tvOS 11'in güvenlik içeriği hakkında

Bu belgede tvOS 11'in güvenlik içeriği açıklanmaktadır.

Apple güvenlik güncellemeleri hakkında

Apple, müşterilerini korumak amacıyla, tam bir inceleme gerçekleştirilene ve yamalar veya sürümler kullanıma sunulana kadar güvenlik sorunlarını açıklamaz, tartışmaz veya onaylamaz. Son sürümler Apple güvenlik güncellemeleri sayfasında listelenmektedir.

Güvenlik hakkında daha fazla bilgi için Apple Ürün Güvenliği sayfasına bakın. Apple ile iletişimlerinizi Apple Ürün Güvenliği PGP Anahtarını kullanarak şifreleyebilirsiniz.

Apple güvenlik belgelerinde güvenlik açıkları mümkün olduğunca CVE Kimliği ile belirtilir.

tvOS 11

802.1X

İlgili ürünler: Apple TV (4. nesil)

Etki: Bir saldırgan, TLS 1.0 protokolündeki zayıflıktan yararlanabilir

Açıklama: TLS 1.1 ve TLS 1.2 etkinleştirilerek bir protokol güvenliği sorunu giderildi.

CVE-2017-13832: Florida Devlet Üniversitesi'nden Doug Wussler

CFNetwork

İlgili ürünler: Apple TV (4. nesil)

Etki: Bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2017-13829: Niklas Baumstark ve Samuel Gro (Trend Micro'nun Zero Day Initiative programıyla)

CVE-2017-13833: Niklas Baumstark ve Samuel Gro (Trend Micro'nun Zero Day Initiative programıyla)

CFNetwork Proxy'ler

İlgili ürünler: Apple TV (4. nesil)

Etki: Ayrıcalıklı ağ konumundaki bir saldırgan, servis reddine neden olabilir

Açıklama: Belleğin işlenmesi iyileştirilerek birden fazla servis reddi sorunu giderildi.

CVE-2017-7083: Zscaler Inc. şirketinden Abhinav Bansal

CoreAudio

İlgili ürünler: Apple TV (4. nesil)

Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir

Açıklama: Opus 1.1.4 sürümüne güncelleme yapılarak, sınırların dışında okuma sorunu giderildi.

CVE-2017-0381: Trend Micro, Mobile Threat Research Team'den V.E.O (@VYSEa)

CoreText

İlgili ürünler: Apple TV (4. nesil)

Etki: Kötü amaçlarla oluşturulmuş bir font dosyasının işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek tüketimi sorunu giderildi.

CVE-2017-13825: Avustralya Siber Güvenlik Merkezi - Avustralya Sinyal Başkanlığı

file

İlgili ürünler: Apple TV (4. nesil)

Etki: file'da birden fazla sorun

Açıklama: Yazılım 5.31 sürümüne güncellenerek birden fazla sorun giderildi.

CVE-2017-13815: OSS-Fuzz tarafından bulundu

Fontlar

İlgili ürünler: Apple TV (4. nesil)

Açıklama: Güvenilmeyen metinlerin işlenmesi sahteciliğe yol açabilir

Açıklama: Durum yönetimi iyileştirilerek tutarsız kullanıcı arabirimi sorunu giderildi.

CVE-2017-13828: Google Chrome'dan Leonard Grey ve Robert Sesek

HFS

İlgili ürünler: Apple TV (4. nesil)

Etki: Bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2017-13830: Bochum Ruhr Üniversitesi'nden Sergej Schumilo

ImageIO

İlgili ürünler: Apple TV (4. nesil)

Etki: Kötü amaçlarla oluşturulmuş bir görüntünün işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2017-13814: Avustralya Siber Güvenlik Merkezi - Avustralya Sinyal Başkanlığı

ImageIO

İlgili ürünler: Apple TV (4. nesil)

Etki: Kötü amaçlarla oluşturulmuş bir görüntünün işlenmesi servis reddine neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2017-13831: Glen Carmichael

Çekirdek

İlgili ürünler: Apple TV (4. nesil)

Etki: Yerel bir kullanıcı çekirdek belleğini okuyabilir

Açıklama: Çekirdek belleğinin açığa çıkmasına neden olan bir sınırların dışında okuma sorunu vardı. Girdi doğrulama işlemi iyileştirilerek bu sorun giderildi.

CVE-2017-13817: Maxime Villard (m00nbsd)

Çekirdek

İlgili ürünler: Apple TV (4. nesil)

Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir

Açıklama: Giriş temizleme işlemi iyileştirilerek bir doğrulama sorunu giderildi.

CVE-2017-13818: Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC)

CVE-2017-13836: Vlad Tsyrklevich

CVE-2017-13841: Vlad Tsyrklevich

CVE-2017-13840: Vlad Tsyrklevich

CVE-2017-13842: Vlad Tsyrklevich

CVE-2017-13782: anonim bir araştırmacı

Çekirdek

İlgili ürünler: Apple TV (4. nesil)

Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2017-13843: anonim bir araştırmacı, anonim bir araştırmacı

Çekirdek

İlgili ürünler: Apple TV (4. nesil)

Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2017-7114: MWR InfoSecurity'den Alex Plaskett

Çekirdek

İlgili ürünler: Apple TV (4. nesil)

Etki: Bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2017-13854: Qihoo 360 Nirvan Team'den shrek_wzw

Çekirdek

İlgili ürünler: Apple TV (4. nesil)

Etki: Hatalı bir mach ikili dosyasının işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Doğrulama işlemi iyileştirilerek bellek bozulması sorunu giderildi.

CVE-2017-13834: Maxime Villard (m00nbsd)

Çekirdek

İlgili ürünler: Apple TV (4. nesil)

Etki: Kötü amaçlı bir uygulama aygıttaki diğer uygulamaların varlığı ve çalışması ile ilgili bilgiler edinebilir.

Açıklama: Bir uygulama, işletim sistemi tarafından tutulan ağ etkinliği bilgilerine sınırlama olmaksızın erişebiliyordu. Üçüncü taraf uygulamaların erişebileceği bilgiler azaltılarak bu sorun giderildi.

CVE-2017-13873: Ohio Devlet Üniversitesi'nden Xiaokuan Zhang ve Yinqian Zhang, Bloomington Indiana Üniversitesi'nden Xueqiang Wang ve XiaoFeng Wang, Tsinghua Üniversitesi'nden Xiaolong Bai

libarchive

İlgili ürünler: Apple TV (4. nesil)

Etki: Kötü amaçlarla oluşturulmuş bir arşivin açılması rastgele kod yürütülmesine neden olabilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir arabellek taşması sorunu giderildi.

CVE-2017-13813: OSS-Fuzz tarafından bulundu

CVE-2017-13816: OSS-Fuzz tarafından bulundu

libarchive

İlgili ürünler: Apple TV (4. nesil)

Etki: Kötü amaçlarla oluşturulmuş bir arşivin açılması rastgele kod yürütülmesine neden olabilir

Açıklama: libarchive'da birden fazla bellek bozulması sorunu vardı. Giriş doğrulama işlemi iyileştirilerek bu sorunlar giderildi.

CVE-2017-13812: OSS-Fuzz tarafından bulundu

libc

İlgili ürünler: Apple TV (4. nesil)

Etki: Uzaktaki bir saldırgan, servis reddine neden olabilir

Açıklama: Algoritma iyileştirilerek glob()'daki kaynak tükenmesi sorunu giderildi.

CVE-2017-7086: Google'dan Russ Cox

libc

İlgili ürünler: Apple TV (4. nesil)

Etki: Bir uygulama, servis reddine neden olabilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek tüketimi sorunu giderildi.

CVE-2017-1000373

libexpat

İlgili ürünler: Apple TV (4. nesil)

Etki: expat'te birden fazla sorun

Açıklama: Yazılım 2.2.1 sürümüne güncellenerek birden fazla sorun giderildi.

CVE-2016-9063

CVE-2017-9233

libxml2

İlgili ürünler: Apple TV (4. nesil)

Etki: Kötü amaçlarla oluşturulmuş bir XML dosyasının işlenmesi, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

Açıklama: Bellek yönetimi iyileştirilerek, boşaltılan belleğin kullanılmasıyla ilgili bir sorun giderildi.

CVE-2017-9049: Singapur'daki Nanyang Teknoloji Üniversitesi'nden Wei Lei ve Liu Yang

libxml2

İlgili ürünler: Apple TV (4. nesil)

Etki: Kötü amaçlarla oluşturulmuş bir XML dosyasının işlenmesi, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir arabellek taşması sorunu giderildi.

CVE-2017-5130: anonim bir araştırmacı

CVE-2017-7376: anonim bir araştırmacı

libxml2

İlgili ürünler: Apple TV (4. nesil)

Etki: Kötü amaçlarla oluşturulmuş bir XML dosyasının işlenmesi, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2017-9050: Google Project Zero'dan Mateusz Jurczyk (j00ru)

Göz At

İlgili ürünler: Apple TV (4. nesil)

Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir

Açıklama: Giriş temizleme işlemi iyileştirilerek bir doğrulama sorunu giderildi.

CVE-2017-13822: Avustralya Siber Güvenlik Merkezi - Avustralya Sinyal Başkanlığı

Güvenlik

İlgili ürünler: Apple TV (4. nesil)

Etki: İptal edilmiş bir sertifikaya güvenilebilir

Açıklama: İptal verilerinin işlenmesinde bir sertifika doğrulama sorunu vardı. Doğrulama işlemi iyileştirilerek bu sorun giderildi.

CVE-2017-7080: anonim bir araştırmacı, adesso mobile solutions gmbh'den Sven Driemecker, Bærum kommune'den Rune Darrud (@theflyingcorpse), anonim bir araştırmacı

SQLite

İlgili ürünler: Apple TV (4. nesil)

Etki: SQLite'ta birden fazla sorun

Açıklama: Yazılım 3.19.3 sürümüne güncellenerek birden fazla sorun giderildi.

CVE-2017-10989: OSS-Fuzz tarafından bulundu

CVE-2017-7128: OSS-Fuzz tarafından bulundu

CVE-2017-7129: OSS-Fuzz tarafından bulundu

CVE-2017-7130: OSS-Fuzz tarafından bulundu

SQLite

İlgili ürünler: Apple TV (4. nesil)

Etki: Bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2017-7127: anonim bir araştırmacı

WebKit

İlgili ürünler: Apple TV (4. nesil)

Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2017-7081: Apple

WebKit

İlgili ürünler: Apple TV (4. nesil)

Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Belleğin işlenmesi iyileştirilerek birden fazla bellek bozulması sorunu giderildi.

CVE-2017-7087: Apple

CVE-2017-7091: Baidu Security Lab'den Wei Yuan (Trend Micro'nun Zero Day Initiative programıyla)

CVE-2017-7092: Qihoo 360 Vulcan Team'den Qixun Zhao (@S0rryMybad), Samuel Gro ve Niklas Baumstark (Trend Micro'nun Zero Day Initiative programıyla)

CVE-2017-7093: Samuel Gro ve Niklas Baumstark (Trend Micro'nun Zero Day Initiative programıyla)

CVE-2017-7094: Leviathan Security Group'tan Tim Michaud (@TimGMichaud)

CVE-2017-7095: Nanyang Teknoloji Üniversitesi'nden Wang Junjie, Wei Lei ve Liu Yang (Trend Micro'nun Zero Day Initiative programıyla)

CVE-2017-7096: Baidu Security Lab'den Wei Yuan

CVE-2017-7098: Instituto Tecnológico de Aeronáutica'dan Felipe Freitas

CVE-2017-7099: Apple

CVE-2017-7100: Cure53'ten Masato Kinugawa ve Mario Heiderich

CVE-2017-7102: Nanyang Teknoloji Üniversitesi'nden Wang Junjie, Wei Lei ve Liu Yang

CVE-2017-7104: Baidu Security Lab'den likemeng

CVE-2017-7107: Nanyang Teknoloji Üniversitesi'nden Wang Junjie, Wei Lei ve Liu Yang

CVE-2017-7111: Baidu Security Lab'den (xlab.baidu.com) likemeng (Trend Micro'nun Zero Day Initiative programıyla)

CVE-2017-7117: Google Project Zero'dan lokihardt

CVE-2017-7120: Ant-financial Light-Year Security Lab'den chenqin (陈钦)

WebKit

İlgili ürünler: Apple TV (4. nesil)

Etki: Bir kaynağa ait olan çerezler başka bir kaynağa gönderilebilir

Açıklama: Web tarayıcısı çerezlerinin işlenmesiyle ilgili bir izin sorunu vardı. Artık özel URL düzenleri için çerez döndürülmemesi sağlanarak bu sorun giderildi.

CVE-2017-7090: Apple

WebKit

İlgili ürünler: Apple TV (4. nesil)

Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi siteler arası betik saldırısına neden olabilir

Açıklama: Uygulama Önbelleği politikası beklenmedik bir şekilde uygulanabilir.

CVE-2017-7109: avlidienbrunn

Wi-Fi

İlgili ürünler: Apple TV (4. nesil)

Etki: Kapsama alanındaki bir saldırgan, Wi-Fi çipi üzerinde rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2017-11120: Google Project Zero'dan Gal Beniamini

CVE-2017-11121: Google Project Zero'dan Gal Beniamini

Wi-Fi

İlgili ürünler: Apple TV (4. nesil)

Etki: Wi-Fi çipinde kötü amaçlı kod yürütülmesi, uygulama işlemcisinde çekirdek ayrıcalıklarıyla rastgele kod yürütülmesine neden olabilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2017-7103: Google Project Zero'dan Gal Beniamini

CVE-2017-7105: Google Project Zero'dan Gal Beniamini

CVE-2017-7108: Google Project Zero'dan Gal Beniamini

CVE-2017-7110: Google Project Zero'dan Gal Beniamini

CVE-2017-7112: Google Project Zero'dan Gal Beniamini

Wi-Fi

İlgili ürünler: Apple TV (4. nesil)

Etki: Wi-Fi çipinde kötü amaçlı kod yürütülmesi, uygulama işlemcisinde çekirdek ayrıcalıklarıyla rastgele kod yürütülmesine neden olabilir

Açıklama: Doğrulama işlemi iyileştirilerek birden fazla yarış durumu giderildi.

CVE-2017-7115: Google Project Zero'dan Gal Beniamini

Wi-Fi

İlgili ürünler: Apple TV (4. nesil)

Etki: Wi-Fi çipinde kötü amaçlı kod yürütülmesi, sınırlanmış çekirdek belleğinin okunmasına neden olabilir

Açıklama: Giriş temizleme işlemi iyileştirilerek bir doğrulama sorunu giderildi.

CVE-2017-7116: Google Project Zero'dan Gal Beniamini

Wi-Fi

İlgili ürünler: Apple TV (4. nesil)

Etki: Kapsama alanındaki bir saldırgan, Wi-Fi yonga ailesinden sınırlanmış belleği okuyabilir

Açıklama: Giriş temizleme işlemi iyileştirilerek bir doğrulama sorunu giderildi.

CVE-2017-11122: Google Project Zero'dan Gal Beniamini

zlib

İlgili ürünler: Apple TV (4. nesil)

Etki: zlib'de birden fazla sorun

Açıklama: Yazılım 1.2.11 sürümüne güncellenerek birden fazla sorun giderildi.

CVE-2016-9840

CVE-2016-9841

CVE-2016-9842

CVE-2016-9843

Ek teşekkür listesi

Güvenlik

Zscaler Inc. şirketinden Abhinav Bansal'a desteği için teşekkür ederiz.

WebKit

The City School, PAF Chapter'dan Rayyan Bijoora'ya (@Bijoora) desteği için teşekkür ederiz.