Проблеми системи безпеки, які усунено в оновленні tvOS 18

У цьому документі описано проблеми системи безпеки, які усунено в оновленні tvOS 18.

Про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски див. на сторінці Випуски безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.

Додаткову інформацію про безпеку див. на сторінці про безпеку продуктів Apple.

tvOS 18

Game Center

Цільові продукти: Apple TV HD й Apple TV 4K (усі моделі)

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з доступом до файлів вирішено завдяки поліпшенню перевірки вводу.

CVE-2024-40850: Denis Tokarev (@illusionofcha0s)

ImageIO

Цільові продукти: Apple TV HD й Apple TV 4K (усі моделі)

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему читання за межами виділеної пам’яті вирішено завдяки вдосконаленню перевірки вводу.

CVE-2024-27880: Junsung Lee

ImageIO

Цільові продукти: Apple TV HD й Apple TV 4K (усі моделі)

Вплив: обробка зображення може призвести до відмови в обслуговуванні.

Опис: проблему з доступом за межами виділеної пам’яті усунуто завдяки вдосконаленню перевірки меж.

CVE-2024-44176: користувач dw0r із ZeroPointer Lab, що співпрацює з компанією Trend Micro в межах ініціативи «Zero Day Initiative», анонімний дослідник

IOSurfaceAccelerator

Цільові продукти: Apple TV HD й Apple TV 4K (усі моделі)

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2024-44169: Antonio Zekić

Kernel

Цільові продукти: Apple TV HD й Apple TV 4K (усі моделі)

Вплив: програма може отримати несанкціонований доступ до Bluetooth.

Опис: проблему вирішено завдяки вдосконаленню керування станами.

CVE-2024-44191: Alexander Heinrich, SEEMOO, DistriNet, KU Leuven (@vanhoefm), TU Darmstadt (@Sn0wfreeze) і Mathy Vanhoef

libxml2

Цільові продукти: Apple TV HD й Apple TV 4K (усі моделі)

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему цілочисельного переповнення вирішено завдяки вдосконаленню перевірки вводу.

CVE-2024-44198: користувач OSS-Fuzz і Ned Williamson із підрозділу Google Project Zero

mDNSResponder

Цільові продукти: Apple TV HD й Apple TV 4K (усі моделі)

Вплив: програма може спричинити відмову в обслуговуванні.

Опис: проблему з логікою вирішено завдяки вдосконаленню обробки файлів.

CVE-2024-44183: Olivier Levon

Model I/O

Цільові продукти: Apple TV HD й Apple TV 4K (усі моделі)

Вплив: обробка шкідливого зображення може призводити до відмови в обслуговуванні.

Опис: це вразливість у відкритому вихідному коді, яка вплинула на програмне забезпечення Apple. Ідентифікатор CVE призначила стороння організація. Дізнайтеся більше про проблему та ідентифікатор CVE на сайті cve.org.

CVE-2023-5841

SceneKit

Цільові продукти: Apple TV HD й Apple TV 4K (усі моделі)

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему переповнення буфера вирішено завдяки вдосконаленню перевірки розміру.

CVE-2024-44144: 냥냥

WebKit

Цільові продукти: Apple TV HD й Apple TV 4K (усі моделі)

Вплив: обробка шкідливого вебконтенту може призводити до виконання універсальних міжсайтових сценаріїв.

Опис: проблему вирішено завдяки вдосконаленню керування станами.

CVE-2024-40857: Ron Masas

WebKit

Цільові продукти: Apple TV HD й Apple TV 4K (усі моделі)

Вплив: зловмисний вебсайт може призводити до витоку даних в інший домен.

Опис: виникала проблема з перехресними джерелами, що пов’язані з елементами iFrame. Цю проблему вирішено шляхом удосконаленого відстеження джерел безпеки.

CVE-2024-44187: Narendra Bhati, менеджер із кібербезпеки в Suma Soft Pvt. Ltd., м. Пуне (Індія)

Wi-Fi

Цільові продукти: Apple TV HD й Apple TV 4K (усі моделі)

Вплив: зловмисник може змусити пристрій відключитися від захищеної мережі.

Опис: проблему з цілісністю вирішено завдяки Beacon Protection.

CVE-2024-40856: Domien Schepers

Додаткова подяка

Kernel

Дякуємо за допомогу Braxton Anderson, Fakhri Zulkifli (@d0lph1n98) із PixiePoint Security.

WebKit

Дякуємо за допомогу Avi Lumelsky з Oligo Security, Uri Katz з Oligo Security, Eli Grey (eligrey.com) і Johan Carlsson (joaxcar).

Wi-Fi

Дякуємо за допомогу Antonio Zekic (@antoniozekic), ant4g0nist і Tim Michaud (@TimGMichaud) з Moveworks.ai.