Over de beveiligingsinhoud van tvOS 17.6

In dit document wordt de beveiligingsinhoud van tvOS 17.6 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsreleases.

Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

tvOS 17.6

AppleMobileFileIntegrity

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: een app kan mogelijk privacyvoorkeuren omzeilen

Beschrijving: een downgradeprobleem is verholpen door aanvullende codeondertekeningsbeperkingen.

CVE-2024-40774: Mickey Jin (@patch1t)

CoreGraphics

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: het verwerken van een kwaadwillig vervaardigd bestand kan leiden tot het onverwacht beëindigen van de app

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2024-40799: D4m0n

dyld

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: een kwaadwillige aanvaller met willekeurige lees- en schrijfcapaciteiten kan Pointer Authentication omzeilen

Beschrijving: een race condition is verholpen met aanvullende validatie.

CVE-2024-40815: w0wbox

Delen met gezin

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: een app kan vertrouwelijke locatiegegevens lezen

Beschrijving: dit probleem is verholpen door middel van verbeterde gegevensbescherming.

CVE-2024-40795: Csaba Fitzl (@theevilbit) van Kandji

ImageIO

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: het verwerken van een afbeelding kan leiden tot een denial-of-service

Beschrijving: dit is een kwetsbaarheid in opensourcecode en Apple Software is een van de getroffen projecten. De CVE-ID is door derden toegewezen. Ga voor meer informatie over dit probleem en CVE-ID naar cve.org.

CVE-2023-6277

CVE-2023-52356

ImageIO

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: het verwerken van een kwaadwillig vervaardigd bestand kan leiden tot het onverwacht beëindigen van de app

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2024-40806: Yisumi

ImageIO

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: het verwerken van een kwaadwillig vervaardigd bestand kan leiden tot het onverwacht beëindigen van de app

Beschrijving: een probleem met de toegang buiten het bereik is verholpen door verbeterde bereikcontrole.

CVE-2024-40777: Junsung Lee in samenwerking met het Zero Day Initiative van Trend Micro, en Amir Bazine en Karsten König van CrowdStrike Counter Adversary Operations

ImageIO

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: het verwerken van een kwaadwillig vervaardigd bestand kan leiden tot het onverwacht beëindigen van de app

Beschrijving: een probleem met overloop van gehele getallen is verholpen door verbeterde invoervalidatie.

CVE-2024-40784: Junsung Lee in samenwerking met het Zero Day Initiative van Trend Micro en Gandalf4a

Kernel

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: een lokale aanvaller kan de indeling van het kernelgeheugen bepalen

Beschrijving: een probleem met vrijgave van gegevens is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.

CVE-2024-27863: CertiK SkyFall Team

Kernel

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: een lokale aanvaller kan het systeem onverwacht uitschakelen

Beschrijving: een type confusion-probleem is verholpen door verbeterde geheugenverwerking.

CVE-2024-40788: Minghao Lin en Jiaxun Zhu van Zhejiang University

libxpc

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: een app kan mogelijk privacyvoorkeuren omzeilen

Beschrijving: een probleem met bevoegdheden is verholpen met aanvullende beperkingen.

CVE-2024-40805

Sandbox

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: een app kan mogelijk privacyvoorkeuren omzeilen

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

CVE-2024-40824: Wojciech Regula van SecuRing (wojciechregula.blog) en Zhongquan Li (@Guluisacat) van het Dawn Security Lab van JingDong

WebKit

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.

CVE-2024-40779: Huang Xilin van het Ant Group Light-Year Security Lab

CVE-2024-40780: Huang Xilin van het Ant Group Light-Year Security Lab

WebKit

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: een use-after-free-probleem is verholpen door verbeterd geheugenbeheer.

CVE-2024-40776: Huang Xilin van het Ant Group Light-Year Security Lab

CVE-2024-40782: Maksymilian Motyl

WebKit

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een cross-site scripting-aanval

Beschrijving: dit probleem is verholpen door verbeterde controles.

CVE-2024-40785: Johan Carlsson (joaxcar)

WebKit

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: een probleem met de toegang buiten het bereik is verholpen door verbeterde bereikcontrole.

CVE-2024-40789: Seunghyun Lee (@0x10n) van KAIST Hacking Lab in samenwerking met het Zero Day Initiative van Trend Micro

WebKit

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2024-44185: Gary Kwong

WebKit

Beschikbaar voor: Apple TV HD en Apple TV 4K (alle modellen)

Impact: een gebruiker kan mogelijk bepaalde beperkingen voor webmateriaal omzeilen

Beschrijving: een probleem met de verwerking van URL-protocollen is verholpen door verbeterde logica.

CVE-2024-44206: Andreas Jaegersberger en Ro Achterberg