Informazioni sui contenuti di sicurezza di tvOS 15

In questo documento vengono descritti i contenuti di sicurezza di tvOS 15.

Informazioni sugli aggiornamenti di sicurezza Apple

Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Puoi trovare un elenco delle versioni più recenti alla pagina Aggiornamenti di sicurezza Apple.

Quando possibile, i documenti di sicurezza Apple utilizzano gli ID CVE per indicare le vulnerabilità.

Per ulteriori informazioni sulla sicurezza, consulta questo articolo sulla sicurezza dei prodotti Apple.

tvOS 15

Accessory Manager

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.

Descrizione: un problema di consumo della memoria è stato risolto attraverso una migliore gestione della memoria.

CVE-2021-30837: Siddharth Aeri (@b1n4r1b01)

Apple Neural Engine

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: un'applicazione dannosa può eseguire codice arbitrario con privilegi di sistema.

Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore gestione della memoria.

CVE-2021-30838: proteas wang

bootp

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: un dispositivo può essere monitorato passivamente attraverso l'indirizzo MAC Wi-Fi.

Descrizione: un problema di privacy dell'utente è stato risolto rimuovendo l'indirizzo MAC broadcast.

CVE-2021-30866: Fabien Duchêne di UCLouvain (Belgio)

CoreAudio

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: l'elaborazione di un file audio dannoso può causare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.

Descrizione: un problema logico è stato risolto attraverso una migliore gestione dello stato.

CVE-2021-30834: JunDong Xie di Ant Security Light-Year Lab

CoreGraphics

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: l'elaborazione di un'immagine dannosa può causare l'esecuzione di codice arbitrario.

Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore convalida dell'input.

CVE-2021-30928: Mickey Jin (@patch1t) di Trend Micro

FontParser

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: l'elaborazione di un font dannoso può causare la divulgazione della memoria dei processi.

Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.

CVE-2021-30831: Xingwei Lin di Ant Security Light-Year Lab

FontParser

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: l'elaborazione di un file con estensione dfont dannoso può causare l'esecuzione di codice arbitrario.

Descrizione: il problema è stato risolto attraverso migliori controlli.

CVE-2021-30840: Xingwei Lin di Ant Security Light-Year Lab

FontParser

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: l'elaborazione di un file con estensione dfont dannoso può causare l'esecuzione di codice arbitrario.

Descrizione: il problema è stato risolto attraverso migliori controlli.

CVE-2021-30841: Xingwei Lin di Ant Security Light-Year Lab

CVE-2021-30842: Xingwei Lin di Ant Security Light-Year Lab

CVE-2021-30843: Xingwei Lin di Ant Security Light-Year Lab

Foundation

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: l'elaborazione di contenuti web dannosi può causare l'esecuzione di codice arbitrario.

Descrizione: un problema di confusione dei tipi è stato risolto attraverso una migliore gestione della memoria.

CVE-2021-30852: Yinyi Wu (@3ndy1) di Ant Security Light-Year Lab

ImageIO

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: l'elaborazione di un'immagine dannosa può causare l'esecuzione di codice arbitrario.

Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore convalida dell'input.

CVE-2021-30814: hjy79425575

ImageIO

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: l'elaborazione di un'immagine dannosa può causare l'esecuzione di codice arbitrario.

Descrizione: il problema è stato risolto attraverso migliori controlli.

CVE-2021-30835: Ye Zhang di Baidu Security

CVE-2021-30847: Mike Zhang di Pangu Lab

Kernel

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: un'applicazione dannosa può eseguire codice arbitrario con privilegi kernel.

Descrizione: una race condition è stata risolta attraverso un blocco migliore.

CVE-2021-30857: Manish Bhatt di Red Team X @Meta, Zweig di Kunlun Lab

libexpat

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: un malintenzionato collegato in remoto può causare una negazione del servizio.

Descrizione: questo problema è stato risolto attraverso l'aggiornamento di expat alla versione 2.4.1.

CVE-2013-0340: un ricercatore anonimo

Preferences

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: un'applicazione può accedere a file con restrizioni.

Descrizione: si verificava un problema di convalida nella gestione dei link simbolici. Questo problema è stato risolto attraverso una migliore convalida dei link simbolici.

CVE-2021-30855: Zhipeng Huo (@R3dF09) e Yuebin Sun (@yuebinsun2020) di Tencent Security Xuanwu Lab (xlab.tencent.com)

Preferences

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: un processo sandbox può essere in grado di eludere le restrizioni della sandbox.

Descrizione: un problema logico è stato risolto attraverso una migliore gestione dello stato.

CVE-2021-30854: Zhipeng Huo (@R3dF09) e Yuebin Sun (@yuebinsun2020) di Tencent Security Xuanwu Lab (xlab.tencent.com)

Sandbox

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: un utente può ottenere l'accesso a parti protette del file system.

Descrizione: un problema di accesso è stato risolto attraverso migliori restrizioni di accesso.

CVE-2021-30850: un ricercatore anonimo

Sandbox

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: un'applicazione dannosa può essere in grado di modificare parti protette del file system.

Descrizione: il problema è stato risolto attraverso migliori controlli.

CVE-2021-30808: Csaba Fitzl (@theevilbit) di Offensive Security

WebKit

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: un sito web dannoso può consentire l'esfiltrazione multiorigine dei dati.

Descrizione: si verificava un problema nella specifica per l'API Resource Timing. La specifica è stata aggiornata; la specifica aggiornata è stata implementata.

CVE-2021-30897: un ricercatore anonimo

WebKit

Disponibile per: Apple TV 4K e Apple TV

Impatto: l'accesso a un sito web pericoloso può mostrare la cronologia di navigazione di un utente.

Descrizione: il problema è stato risolto con restrizioni aggiuntive della composizione di CSS.

CVE-2021-30884: un ricercatore anonimo

WebKit

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: l'elaborazione di contenuti web dannosi può causare l'esecuzione di codice arbitrario.

Descrizione: un problema di confusione dei tipi è stato risolto attraverso una migliore gestione dello stato.

CVE-2021-30818: Amar Menezes (@amarekano) di Zon8Research

WebKit

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: un utente malintenzionato in una posizione privilegiata nella rete potrebbe riuscire a bypassare il protocollo HSTS.

Descrizione: un problema logico è stato risolto attraverso migliori limitazioni.

CVE-2021-30823: David Gullasch di Recurity Labs

WebKit

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: l'elaborazione di un file audio pericoloso può divulgare la memoria con restrizioni.

Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.

CVE-2021-30836: Peter Nguyen Vu Hoang di STAR Labs

WebKit

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: l'elaborazione di contenuti web dannosi può causare l'esecuzione di codice arbitrario.

Descrizione: un problema di tipo use-after-free è stato risolto attraverso una migliore gestione della memoria.

CVE-2021-30809: un ricercatore anonimo

WebKit

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: l'elaborazione di contenuti web dannosi può causare l'esecuzione di codice arbitrario.

Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore gestione della memoria.

CVE-2021-30846: Sergei Glazunov di Google Project Zero

WebKit

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: l'elaborazione di contenuti web dannosi può causare l'esecuzione di codice arbitrario.

Descrizione: diversi problemi di danneggiamento della memoria sono stati risolti attraverso una migliore gestione della memoria.

CVE-2021-30849: Sergei Glazunov di Google Project Zero

WebKit

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: l'elaborazione di contenuti web dannosi può causare l'esecuzione di codice.

Descrizione: una vulnerabilità al danneggiamento della memoria è stata risolta attraverso un blocco migliore.

CVE-2021-30851: Samuel Groß di Google Project Zero

Wi-Fi

Disponibile per: Apple TV 4K e Apple TV HD

Impatto: un utente malintenzionato in prossimità fisica può riuscire a forzare la connessione di un utente a una rete Wi-Fi dannosa durante l'impostazione del dispositivo.

Descrizione: un problema di autorizzazione è stato risolto attraverso una migliore gestione dello stato.

CVE-2021-30810: Peter Scott

Altri riconoscimenti

Assets

Ringraziamo Cees Elzinga per l'assistenza.

bootp

Ringraziamo Alexander Burke di alexburke.ca per l'assistenza.

Kernel

Ringraziamo Joshua Baums di Informatik Baums per l'assistenza.

UIKit

Ringraziamo Jason Rendel di Diligent per l'assistenza.

WebKit

Ringraziamo un ricercatore anonimo e Nikhil Mittal (@c0d3G33k) per l'assistenza.

Wi-Fi

Ringraziamo Peter Scott per l'assistenza.