tvOS 13.4.8'in güvenlik içeriği hakkında

Bu belgede tvOS 13.4.8'in güvenlik içeriği açıklanmaktadır.

Apple güvenlik güncellemeleri hakkında

Apple, müşterilerini korumak amacıyla, tam bir inceleme gerçekleştirilene ve yamalar veya sürümler kullanıma sunulana kadar güvenlik sorunlarını açıklamaz, tartışmaz veya onaylamaz. Son sürümler Apple güvenlik güncellemeleri sayfasında listelenmektedir.

Apple güvenlik belgelerinde güvenlik açıkları mümkün olduğunca CVE Kimliği ile belirtilir.

Güvenlik hakkında daha fazla bilgi için Apple Ürün Güvenliği sayfasına bakın.

tvOS 13.4.8

Audio

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş bir ses dosyasının işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Sınır denetimi iyileştirilerek sınırların dışında yazma sorunu giderildi.

CVE-2020-9884: 小鸡帮 şirketinden Yu Zhou (@yuzhou6666) (Trend Micro'nun Zero Day Initiative programıyla)

CVE-2020-9889: Anonim bir kişi (Trend Micro'nun Zero Day Initiative programıyla), Ant-Financial Light-Year Security Lab'den JunDong Xie ve XingWei Lin

Audio

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş bir ses dosyasının işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Sınır denetimi iyileştirilerek sınırların dışında okuma sorunu giderildi.

CVE-2020-9888: Ant-Financial Light-Year Security Lab'den JunDong Xie ve XingWei Lin

CVE-2020-9890: Ant-Financial Light-Year Security Lab'den JunDong Xie ve XingWei Lin

CVE-2020-9891: Ant-Financial Light-Year Security Lab'den JunDong Xie ve XingWei Lin

AVEVideoEncoder

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Savunmasız kod kaldırılarak bir bellek bozulması sorunu giderildi.

CVE-2020-9907: ZecOps'tan 08Tc3wBB

CoreGraphics

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş bir görüntünün işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir arabellek taşması sorunu giderildi.

CVE-2020-9883: anonim bir araştırmacı, Trend Micro'dan Mickey Jin

Crash Reporter

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlı bir uygulama, korumalı alanını ihlal edebilir

Açıklama: Savunmasız kod kaldırılarak bir bellek bozulması sorunu giderildi.

CVE-2020-9865: 360 BugCloud ile birlikte çalışan, Qihoo 360 Vulcan Team'den Zhuo Liang

Crash Reporter

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Yerel bir saldırgan, ayrıcalıklarını yükseltebilir

Açıklama: Sembolik bağlantıların yol doğrulama mantığında bir sorun vardı. Yol temizleme işlemi iyileştirilerek bu sorun giderildi.

CVE-2020-9900: Qi'anxin Group Legendsec Zero-dayits Team'den Cees Elzinga, Zhongcheng Li (CK01)

FontParser

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş bir font dosyasının işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Sınır denetimi iyileştirilerek sınırların dışında yazma sorunu giderildi.

CVE-2020-9980: Ant Security Light-Year Lab'den XingWei Lin

GeoServices

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlı bir uygulama, gizli konum bilgilerini okuyabilir

Açıklama: Durum yönetimi iyileştirilerek bir yetkilendirme sorunu giderildi.

CVE-2020-9933: Alibaba Inc. şirketinden Min (Spark) Zheng ve Xiaolong Bai

iAP

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Ayrıcalıklı ağ konumundaki bir saldırgan hatalı oluşturulmuş Bluetooth paketlerini kullanarak servis reddi saldırısı gerçekleştirebilir

Açıklama: Bluetooth'ta bir giriş doğrulama sorunu vardı. Giriş doğrulama işlemi iyileştirilerek bu sorun giderildi.

CVE-2020-9914: NCC Group'tan Andy Davis

ImageIO

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş bir görüntünün işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2020-27933: Ant-Financial Light-Year Security Lab'den XingWei Lin

ImageIO

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: openEXR'da birden fazla arabellek taşması sorunu vardı

Açıklama: Denetimler iyileştirilerek openEXR'daki birden fazla sorun giderildi.

CVE-2020-11758: Ant-Financial Light-Year Security Lab'den XingWei Lin

CVE-2020-11759: Ant-Financial Light-Year Security Lab'den XingWei Lin

CVE-2020-11760: Ant-Financial Light-Year Security Lab'den XingWei Lin

CVE-2020-11761: Ant-Financial Light-Year Security Lab'den XingWei Lin

CVE-2020-11762: Ant-Financial Light-Year Security Lab'den XingWei Lin

CVE-2020-11763: Ant-Financial Light-Year Security Lab'den XingWei Lin

CVE-2020-11764: Ant-Financial Light-Year Security Lab'den XingWei Lin

CVE-2020-11765: Ant-Financial Light-Year Security Lab'den XingWei Lin

ImageIO

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş bir görüntünün işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Sınır denetimi iyileştirilerek sınırların dışında yazma sorunu giderildi.

CVE-2020-9871: Ant-Financial Light-Year Security Lab'den XingWei Lin

CVE-2020-9872: Ant-Financial Light-Year Security Lab'den XingWei Lin

CVE-2020-9874: Ant-Financial Light-Year Security Lab'den XingWei Lin

CVE-2020-9879: Ant-Financial Light-Year Security Lab'den XingWei Lin

CVE-2020-9936: Trend Micro'dan Mickey Jin

CVE-2020-9937: Ant-Financial Light-Year Security Lab'den XingWei Lin

ImageIO

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş bir görüntünün işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir arabellek taşması sorunu giderildi.

CVE-2020-9919: Trend Micro'dan Mickey Jin

ImageIO

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş bir PDF dosyasını açmak, uygulamanın beklenmedik şekilde sona ermesine veya rastgele kod yürütülmesine neden olabilir

Açıklama: Sınır denetimi iyileştirilerek sınırların dışında yazma sorunu giderildi.

CVE-2020-9876: Trend Micro'dan Mickey Jin

ImageIO

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş bir görüntünün işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek sınırların dışında okuma sorunu giderildi.

CVE-2020-9873: Ant-Financial Light-Year Security Lab'den XingWei Lin

CVE-2020-9938: Ant-Financial Light-Year Security Lab'den XingWei Lin

CVE-2020-9984: anonim bir araştırmacı

ImageIO

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş bir görüntünün işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Sınır denetimi iyileştirilerek sınırların dışında okuma sorunu giderildi.

CVE-2020-9877: Ant-Financial Light-Year Security Lab'den XingWei Lin

ImageIO

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş bir görüntünün işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek bir tam sayı taşması sorunu giderildi.

CVE-2020-9875: Trend Micro'dan Mickey Jin

Kernel

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Ayrıcalıklı ağ konumundaki bir saldırgan, VPN tünelindeki etkin bağlantılara sızabilir

Açıklama: Sınırlamalar iyileştirilerek bir yönlendirme sorunu giderildi.

CVE-2019-14899: William J. Tolley, Beau Kujath ve Jedidiah R. Crandall

Kernel

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Çekirdek kodunu yürütmeyi başarmış bir saldırgan, çekirdek belleği önlemlerini atlayabilir

Açıklama: Sınır denetimi iyileştirilerek sınırların dışında okuma sorunu giderildi.

CVE-2020-9909: Google Project Zero'dan Brandon Azad

Kernel

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Durum yönetimi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2020-9904: Pangu Lab'den Tielei Wang

Kernel

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek ilklendirme sorunu giderildi.

CVE-2020-9863: Pangu Lab'den Xinru Chi

Kernel

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlı bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Durum yönetimi iyileştirilerek birden fazla bellek bozulması sorunu giderildi.

CVE-2020-9892: Google'dan Andy Nguyen

Kernel

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlı bir uygulama çekirdek belleği yerleşimini belirleyebilir

Açıklama: Sınır denetimi iyileştirilerek sınırların dışında okuma sorunu giderildi.

CVE-2020-9902: Pangu Lab'den Xinru Chi ve Tielei Wang

Kernel

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Uzaktaki bir saldırgan, servis reddine neden olabilir

Açıklama: Sınır denetimi iyileştirilerek bir arabellek taşması sorunu giderildi.

CVE-2020-9905: ZecOps'tan Raz Mashat (@RazMashat)

libxml2

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş bir XML dosyasının işlenmesi, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

Açıklama: Bellek yönetimi iyileştirilerek, boşaltılan belleğin kullanılmasıyla ilgili bir sorun giderildi.

CVE-2020-9926: OSS-Fuzz tarafından bulundu

Model I/O

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş bir USD dosyasının işlenmesi uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

Açıklama: Sınır denetimi iyileştirilerek bir arabellek taşması sorunu giderildi.

CVE-2020-9880: Deutsche Telekom Security'den Holger Fuhrmannek

Model I/O

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş bir USD dosyasının işlenmesi uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir arabellek taşması sorunu giderildi.

CVE-2020-9878: Cisco Talos'tan Aleksandar Nikolic, Deutsche Telekom Security'den Holger Fuhrmannek

CVE-2020-9940: Deutsche Telekom Security'den Holger Fuhrmannek

Security

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Bir saldırgan, yönetici tarafından eklenen bir sertifika için paylaşılan anahtar materyalini kullanarak güvenilir bir web sitesini taklit etmiş olabilir

Açıklama: Yönetici tarafından eklenen sertifikalar işlenirken bir sertifika doğrulama sorunu vardı. Bu sorun, sertifika doğrulama işlemi iyileştirilerek giderildi.

CVE-2020-9868: Asana'dan Brian Wolff

sysdiagnose

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Yerel bir saldırgan, ayrıcalıklarını yükseltebilir

Açıklama: Sembolik bağlantıların yol doğrulama mantığında bir sorun vardı. Yol temizleme işlemi iyileştirilerek bu sorun giderildi.

CVE-2020-9901: Leviathan'dan Tim Michaud (@TimGMichaud), Qi'anxin Group Legendsec Zero-dayits Team'den Zhongcheng Li (CK01)

WebKit

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Uzaktaki bir saldırgan uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek sınırların dışında okuma sorunu giderildi.

CVE-2020-9894: 0011 (Trend Micro'nun Zero Day Initiative programıyla)

WebKit

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi İçerik Güvenliği Politikası'nın uygulanmasını önleyebilir

Açıklama: İçerik Güvenliği Politikası'nda erişim sorunu vardı. Erişim sınırlamaları iyileştirilerek bu sorun giderildi.

CVE-2020-9915: Noon'dan Ayoub AIT ELMOKHTAR

WebKit

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi siteler arası evrensel betik kullanımına neden olabilir

Açıklama: Durum yönetimi iyileştirilerek bir mantık sorunu giderildi.

CVE-2020-9925: anonim bir araştırmacı

WebKit

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Uzaktaki bir saldırgan uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

Açıklama: Bellek yönetimi iyileştirilerek, boşaltılan belleğin kullanılmasıyla ilgili bir sorun giderildi.

CVE-2020-9893: 0011 (Trend Micro'nun Zero Day Initiative programıyla)

CVE-2020-9895: Georgia Tech'teki SSLab'den Wen Xu

WebKit

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Rastgele kod okuyup ve yazabilen kötü amaçlı bir saldırgan, İmleç Kimlik Doğrulaması'nı atlayabilir

Açıklama: Mantık iyileştirilerek birden fazla sorun giderildi.

CVE-2020-9910: Google Project Zero'dan Samuel Groß

WebKit Page Loading

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Kötü amaçlı bir saldırgan, URL hedefini gizleyebilir

Açıklama: Durum yönetimi iyileştirilerek bir URL Unicode kodlama sorunu giderildi.

CVE-2020-9916: Rakesh Mane (@RakeshMane10)

WebKit Web Inspector

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Web Denetleyicisi'nden bir URL'nin kopyalanması komut eklenmesine yol açabilir

Açıklama: Web Denetleyicisi'nde bir komut ekleme sorunu vardı. Kaçış işlemi iyileştirilerek bu sorun giderildi.

CVE-2020-9862: Ophir Lojkine (@lovasoa)

WebRTC

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Ayrıcalıklı ağ konumundaki bir saldırgan, oluşturulmuş bir SCTP yayınıyla yığın bozulmasına (heap corruption) neden olabilir

Açıklama: Durum yönetimi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2020-6514: Google Project Zero'dan natashenka

Wi-Fi

İlgili ürünler: Apple TV 4K ve Apple TV HD

Etki: Uzaktaki bir saldırgan, sistemin beklenmedik şekilde sonlandırılmasına neden olabilir veya çekirdek belleği bozabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek sınırların dışında okuma sorunu giderildi.

CVE-2020-9918: 360 BugCloud (bugcloud.360.cn) ile birlikte çalışan, 360 Alpha Lab'den Jianjun Dai

Ek teşekkür listesi

CoreFoundation

Bobby Pelletier'a yardımı için teşekkür ederiz.

ImageIO

Ant-Financial Light-Year Security Lab'den XingWei Lin'e yardımı için teşekkür ederiz.

Kernel

Google Project Zero'dan Brandon Azad'a yardımı için teşekkür ederiz.