關於 tvOS 10.0.1 的安全性內容

本文說明 tvOS 10.0.1 的安全性內容。

關於 Apple 安全性更新

為保障客戶的安全，在完成調查並提供修補程式或版本之前，Apple 不會揭露、討論或確認安全性問題。最新版本列於 Apple 安全性更新頁面上。

如需安全性的詳細資訊，請參閱「Apple 產品安全性」頁面。您可以使用 Apple 產品安全性 PGP 金鑰來加密與 Apple 的通訊。

Apple 安全性文件會盡可能以 CVE-ID 參照漏洞。

tvOS 10.0.1

AppleMobileFileIntegrity

適用於：Apple TV（第 4 代）

影響：已簽署的可執行檔可以相同團隊 ID 取代程式碼

說明：處理程式碼簽名時，出現驗證問題。增加驗證機制後，已解決此問題。

CVE-2016-7584：Google Inc. 的 Mark Mentovai 和 Boris Vidolov

CFNetwork 代理伺服器

適用於：Apple TV（第 4 代）

影響：具有權限之網路位置的攻擊者可能得以洩漏機密使用者資訊

說明：處理代理伺服器認證資訊時，出現網路釣魚問題。移除未經請求的代理伺服器密碼驗證提示後，已解決此問題。

CVE-2016-7579：Jerry Decime

CoreGraphics

適用於：Apple TV（第 4 代）

影響：檢視惡意製作的 JPEG 檔案，可能導致執行任意程式碼

說明：改進記憶體處理機制後，已解決記憶體損毀問題。

CVE-2016-4673：騰訊 KeenLab（@keen_lab）的 Marco Grassi（@marcograss）

FontParser

適用於：Apple TV（第 4 代）

影響：剖析惡意製作的字體可能會洩露敏感的使用者資訊

說明：改進界限檢查機制後，已解決超出界限的讀取問題。

CVE-2016-4660：騰訊宣武實驗室的 Ke Liu

FontParser

適用於：Apple TV（第 4 代）

影響：處理惡意製作的字體檔案，可能導致執行任意程式碼

說明：處理字體檔案時，出現緩衝區溢位。改進界限檢查機制後，已解決此問題。

CVE-2016-4688：支付寶公司的 Simon Huang，thelongestusernameofall@gmail.com

核心

適用於：Apple TV（第 4 代）

影響：應用程式可能得以揭露核心記憶體

說明：改進輸入的處理方式後，已解決驗證問題。

CVE-2016-4680：Lookout 和 in7egral 的 Max Bazaliy

核心

適用於：Apple TV（第 4 代）

影響：本機應用程式可能以根權限執行任意程式碼

說明：增生新程序時出現多個物件期限問題。改進驗證機制後，已解決這些問題。

CVE-2016-7613：Google Project Zero 的 Ian Beer

libarchive

適用於：Apple TV（第 4 代）

影響：惡意封存可能會覆寫任意檔案

說明：符號連結的路徑驗證邏輯有問題。改進路徑的處理方式後，已解決此問題。

CVE-2016-4679：enSilo Ltd 的 Omer Medan

libxpc

適用於：Apple TV（第 4 代）

影響：應用程式可能以根權限執行任意程式碼

說明：增加限制機制後，已解決邏輯問題。

CVE-2016-4675：Google Project Zero 的 Ian Beer

沙箱描述檔

適用於：Apple TV（第 4 代）

影響：應用程式可能擷取照片目錄的元資料

說明：在第三方應用程式中增加沙箱限制後，已解決存取問題。

CVE-2016-4664：Razvan Deaconescu、Mihai Chiroiu（University POLITEHNICA of Bucharest）；Luke Deshotels、William Enck（North Carolina State University）；Lucas Vincenzo Davi、Ahmad-Reza Sadeghi（TU Darmstadt）

沙箱描述檔

適用於：Apple TV（第 4 代）

影響：應用程式可能擷取音訊錄製目錄的元資料

說明：在第三方應用程式中增加沙箱限制後，已解決存取問題。

CVE-2016-4665：Razvan Deaconescu、Mihai Chiroiu（University POLITEHNICA of Bucharest）；Luke Deshotels、William Enck（North Carolina State University）；Lucas Vincenzo Davi、Ahmad-Reza Sadeghi（TU Darmstadt）

系統啟動

適用於：Apple TV（第 4 代）

影響：本機使用者可能引發系統意外終止或執行核心中的任意程式碼

說明：MIG 產生碼出現多個輸入驗證問題。改進驗證機制後，已解決這些問題。

CVE-2016-4669：Google Project Zero 的 Ian Beer

WebKit

適用於：Apple TV（第 4 代）

影響：處理惡意製作的網頁內容，可能導致使用者資訊外洩

說明：改進狀態管理機制後，已解決輸入驗證問題。

CVE-2016-4613：Chris Palmer

WebKit

適用於：Apple TV（第 4 代）

影響：處理惡意製作的網頁內容可能導致執行任意程式碼

說明：改進記憶體處理機制後，已解決多個記憶體損毀問題。

CVE-2016-4666：Apple

CVE-2016-4677：與 Trend Micro 的 Zero Day Initiative 計劃合作的匿名研究員

WebKit

適用於：Apple TV（第 4 代）

影響：處理惡意製作的網頁內容可能導致執行任意程式碼

說明：改進記憶體處理機制後，已解決多個記憶體損毀問題。

CVE-2016-7578：Apple