เกี่ยวกับเนื้อหาความปลอดภัยของ tvOS 12.2

เอกสารนี้จะอธิบายเกี่ยวกับเนื้อหาความปลอดภัยของ tvOS 12.2

เกี่ยวกับรายการอัพเดทความปลอดภัยของ Apple

เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการตรวจสอบ และมีแพตช์หรือมีการเปิดตัวออกมาแล้ว รายการที่เปิดตัวล่าสุดจะแสดงอยู่ในหน้ารายการอัพเดทความปลอดภัยของ Apple

เอกสารด้านความปลอดภัยของ Apple จะอ้างอิงช่องโหว่ต่างๆ ตาม CVE-ID หากทำได้

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับความปลอดภัย โปรดดูที่หน้าความปลอดภัยของผลิตภัณฑ์ Apple

tvOS 12.2

เปิดตัวเมื่อวันที่ 25 มีนาคม 2019

802.1X

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: ผู้โจมตีในตำแหน่งเครือข่ายที่มีสิทธิ์อาจสามารถดักจับการรับส่งข้อมูลเครือข่ายได้

คำอธิบาย: ปัญหาตรรกะได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2019-6203: Dominic White จาก SensePost (@singe)

เพิ่มรายการเมื่อวันที่ 15 เมษายน 2019

CFString

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: การประมวลผลสตริงที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้ระบบปฏิเสธการให้บริการได้

คำอธิบาย: ปัญหาการตรวจสอบได้รับการแก้ไขแล้วด้วยการปรับปรุงตรรกะให้ดียิ่งขึ้น

CVE-2019-8516: SWIPS Team จาก Frifee Inc.

configd

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: แอพพลิเคชั่นที่ประสงค์ร้ายอาจสามารถยกระดับสิทธิ์ได้

คำอธิบาย: ปัญหาการเริ่มต้นหน่วยความจำได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-8552: Mohamed Ghannam (@_simo36)

CoreCrypto

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: แอพพลิเคชั่นที่ประสงค์ร้ายอาจสามารถยกระดับสิทธิ์ได้

คำอธิบาย: ปัญหาบัฟเฟอร์ล้นได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น

CVE-2019-8542: นักวิจัยนิรนาม

ไฟล์

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: การประมวลผลไฟล์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจเปิดเผยข้อมูลผู้ใช้

คำอธิบาย: ปัญหาการอ่านข้อมูลนอกขอบเขตได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น

CVE-2019-8906: Francisco Alonso

อัพเดทรายการเมื่อวันที่ 15 เมษายน 2019

Foundation

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: แอพพลิเคชั่นอาจสามารถรับสิทธิ์ในระดับที่สูงขึ้นได้

คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น

CVE-2019-7286: นักวิจัยนิรนาม, Clement Lecigne จาก Google Threat Analysis Group, Ian Beer จาก Google Project Zero และ Samuel Groß จาก Google Project Zero

GeoServices

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: การคลิกลิงก์ SMS ที่ประสงค์ร้ายอาจทำให้เกิดการใช้รหัสโดยอำเภอใจ

คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น

CVE-2019-8553: นักวิจัยนิรนาม

iAP

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: แอพพลิเคชั่นที่ประสงค์ร้ายอาจสามารถยกระดับสิทธิ์ได้

คำอธิบาย: ปัญหาบัฟเฟอร์ล้นได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น

CVE-2019-8542: นักวิจัยนิรนาม

IOHIDFamily

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจสามารถทำให้ระบบหยุดทำงานโดยไม่คาดคิดหรืออ่านหน่วยความจำเคอร์เนลได้

คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2019-8545: Adam Donenfeld (@doadam) จาก Zimperium zLabs Team

เคอร์เนล

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: แอพพลิเคชั่นที่ประสงค์ร้ายอาจทำให้เกิดการยุติระบบโดยไม่คาดคิดหรือสร้างความเสียหายให้กับหน่วยความจำเคอร์เนลได้

คำอธิบาย: ปัญหาบัฟเฟอร์ล้นได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบขนาดให้ดียิ่งขึ้น

CVE-2019-8527: Ned Williamson จาก Google และ derrek (@derrekr6)

เคอร์เนล

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ

คำอธิบาย: ปัญหา Use-after-free ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-8528: Fabiano Anemone (@anoane), Zhao Qixun (@S0rryMybad) จาก Qihoo 360 Vulcan Team

เพิ่มรายการเมื่อวันที่ 3 เมษายน 2019

เคอร์เนล

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: แอพพลิเคชั่นที่เป็นอันตรายอาจสามารถกำหนดเค้าโครงหน่วยความจำเคอร์เนลได้

คำอธิบาย: ปัญหาการเริ่มต้นหน่วยความจำได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-8540: Weibo Wang (@ma1fan) จาก Qihoo 360 Nirvan Team

เคอร์เนล

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: แอพพลิเคชั่นอาจสามารถรับสิทธิ์ในระดับที่สูงขึ้นได้

คำอธิบาย: ปัญหาตรรกะได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2019-8514: Samuel Groß จาก Google Project Zero

เคอร์เนล

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจสามารถอ่านหน่วยความจำเคอร์เนลได้

คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-7293: Ned Williamson จาก Google

เคอร์เนล

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: แอพพลิเคชั่นที่เป็นอันตรายอาจสามารถกำหนดเค้าโครงหน่วยความจำเคอร์เนลได้

คำอธิบาย: มีปัญหาการอ่านข้อมูลนอกขอบเขตที่นำไปสู่การเปิดเผยหน่วยความจำเคอร์เนล ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น

CVE-2019-6207: Weibo Wang จาก Qihoo 360 Nirvan Team (@ma1fan)

CVE-2019-8510: Stefan Esser จาก Antid0te UG

การจัดการพลังงาน

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: แอพพลิเคชั่นประสงค์ร้ายอาจสามารถใช้รหัสโดยอำเภอใจด้วยสิทธิ์ของระบบ

คำอธิบาย: มีปัญหาหลายประการเกี่ยวกับการตรวจสอบอินพุตเกิดขึ้นในรหัสที่สร้างโดย MIG ปัญหาเหล่านี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น

CVE-2019-8549: Mohamed Ghannam (@_simo36) จาก SSD Secure Disclosure (ssd-disclosure.com)

Siri

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: แอพพลิเคชั่นที่เป็นอันตรายอาจสามารถเริ่มคำขอการป้อนตามคำบอกได้โดยไม่มีการอนุญาตจากผู้ใช้

คำอธิบาย: มีปัญหา API ในการจัดการกับคำขอการป้อนตามคำบอก ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น

CVE-2019-8502: Luke Deshotels จาก North Carolina State University, Jordan Beichler จาก North Carolina State University, William Enck จาก North Carolina State University, Costin Carabaș จาก University POLITEHNICA of Bucharest และ Răzvan Deaconescu จาก University POLITEHNICA of Bucharest

TrueTypeScaler

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: การประมวลผลแบบอักษรที่ออกแบบมาเพื่อประสงค์ร้ายอาจเปิดเผยหน่วยความจำของการประมวลผล

คำอธิบาย: ปัญหาการอ่านข้อมูลนอกขอบเขตได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น

CVE-2019-8517: riusksk จาก VulWar Corp ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

WebKit

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: การประมวลผลเว็บคอนเทนต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการส่งลิงก์ฝังสคริปต์ไปยังไซต์อื่นทั้งระบบ (Cross-site Scripting) ได้

คำอธิบาย: ปัญหาตรรกะได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น

CVE-2019-8551: Ryan Pickren (ryanpickren.com)

WebKit

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้รหัสโดยอำเภอใจ

คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2019-8535: Zhiyang Zeng (@Wester) จาก Tencent Blade Team

WebKit

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ

คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-6201: dwfault ที่ทำงานร่วมกับ ADLab จาก Venustech

CVE-2019-8518: Samuel Groß จาก Google Project Zero

CVE-2019-8523: Apple

CVE-2019-8524: G. Geshev ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

CVE-2019-8558: Samuel Groß จาก Google Project Zero

CVE-2019-8559: Apple

CVE-2019-8563: Apple

WebKit

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: กระบวนการที่ถูกวางอยู่ใน Sandbox อาจสามารถหลีกเลี่ยงข้อจำกัดของ Sandbox ได้

คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น

CVE-2019-8562: Wen Xu จาก SSLab ที่ Georgia Tech และ Hanqing Zhao จาก Chaitin Security Research Lab

WebKit

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจเปิดเผยข้อมูลสำคัญของผู้ใช้ได้

คำอธิบาย: มีปัญหาข้ามต้นทางกับ API ที่ดึงข้อมูล ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น

CVE-2019-8515: James Lee (@Windowsrcer)

WebKit

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้รหัสโดยอำเภอใจ

คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-8536: Apple

CVE-2019-8544: นักวิจัยนิรนาม

WebKit

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ

คำอธิบาย: ปัญหา Use-after-free ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-7285: dwfault ที่ทำงานที่ ADLab ของ Venustech

CVE-2019-8556: Apple

WebKit

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ

คำอธิบาย: ปัญหาเกี่ยวกับความสับสนในประเภทได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-8506: Samuel Groß จาก Google Project Zero

WebKit

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: เว็บไซต์ที่ประสงค์ร้ายอาจสามารถใช้สคริปต์ในบริบทของเว็บไซต์อื่นได้

คำอธิบาย: ปัญหาตรรกะได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น

CVE-2019-8503: Linus Särud จาก Detectify

WebKit

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจส่งผลให้เกิดการเปิดเผยข้อมูลหน่วยความจำของการประมวลผล

คำอธิบาย: ปัญหาการตรวจสอบได้รับการแก้ไขแล้วด้วยการปรับปรุงตรรกะให้ดียิ่งขึ้น

CVE-2019-7292: Zhunki และ Zhiyi Zhang จาก 360 ESG Codesafe Team

XPC

มีให้สำหรับ: Apple TV 4K และ Apple TV HD ก่อนหน้านี้เรียกว่า Apple TV (รุ่นที่ 4)

ผลกระทบ: แอพพลิเคชั่นที่เป็นอันตรายอาจสามารถเขียนทับไฟล์ได้โดยอำเภอใจ

คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น

CVE-2019-8530: CodeColorist จาก Ant-Financial LightYear Labs

คำขอบคุณพิเศษ

เคอร์เนล

เราขอขอบคุณสำหรับความช่วยเหลือจาก Brandon Azad จาก Google Project Zero

Safari

เราขอขอบคุณสำหรับความช่วยเหลือจาก Nikhil Mittal (@c0d3G33k) จาก Payatu Labs (payatu.com)

WebKit

เราขอขอบคุณสำหรับความช่วยเหลือจาก Andrey Kovalev จาก Yandex Security Team

ข้อมูลเกี่ยวกับผลิตภัณฑ์ที่ไม่ได้ผลิตโดย Apple หรือเว็บไซต์อิสระที่ไม่ได้ควบคุมหรือทดสอบโดย Apple มีให้โดยไม่มีคำแนะนำหรือการรับรองใดๆ Apple ไม่ขอรับผิดชอบในส่วนที่เกี่ยวกับการเลือก ประสิทธิภาพ หรือการใช้งานเว็บไซต์หรือผลิตภัณฑ์ของบริษัทอื่น Apple ไม่รับรองความถูกต้องหรือความน่าเชื่อถือของเว็บไซต์ของบริษัทอื่น ความเสี่ยงต่างๆ ในการใช้งานอินเทอร์เน็ตถือเป็นเรื่องปกติที่เกิดขึ้นได้ ติดต่อผู้จำหน่ายสำหรับข้อมูลเพิ่มเติม ชื่อบริษัทและชื่อผลิตภัณฑ์อื่นอาจเป็นเครื่องหมายการค้าของเจ้าของแต่ละราย

วันที่เผยแพร่: