Сведения о проблемах системы безопасности, устраняемых обновлением tvOS 18

В этом документе описаны проблемы системы безопасности, устраняемые в tvOS 18.

Сведения об обновлениях системы безопасности Apple

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Последние выпуски перечислены на странице Выпуски безопасности Apple.

В документах Apple о безопасности уязвимости обозначаются с помощью кода CVE-ID, когда это возможно.

Дополнительные сведения см. на странице Обращение в Apple по поводу проблем с безопасностью или конфиденциальностью.

tvOS 18

Game Center

Целевые продукты: Apple TV HD и Apple TV 4K (все модели)

Воздействие. Приложение может получить доступ к конфиденциальным пользовательским данным.

Описание. Проблема с файловым доступом устранена путем улучшенной проверки ввода.

CVE-2024-40850: Denis Tokarev (@illusionofcha0s)

ImageIO

Целевые продукты: Apple TV HD и Apple TV 4K (все модели)

Воздействие. Обработка вредоносного файла может приводить к неожиданному завершению работы приложения.

Описание. Проблема чтения за границами выделенной области памяти устранена за счет оптимизации проверки ввода.

CVE-2024-27880: Junsung Lee

ImageIO

Целевые продукты: Apple TV HD и Apple TV 4K (все модели)

Воздействие. Обработка изображения может приводить к отказу в обслуживании.

Описание. Проблема доступа к данным за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2024-44176: dw0r из ZeroPointer Lab в сотрудничестве с компанией Trend Micro в рамках программы Zero Day Initiative, анонимный исследователь

IOSurfaceAccelerator

Целевые продукты: Apple TV HD и Apple TV 4K (все модели)

Воздействие. Приложение может вызвать неожиданное завершение работы системы.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2024-44169: Antonio Zekić

Kernel

Целевые продукты: Apple TV HD и Apple TV 4K (все модели)

Воздействие. Приложение может получить несанкционированный доступ к Bluetooth

Описание. Эта проблема устранена путем улучшенного управления состояниями.

CVE-2024-44191: Alexander Heinrich, SEEMOO, DistriNet, KU Leuven (@vanhoefm), TU Darmstadt (@Sn0wfreeze) и Mathy Vanhoef

libxml2

Целевые продукты: Apple TV HD и Apple TV 4K (все модели)

Воздействие. Обработка вредоносного веб-контента может приводить к неожиданному сбою процесса.

Описание. Проблема целочисленного переполнения устранена путем улучшенной проверки ввода.

CVE-2024-44198: пользователь OSS-Fuzz, Ned Williamson из Google Project Zero

mDNSResponder

Целевые продукты: Apple TV HD и Apple TV 4K (все модели)

Воздействие. Приложение может вызывать отказ в обслуживании.

Описание. Логическая ошибка устранена путем улучшенной обработки файлов.

CVE-2024-44183: Olivier Levon

Model I/O

Целевые продукты: Apple TV HD и Apple TV 4K (все модели)

Воздействие. Обработка вредоносного изображения может приводить к отказу в обслуживании.

Описание. Это уязвимость в открытом исходном коде, и программное обеспечение Apple является одним из затронутых проектов. Идентификатор CVE назначен сторонней организацией. Дополнительную информацию о проблеме и идентификаторе CVE см. на cve.org.

CVE-2023-5841

SceneKit

Целевые продукты: Apple TV HD и Apple TV 4K (все модели)

Воздействие. Обработка вредоносного файла может приводить к неожиданному завершению работы приложения.

Описание. Проблема переполнения буфера устранена путем улучшенной проверки размера.

CVE-2024-44144: 냥냥

WebKit

Целевые продукты: Apple TV HD и Apple TV 4K (все модели)

Воздействие. Обработка вредоносного веб-контента может приводить к выполнению универсальных межсайтовых сценариев.

Описание. Эта проблема устранена путем улучшенного управления состояниями.

CVE-2024-40857: Ron Masas

WebKit

Целевые продукты: Apple TV HD и Apple TV 4K (все модели)

Воздействие. Вредоносный веб-сайт может вызывать утечку данных в другой домен.

Описание. Возникала проблема с перекрестными источниками, связанными с элементами iFrame. Проблема устранена путем улучшения отслеживания источников безопасности.

CVE-2024-44187: Narendra Bhati, руководитель отдела кибербезопасности Suma Soft Pvt. Ltd, Пуна (Индия)

Wi-Fi

Целевые продукты: Apple TV HD и Apple TV 4K (все модели)

Воздействие. Злоумышленник может заставить устройство отключиться от защищенной сети.

Описание. Проблема целостности устранена с помощью Beacon Protection.

CVE-2024-40856: Domien Schepers

Дополнительные благодарности

Kernel

Выражаем благодарность за помощь Braxton Anderson и Fakhri Zulkifli (@d0lph1n98) из PixiePoint Security.

WebKit

Выражаем благодарность за помощь Avi Lumelsky из Oligo Security, Uri Katz из Oligo Security, Eli Grey (eligrey.com) и Johan Carlsson (joaxcar).

Wi-Fi

Выражаем благодарность за помощь Antonio Zekic (@antoniozekic), ant4g0nist и Tim Michaud (@TimGMichaud) из Moveworks.ai.