เกี่ยวกับรายการอัพเดทความปลอดภัยของ Apple
เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการตรวจสอบ และมีแพตช์หรือมีการเปิดตัวออกมาแล้ว รายการที่เปิดตัวล่าสุดจะแสดงอยู่ในหน้ารายการอัพเดทความปลอดภัยของ Apple
เอกสารด้านความปลอดภัยของ Apple จะอ้างอิงช่องโหว่ต่างๆ ตาม CVE-ID หากทำได้
สำหรับข้อมูลเพิ่มเติมเกี่ยวกับความปลอดภัย โปรดดูที่หน้าความปลอดภัยของผลิตภัณฑ์ Apple
tvOS 13.3
เปิดตัวเมื่อวันที่ 10 ธันวาคม 2019
CFNetwork
มีให้สำหรับ: Apple TV 4K และ Apple TV HD
ผลกระทบ: ผู้โจมตีในตำแหน่งเครือข่ายที่มีสิทธิ์อาจสามารถหลีกเลี่ยง HSTS สำหรับโดเมนระดับบนสุดเฉพาะที่มีจำนวนจำกัดซึ่งก่อนหน้านี้ไม่อยู่ในรายการโหลดล่วงหน้า HSTS ได้
คำอธิบาย: ปัญหาในการกำหนดค่าได้รับการแก้ไขแล้วด้วยข้อจำกัดเพิ่มเติม
CVE-2019-8834: Rob Sayre (@sayrer)
เพิ่มรายการเมื่อวันที่ 4 เมษายน 2020
CFNetwork Proxies
มีให้สำหรับ: Apple TV 4K และ Apple TV HD
ผลกระทบ: แอพพลิเคชั่นอาจสามารถรับสิทธิ์ในระดับที่สูงขึ้นได้
คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น
CVE-2019-8848: Zhuo Liang จาก Qihoo 360 Vulcan Team
FaceTime
มีให้สำหรับ: Apple TV 4K และ Apple TV HD
ผลกระทบ: การประมวลผลวิดีโอที่ประสงค์ร้ายผ่าน FaceTime อาจทำให้มีการใช้รหัสโดยอำเภอใจ
คำอธิบาย: ปัญหาการอ่านนอกขอบเขตได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2019-8830: natashenka จาก Google Project Zero
เคอร์เนล
มีให้สำหรับ: Apple TV 4K และ Apple TV HD
ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วโดยลบรหัสที่มีความเสี่ยง
CVE-2019-8833: Ian Beer จาก Google Project Zero
เคอร์เนล
มีให้สำหรับ: Apple TV 4K และ Apple TV HD
ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2019-8828: Cim Stordal จาก Cognite
CVE-2019-8838: Dr Silvio Cesare จาก InfoSect
libexpat
มีให้สำหรับ: Apple TV 4K และ Apple TV HD
ผลกระทบ: การแยกวิเคราะห์ไฟล์ XML ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้เกิดการเปิดเผยข้อมูลของผู้ใช้
คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วโดยการอัพเดท Expat ให้เป็นเวอร์ชั่น 2.2.8
CVE-2019-15903: Joonun Jang
libpcap
มีให้สำหรับ: Apple TV 4K และ Apple TV HD
ผลกระทบ: มีปัญหาหลายประการใน libpcap
คำอธิบาย: ปัญหาหลายประการได้รับการแก้ไขแล้วโดยการอัพเดทเป็น libpcap เวอร์ชั่น 1.9.1
CVE-2019-15161
CVE-2019-15162
CVE-2019-15163
CVE-2019-15164
CVE-2019-15165
เพิ่มรายการเมื่อวันที่ 6 เมษายน 2020
ความปลอดภัย
มีให้สำหรับ: Apple TV 4K และ Apple TV HD
ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์ในระดับระบบได้โดยอำเภอใจ
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2019-8832: Insu Yun จาก SSLab ที่ Georgia Tech
WebKit
มีให้สำหรับ: Apple TV 4K และ Apple TV HD
ผลกระทบ: การเข้าดูเว็บไซต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจเปิดเผยไซต์ที่ผู้ใช้เคยเยี่ยมชมได้
คำอธิบาย: มีปัญหาการเปิดเผยข้อมูลในการจัดการ Storage Access API ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงตรรกะให้ดียิ่งขึ้น
CVE-2019-8898: Michael Kleber จาก Google
เพิ่มรายการเมื่อวันที่ 11 กุมภาพันธ์ 2020 อัพเดทเมื่อวันที่ 20 กุมภาพันธ์ 2020
WebKit
มีให้สำหรับ: Apple TV 4K และ Apple TV HD
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2019-8835: บุคคลนิรนามที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro, Mike Zhang จาก Pangu Team
CVE-2019-8844: William Bowling (@wcbowling)
WebKit
มีให้สำหรับ: Apple TV 4K และ Apple TV HD
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: ปัญหา Use-after-free ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2019-8846: Marcin Towalski จาก Cisco Talos
คำขอบคุณพิเศษ
Core Data
เราขอขอบคุณสำหรับความช่วยเหลือจาก natashenka จาก Google Project Zero