แบบอักษรที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้แอพพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ
คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2407: riusksk (泉哥) จาก Tencent Security Platform Department
FontParser
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลแบบอักษรที่ออกแบบมาเพื่อประสงค์ร้ายอาจเปิดเผยหน่วยความจำของการประมวลผล
คำอธิบาย: ปัญหาการอ่านนอกขอบเขตได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2439: John Villamil, Doyensec
HTTPProtocol
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: เซิร์ฟเวอร์ HTTP/2 ที่ประสงค์ร้ายอาจก่อให้เกิดลักษณะการทำงานที่ไม่สามารถกำหนดได้
คำอธิบาย: มีปัญหาจำนวนมากใน nghttp2 เวอร์ชั่นก่อน 1.17.0 ปัญหาเหล่านี้ได้รับการแก้ไขแล้วโดยการอัพเดท nghttp2 ให้เป็นเวอร์ชั่น 1.17.0
CVE-2017-2428
ImageIO
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลภาพที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้รหัสโดยอำเภอใจ
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2416: Qidan He (何淇丹, @flanker_hqd) จาก KeenLab, Tencent
ImageIO
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การดูไฟล์ JPEG ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้รหัสโดยอำเภอใจ
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2432: นักวิจัยนิรนามที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro
ImageIO
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลไฟล์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้แอพพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2467
ImageIO
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลภาพที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้แอพพลิเคชั่นหยุดทำงานโดยไม่คาดคิด
มีปัญหาการอ่านนอกขอบเขตใน LibTIFF เวอร์ชั่นก่อน 4.0.7 ปัญหานี้ได้รับการแก้ไขแล้วโดยการอัพเดท LibTIFF ใน ImageIO ให้เป็นเวอร์ชั่น 4.0.7
CVE-2016-3619
JavaScriptCore
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: ปัญหา Use-after-free ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2017-2491: Apple
JavaScriptCore
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลหน้าเว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการส่งลิงก์ฝังสคริปต์ให้ไปยังไซต์อื่นทั้งระบบ (Cross-site Scripting) ได้
คำอธิบาย: ปัญหาต้นแบบได้รับการแก้ไขแล้วผ่านการปรับปรุงตรรกะให้ดียิ่งขึ้น
CVE-2017-2492: lokihardt จาก Google Project Zero
เคอร์เนล
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2401: Lufeng Li จาก Qihoo 360 Vulcan Team
เคอร์เนล
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ
คำอธิบาย: ปัญหาจำนวนเต็มล้นได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2440: นักวิจัยนิรนาม
เคอร์เนล
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: แอพพลิเคชั่นที่ประสงค์ร้ายอาจสามารถใช้รหัสโดยอำเภอใจด้วยสิทธิ์ระดับราก
คำอธิบาย: ปัญหาสภาวะการแข่งขันได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2017-2456: lokihardt จาก Google Project Zero
เคอร์เนล
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ
คำอธิบาย: ปัญหา Use-after-free ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2017-2472: Ian Beer จาก Google Project Zero
เคอร์เนล
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: แอพพลิเคชั่นที่ประสงค์ร้ายอาจสามารถใช้รหัสที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2473: Ian Beer จาก Google Project Zero
เคอร์เนล
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ
คำอธิบาย: ปัญหาการ Off-by-one ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-2017-2474: Ian Beer จาก Google Project Zero
เคอร์เนล
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ
คำอธิบาย: ปัญหาสภาวะการแข่งขันได้รับการแก้ไขแล้วผ่านการปรับปรุงการล็อคให้ดียิ่งขึ้น
CVE-2017-2478: Ian Beer จาก Google Project Zero
เคอร์เนล
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ
คำอธิบาย: ปัญหาบัฟเฟอร์ล้นได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2017-2482: Ian Beer จาก Google Project Zero
CVE-2017-2483: Ian Beer จาก Google Project Zero
เคอร์เนล
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้รหัสที่มีสิทธิ์ในระดับที่สูงขึ้นได้โดยอำเภอใจ
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2017-2490: Ian Beer จาก Google Project Zero, The UK's National Cyber Security Centre (NCSC)
คีย์บอร์ด
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้รหัสได้โดยอำเภอใจ
คำอธิบาย: ปัญหาบัฟเฟอร์ล้นได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-2017-2458: Shashank (@cyberboyIndia)
พวงกุญแจ
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: ผู้โจมตีที่สามารถดักจับการเชื่อมต่อ TLS อาจสามารถอ่านความลับที่ปกป้องโดยพวงกุญแจ iCloud ได้
คำอธิบาย: ในบางสถานการณ์ พวงกุญแจ iCloud ล้มเหลวในการตรวจสอบความถูกต้องของแพ็คเก็ต OTR ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น
CVE-2017-2448: Alex Radocea จาก Longterm Security, Inc.
libarchive
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: ผู้โจมตีเฉพาะที่อาจสามารถเปลี่ยนสิทธิ์อนุญาตของระบบในไดเร็กทอรี่ได้โดยอำเภอใจ
คำอธิบาย: มีปัญหาการตรวจสอบในการจัดการ symlinks ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบของ symlinks ให้ดียิ่งขึ้น
CVE-2017-2390: Omer Medan จาก enSilo Ltd
libc++abi
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การซ่อมแซมแอพพลิเคชั่น C++ ที่ประสงค์ร้ายอาจทำให้มีการใช้รหัสโดยอำเภอใจ
คำอธิบาย: ปัญหา Use-after-free ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2017-2441
libxslt
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: มีช่องโหว่จำนวนมากใน libxslt
คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2017-5029: Holger Fuhrmannek
ความปลอดภัย
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้รหัสที่มีสิทธิ์ในระดับรากได้โดยอำเภอใจ
คำอธิบาย: ปัญหาบัฟเฟอร์ล้นได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-2017-2451: Alex Radocea จาก Longterm Security, Inc.
ความปลอดภัย
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลใบรับรอง x509 ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้รหัสโดยอำเภอใจ
คำอธิบาย: มีปัญหาหน่วยความจำเสียหายในการแยกวิเคราะห์ใบรับรอง ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2485: Aleksandar Nikolic จาก Cisco Talos
WebKit
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจลักลอบถอนข้อมูลข้ามต้นทาง
คำอธิบาย: ปัญหาการเข้าถึงต้นแบบได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการข้อยกเว้นให้ดียิ่งขึ้น
CVE-2017-2386: André Bargull
WebKit
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2017-2394: Apple
CVE-2017-2396: Apple
CVE-2016-9642: Gustavo Grieco
WebKit
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2017-2395: Apple
CVE-2017-2454: Ivan Fratric จาก Google Project Zero, Zheng Huang จาก Baidu Security Lab ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro
CVE-2017-2455: Ivan Fratric จาก Google Project Zero
CVE-2017-2459: Ivan Fratric จาก Google Project Zero
CVE-2017-2460: Ivan Fratric จาก Google Project Zero
CVE-2017-2464: natashenka จาก Google Project Zero, Jeonghoon Shin
CVE-2017-2465: Zheng Huang และ Wei Yuan จาก Baidu Security Lab
CVE-2017-2466: Ivan Fratric จาก Google Project Zero
CVE-2017-2468: lokihardt จาก Google Project Zero
CVE-2017-2469: lokihardt จาก Google Project Zero
CVE-2017-2470: lokihardt จาก Google Project Zero
CVE-2017-2476: Ivan Fratric จาก Google Project Zero
CVE-2017-2481: 0011 ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro
WebKit
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: ปัญหาเกี่ยวกับความสับสนในประเภทได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2017-2415: Kai Kang จาก Tencent's Xuanwu Lab (tentcent.com)
WebKit
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้เกิดการใช้หน่วยความจำปริมาณสูงได้
คำอธิบาย: ปัญหาการใช้งานทรัพยากรที่ไม่สามารถควบคุมได้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการประมวลผล regex ให้ดียิ่งขึ้น
CVE-2016-9643: Gustavo Grieco
WebKit
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: เว็บไซต์ที่ประสงค์ร้ายอาจถอนข้อมูลข้ามต้นทาง
คำอธิบาย: มีปัญหาการตรวจสอบในการจัดการการโหลดหน้า ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงตรรกะให้ดียิ่งขึ้น
CVE-2017-2367: lokihardt จาก Google Project Zero
WebKit
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลเว็บคอนเทนต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการส่งลิงก์ฝังสคริปต์ไปยังไซต์อื่นทั้งระบบ (Cross-site Scripting) ได้
คำอธิบาย: มีปัญหาตรรกะในการจัดการวัตถุเฟรม ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น
CVE-2017-2445: lokihardt จาก Google Project Zero
WebKit
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: มีปัญหาตรรกะในการจัดการฟังก์ชั่นโหมดการจำกัด ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น
CVE-2017-2446: natashenka จาก Google Project Zero
WebKit
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การเข้าชมเว็บไซต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้ข้อมูลของผู้ใช้ไม่ปลอดภัย
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2017-2447: natashenka จาก Google Project Zero
WebKit
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2017-2463: Kai Kang (4B5F5F4B) จาก Tencent's Xuanwu Lab (tencent.com) ซึ่งทำงานร่วมกับ Zero Day Initiative ของ Trend Micro
WebKit
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลเว็บคอนเทนต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการส่งลิงก์ฝังสคริปต์ไปยังไซต์อื่นทั้งระบบ (Cross-site Scripting) ได้
คำอธิบาย: มีปัญหาตรรกะในการจัดการเฟรม ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น
CVE-2017-2475: lokihardt จาก Google Project Zero
WebKit
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจลักลอบถอนข้อมูลข้ามต้นทาง
คำอธิบาย: มีปัญหาการตรวจสอบในการจัดการองค์ประกอบ ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น
CVE-2017-2479: lokihardt จาก Google Project Zero
WebKit
มีให้สำหรับ: Apple TV (รุ่นที่ 4)
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจลักลอบถอนข้อมูลข้ามต้นทาง
คำอธิบาย: มีปัญหาการตรวจสอบในการจัดการองค์ประกอบ ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น
CVE-2017-2480: lokihardt จาก Google Project Zero
CVE-2017-2493: lokihardt จาก Google Project Zero
คำขอบคุณพิเศษ
XNU
เราขอขอบคุณสำหรับความช่วยเหลือจาก Lufeng Li จาก Qihoo 360 Vulcan Team
การให้ข้อมูลเกี่ยวกับผลิตภัณฑ์ที่ไม่ได้ผลิตโดย Apple หรือเว็บไซต์อิสระที่ Apple ไม่ได้ควบคุมหรือทดสอบไม่ถือเป็นการแนะนำหรือการรับรองใดๆ Apple จะไม่รับผิดชอบในส่วนที่เกี่ยวข้องกับการเลือก ประสิทธิภาพการทำงาน หรือการใช้งานเว็บไซต์หรือผลิตภัณฑ์ของบริษัทอื่น Apple ไม่รับรองความถูกต้องหรือความน่าเชื่อถือของเว็บไซต์ของบริษัทอื่น โปรดติดต่อผู้จำหน่ายหากต้องการข้อมูลเพิ่มเติม