tvOS 11.2'nin güvenlik içeriği hakkında
Bu belgede tvOS 11.2'nin güvenlik içeriği açıklanmaktadır.
Apple güvenlik güncellemeleri hakkında
Apple, müşterilerini korumak amacıyla, tam bir inceleme gerçekleştirilene ve yamalar veya sürümler kullanıma sunulana kadar güvenlik sorunlarını açıklamaz, tartışmaz veya onaylamaz. Son sürümler Apple güvenlik güncellemeleri sayfasında listelenmektedir.
Güvenlik hakkında daha fazla bilgi için Apple Ürün Güvenliği sayfasına bakın. Apple ile iletişimlerinizi Apple Ürün Güvenliği PGP Anahtarı'nı kullanarak şifreleyebilirsiniz.
Apple güvenlik belgelerinde güvenlik açıkları mümkün olduğunca CVE Kimliği ile belirtilir.
tvOS 11.2
App Store
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Ayrıcalıklı ağ konumundaki bir saldırgan, App Store'da sahte parola istemleri gönderebilir
Açıklama: Giriş doğrulama işlemi iyileştirilerek bir giriş doğrulama sorunu giderildi.
CVE-2017-7164: Jerry Decime
Otomatik Kilit Açma
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama, yükseltilmiş ayrıcalıklar elde edebilir
Açıklama: Ek doğrulama ile bir yarış durumu sorunu giderildi.
CVE-2017-13905: Samuel Groß (@5aelo)
CFNetwork Oturumu
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bellek bozulması sorunu giderildi.
CVE-2017-7172: Richard Zhu (fluorescence) (Trend Micro'nun Zero Day Initiative programıyla)
CoreAnimation
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama, yükseltilmiş ayrıcalıklarla rastgele kod yürütebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bellek bozulması sorunu giderildi.
CVE-2017-7171: 360 Security (Trend Micro'nun Zero Day Initiative programıyla) ve Tencent Keen Security Lab (@keen_lab) (Trend Micro'nun Zero Day Initiative programıyla)
CoreFoundation
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama, yükseltilmiş ayrıcalıklar elde edebilir
Açıklama: Ek doğrulama ile bir yarış durumu sorunu giderildi.
CVE-2017-7151: Samuel Groß (@5aelo)
IOKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bellek bozulması sorunu giderildi.
CVE-2017-7162: Tencent Keen Security Lab (@keen_lab) (Trend Micro'nun Zero Day Initiative programıyla)
IOSurface
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bellek bozulması sorunu giderildi.
CVE-2017-13861: Google Project Zero'dan Ian Beer
Çekirdek
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bellek bozulması sorunu giderildi.
CVE-2017-13904: Semmle Ltd. şirketinden Kevin Backhouse
Çekirdek
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama çekirdek belleğini okuyabilir (Meltdown)
Açıklama: Spekülatif yürütme ve dolaylı dal tahmini özelliklerini kullanan mikroişlemcilerle çalışan sistemler, veri önbelleğinin yan kanal analizi yoluyla bilgilerin yerel kullanıcı erişimi olan bir saldırgana yetkisiz olarak açıklanmasına izin verebilir.
CVE-2017-5754: Google Project Zero'dan Jann Horn; Graz Teknoloji Üniversitesi'nden Moritz Lipp; Graz Teknoloji Üniversitesi'nden Michael Schwarz; Graz Teknoloji Üniversitesi'nden Daniel Gruss; Cyberus Technology GmbH şirketinden Thomas Prescher; Cyberus Technology GmbH şirketinden Werner Haas; Graz Teknoloji Üniversitesi'nden Stefan Mangard; Paul Kocher; Pennsylvania Üniversitesi ve Maryland Üniversitesi'nden Daniel Genkin; Adelaide Üniversitesi ve Data61'dan Yuval Yarom; Rambus'tan (Şifreleme Araştırmaları Bölümü) Mike Hamburg
Çekirdek
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bellek bozulması sorunu giderildi.
CVE-2017-13862: Apple
CVE-2017-13867: Google Project Zero'dan Ian Beer
CVE-2017-13876: Google Project Zero'dan Ian Beer
Çekirdek
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir
Açıklama: Sınır denetimi iyileştirilerek sınırların dışında okuma sorunu giderildi.
CVE-2017-7173: Brandon Azad
Çekirdek
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir
Açıklama: Belleğin işlenmesi iyileştirilerek türle ilgili bir karışıklık sorunu giderildi.
CVE-2017-13855: Google Project Zero'dan Jann Horn
Çekirdek
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir
Açıklama: Giriş temizleme işlemi iyileştirilerek birden fazla doğrulama sorunu giderildi.
CVE-2017-13865: Google Project Zero'dan Ian Beer
CVE-2017-13868: Brandon Azad
CVE-2017-13869: Google Project Zero'dan Jann Horn
Çekirdek
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Yerel bir kullanıcı, sistemin beklenmedik bir şekilde sonlandırılmasına neden olabilir veya çekirdek belleği okuyabilir
Açıklama: Çekirdekte bir giriş doğrulama sorunu vardı. Giriş doğrulama işlemi iyileştirilerek bu sorun giderildi.
CVE-2017-7154: Google Project Zero'dan Jann Horn
WebKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Belleğin işlenmesi iyileştirilerek birden fazla bellek bozulması sorunu giderildi.
CVE-2017-13885: 360 Security (Trend Micro'nun Zero Day Initiative programıyla)
WebKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Belleğin işlenmesi iyileştirilerek birden çok bellek bozulması sorunu giderildi.
CVE-2017-7165: 360 Security (Trend Micro'nun Zero Day Initiative programıyla)
WebKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Belleğin işlenmesi iyileştirilerek birden fazla bellek bozulması sorunu giderildi.
CVE-2017-13884: 360 Security (Trend Micro'nun Zero Day Initiative programıyla)
WebKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlarla oluşturulmuş bir web sitesinin ziyaret edilmesi kullanıcı arabirimi sahteciliğine yol açabilir
Açıklama: 401 Yetkili Değil hatasına gönderilen yeniden yönlendirme yanıtları, kötü amaçlarla oluşturulmuş bir web sitesinin karışık içeriklerde hatalı şekilde kilit simgesini görüntülemesine izin verebilir. URL görüntüleme mantığı iyileştirilerek bu sorun giderildi.
CVE-2017-7153: Jerry Decime
WebKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Belleğin işlenmesi iyileştirilerek birden fazla bellek bozulması sorunu giderildi.
CVE-2017-7156: Ant-financial Light-Year Security Lab'den Yuan Deng
CVE-2017-7157: anonim bir araştırmacı
CVE-2017-13856: Jeonghoon Shin
CVE-2017-13870: Tencent Keen Security Lab (@keen_lab) (Trend Micro'nun Zero Day Initiative programıyla)
CVE-2017-7160: Richard Zhu (fluorescence) (Trend Micro'nun Zero Day Initiative programıyla)
CVE-2017-13866: Tencent Keen Security Lab (@keen_lab) (Trend Micro'nun Zero Day Initiative programıyla)
Wi-Fi
İlgili ürünler: Apple TV (4. nesil)
Etki: Wi-Fi kapsama alanındaki bir saldırgan, WPA çoklu yayın/GTK istemcilerinde yeniden "nonce" kullanımını zorlayabilir (Anahtar Yeniden Yükleme Saldırıları - KRACK)
Açıklama: Durum geçişlerinin işlenmesinde bir mantık sorunu vardı. Durum yönetimi iyileştirilerek bu sorun giderildi.
CVE-2017-13080: KU Leuven'deki imec-DistriNet grubundan Mathy Vanhoef
Apple tarafından üretilmeyen ürünler veya Apple tarafından denetlenmeyen veya test edilmeyen bağımsız web siteleri hakkındaki bilgiler bir öneri veya onay niteliği taşımadan sunulmuştur. Üçüncü taraf web sitelerinin veya ürünlerinin seçilmesi, performansı veya kullanılması konusunda Apple hiçbir sorumluluk kabul etmez. Apple, üçüncü taraf web sitelerinin doğruluğu veya güvenilirliğiyle ilgili herhangi bir beyanda bulunmamaktadır. Ek bilgi için tedarikçi ile irtibat kurun.