tvOS 12'nin güvenlik içeriği hakkında
Bu belgede tvOS 12'nin güvenlik içeriği açıklanmaktadır.
Apple güvenlik güncellemeleri hakkında
Apple, müşterilerini korumak amacıyla, tam bir inceleme gerçekleştirilene ve yamalar veya sürümler kullanıma sunulana kadar güvenlik sorunlarını açıklamaz, tartışmaz veya onaylamaz. Son sürümler Apple güvenlik güncellemeleri sayfasında listelenmektedir.
Güvenlik hakkında daha fazla bilgi için Apple Ürün Güvenliği Apple ile iletişimlerinizi Apple Ürün Güvenliği PGP Anahtarını kullanarak şifreleyebilirsiniz.
Apple güvenlik belgelerinde güvenlik açıkları mümkün olduğu durumlarda CVE Kimliği ile belirtilir.
tvOS 12
Yayınlanma tarihi: 17 Eylül 2018
Auto Unlock
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlı bir uygulama yerel kullanıcıların Apple Kimliklerine erişebilir
Açıklama: Yetki doğrulamasında bir doğrulama sorunu vardı. İşlem yetkisi doğrulaması iyileştirilerek bu sorun giderildi.
CVE-2018-4321: Alibaba Inc. şirketinden Min (Spark) Zheng ve Xiaolong Bai
Giriş eklenme tarihi: 24 Eylül 2018
Bluetooth
İlgili ürünler: Apple TV (4. nesil)
Etki: Ayrıcalıklı ağ konumundaki bir saldırgan, Bluetooth trafiğini ele geçirebilir
Açıklama: Bluetooth'ta bir giriş doğrulama sorunu vardı. Giriş doğrulama işlemi iyileştirilerek bu sorun giderildi.
CVE-2018-5383: Lior Neumann ve Eli Biham
CFNetwork
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2018-4126: Bruno Keith (@bkth_) (Trend Micro'nun Zero Day Initiative programıyla)
Giriş eklenme tarihi: 30 Ekim 2018
CoreFoundation
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlı bir uygulama, ayrıcalıkları yükseltebilir
Açıklama: Giriş doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2018-4412: Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC)
Giriş eklenme tarihi: 30 Ekim 2018
CoreFoundation
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama, yükseltilmiş ayrıcalıklar elde edebilir
Açıklama: Giriş doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2018-4414: Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC)
Giriş eklenme tarihi: 30 Ekim 2018
CoreText
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlarla oluşturulmuş bir metin dosyasının işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Bellek yönetimi iyileştirilerek, boşaltılan belleğin kullanılmasıyla ilgili bir sorun giderildi.
CVE-2018-4347: Readdle'dan Vasyl Tkachuk
Giriş eklenme tarihi: 30 Ekim 2018, giriş güncellenme tarihi: 18 Aralık 2018
dyld
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlı bir uygulama, dosya sisteminin korumalı bölümlerini değiştirebilir
Açıklama: Ek sınırlamalar getirilerek bir konfigürasyon sorunu giderildi.
CVE-2018-4433: Vitaly Cheptsov
Giriş eklenme tarihi: 22 Ocak 2019
Grand Central Dispatch
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2018-4426: Brandon Azad
Giriş eklenme tarihi: 30 Ekim 2018
Heimdal
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2018-4331: Brandon Azad
CVE-2018-4332: Brandon Azad
CVE-2018-4343: Brandon Azad
Giriş eklenme tarihi: 30 Ekim 2018
IOHIDFamily
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlı bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Giriş doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2018-4408: Google Project Zero'dan Ian Beer
Giriş eklenme tarihi: 30 Ekim 2018, giriş güncellenme tarihi: 1 Ağustos 2019
IOKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlı bir uygulama, korumalı alanını ihlal edebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2018-4341: Google Project Zero'dan Ian Beer
CVE-2018-4354: Google Project Zero'dan Ian Beer
Giriş eklenme tarihi: 30 Ekim 2018
IOKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Durum yönetimi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2018-4383: Apple
Giriş eklenme tarihi: 24 Ekim 2018
IOUserEthernet
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2018-4401: Apple
Giriş eklenme tarihi: 30 Ekim 2018
iTunes Store
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Ayrıcalıklı ağ konumundaki bir saldırgan, iTunes Store'da sahte parola istemleri gönderebilir
Açıklama: Giriş doğrulama işlemi iyileştirilerek bir giriş doğrulama sorunu giderildi.
CVE-2018-4305: Jerry Decime
Kernel
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlı bir uygulama, gizli kullanıcı bilgilerini sızdırabilir
Açıklama: Ayrıcalıklı API çağrılarında bir erişim sorunu vardı. Ek sınırlamalarla bu sorun giderildi.
CVE-2018-4399: Fabiano Anemone (@anoane)
Giriş eklenme tarihi: 30 Ekim 2018
Kernel
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Ayrıcalıklı ağ konumundaki bir saldırgan, rastgele kod yürütebilir
Açıklama: Doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2018-4407: Semmle Ltd. şirketinden Kevin Backhouse
Giriş eklenme tarihi: 30 Ekim 2018
Kernel
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir
Açıklama: Çekirdekte bir giriş doğrulama sorunu vardı. Giriş doğrulama işlemi iyileştirilerek bu sorun giderildi.
CVE-2018-4363: Google Project Zero'dan Ian Beer
Kernel
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2018-4336: Brandon Azad
CVE-2018-4337: Google Project Zero'dan Ian Beer
CVE-2018-4340: Mohamed Ghannam (@_simo36)
CVE-2018-4344: Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC)
CVE-2018-4425: cc (Trend Micro'nun Zero Day Initiative programıyla), Trend Micro'dan Juwei Lin (@panicaII) (Trend Micro'nun Zero Day Initiative programıyla)
Giriş eklenme tarihi: 24 Eylül 2018, giriş güncellenme tarihi: 30 Ekim 2018
Safari
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Yerel bir kullanıcı, bir kullanıcının ziyaret etmiş olduğu web sitelerini bulabilir
Açıklama: Uygulama anlık görüntülerinin işlenmesinde bir tutarlılık sorunu vardı. Uygulama anlık görüntülerinin işlenmesi iyileştirilerek bu sorun giderildi.
CVE-2018-4313: 11 anonim araştırmacı, David Scott, Abdullah Mürşide Özünenek Anadolu Lisesi'nden (Ankara/Türkiye) Enes Mert Ulu, Van Yüzüncü Yıl Üniversitesinden Mehmet Ferit Daştan, Kaliptus Medikal Organizasyon'dan Metin Altuğ Karakaya, Western Governor's Üniversitesinden (WGU) Vinodh Swami
Security
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir saldırgan, RC4 şifreleme algoritmasındaki zayıflıktan yararlanabilir
Açıklama: RC4 kaldırılarak bu sorun giderildi.
CVE-2016-1777: Pepi Zawodsky
Security
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Yerel bir kullanıcı servis reddine neden olabilir
Açıklama: Denetimler iyileştirilerek bu sorun giderildi.
CVE-2018-4395: Digita Security'den Patrick Wardle
Giriş eklenme tarihi: 30 Ekim 2018
Symptom Framework
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir
Açıklama: Sınır denetimi iyileştirilerek sınırların dışında okuma sorunu giderildi.
CVE-2018-4203: Bruno Keith (@bkth_) (Trend Micro'nun Zero Day Initiative programıyla)
Giriş eklenme tarihi: 30 Ekim 2018
Text
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlarla oluşturulmuş bir metin dosyasının işlenmesi servis reddine neden olabilir
Açıklama: Doğrulama işlemi iyileştirilerek bir servis reddi sorunu giderildi.
CVE-2018-4304: jianan.huang (@Sevck)
Giriş eklenme tarihi: 30 Ekim 2018
WebKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Durum yönetimi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2018-4316: crixer, Qihoo 360 Vulcan Team'den Hanming Zhang (@4shitak4)
Giriş eklenme tarihi: 24 Eylül 2018
WebKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlı bir web sitesi kaynaklar arasında görüntü verisi sızdırabilir
Açıklama: Safari'de siteler arası betik kullanımı (cross-site scripting) sorunu vardı. URL doğrulama işlemi iyileştirilerek bu sorun giderildi.
CVE-2018-4345: Jun Kokatsu (@shhnjk)
Giriş eklenme tarihi: 24 Eylül 2018, giriş güncellenme tarihi: 18 Aralık 2018
WebKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Beklenmeyen etkileşimler ASSERT hatasına neden oluyor
Açıklama: Doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2018-4191: OSS-Fuzz tarafından bulundu
Giriş eklenme tarihi: 24 Eylül 2018
WebKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Belleğin işlenmesi iyileştirilerek birden fazla bellek bozulması sorunu giderildi.
CVE-2018-4299: Samuel Groβ (saelo) (Trend Micro'nun Zero Day Initiative programıyla)
CVE-2018-4359: Samuel Groß (@5aelo)
CVE-2018-4323: Google Project Zero'dan Ivan Fratric
CVE-2018-4358: @phoenhex team (@bkth_ @5aelo @_niklasb) (Trend Micro'nun Zero Day Initiative programıyla)
CVE-2018-4328: Google Project Zero'dan Ivan Fratric
Giriş eklenme tarihi: 24 Eylül 2018
WebKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Bellek yönetimi iyileştirilerek, boşaltılan belleğin kullanılmasıyla ilgili bir sorun giderildi.
CVE-2018-4197: Google Project Zero'dan Ivan Fratric
CVE-2018-4318: Google Project Zero'dan Ivan Fratric
CVE-2018-4306: Google Project Zero'dan Ivan Fratric
CVE-2018-4312: Google Project Zero'dan Ivan Fratric
CVE-2018-4314: Google Project Zero'dan Ivan Fratric
CVE-2018-4315: Google Project Zero'dan Ivan Fratric
CVE-2018-4317: Google Project Zero'dan Ivan Fratric
Giriş eklenme tarihi: 24 Eylül 2018
WebKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlı bir web sitesi, farklı bir web sitesi bağlamında betik yürütebilir
Açıklama: Safari'de siteler arası betik kullanımı (cross-site scripting) sorunu vardı. URL doğrulama işlemi iyileştirilerek bu sorun giderildi.
CVE-2018-4309: anonim bir araştırmacı (Trend Micro'nun Zero Day Initiative programıyla)
Giriş eklenme tarihi: 24 Eylül 2018
WebKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Beklenmeyen etkileşimler ASSERT hatasına neden oluyor
Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek tüketimi sorunu giderildi.
CVE-2018-4361: OSS-Fuzz tarafından bulundu
CVE-2018-4474: OSS-Fuzz tarafından bulundu
Giriş eklenme tarihi: 24 Eylül 2018, giriş güncellenme tarihi: 22 Ocak 2019
WebKit
İlgili ürünler: Apple TV 4K ve Apple TV (4. nesil)
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Belleğin işlenmesi iyileştirilerek birden fazla bellek bozulması sorunu giderildi.
CVE-2018-4299: Samuel Groβ (saelo) (Trend Micro'nun Zero Day Initiative programıyla)
CVE-2018-4323: Google Project Zero'dan Ivan Fratric
CVE-2018-4328: Google Project Zero'dan Ivan Fratric
CVE-2018-4358: @phoenhex team (@bkth_ @5aelo @_niklasb) (Trend Micro'nun Zero Day Initiative programıyla)
CVE-2018-4359: Samuel Groß (@5aelo)
CVE-2018-4360: William Bowling (@wcbowling)
Giriş eklenme tarihi: 24 Ekim 2018
Ek teşekkür listesi
Assets
Brandon Azad'a yardımı için teşekkür ederiz.
Core Data
NESO Security Labs GmbH şirketinden Andreas Kurtz'a (@aykay) yardımı için teşekkür ederiz.
Sandbox Profiles
Trend Micro'nun Zero Day Initiative programıyla çalışan Tencent Keen Security Lab'e yardımı için teşekkür ederiz.
SQLite
NESO Security Labs GmbH şirketinden Andreas Kurtz'a (@aykay) yardımı için teşekkür ederiz.
WebKit
Cary Hartline'a, 360 Vulcan Team'den Hanming Zhang'e ve CA Technologies şirketinden Zach Malone'ye yardımları için teşekkür ederiz.
Apple tarafından üretilmeyen ürünler veya Apple tarafından denetlenmeyen ve test edilmeyen bağımsız web siteleri hakkındaki bilgiler bir öneri ya da onay niteliği taşımadan sunulmuştur. Üçüncü taraf web sitelerinin veya ürünlerinin seçilmesi, performansı veya kullanılması konusunda Apple hiçbir sorumluluk kabul etmez. Apple, üçüncü taraf web sitelerinin doğruluğu veya güvenilirliğiyle ilgili herhangi bir beyanda bulunmamaktadır. Ek bilgi için tedarikçi ile irtibat kurun.