Informácie o obsahu zabezpečenia v systéme tvOS  18.1

V tomto dokumente sa opisuje obsah zabezpečenia v systéme tvOS 18.1.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Aktuálne vydania sú uvedené na stránke Vydania zabezpečenia Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Ďalšie informácie o zabezpečení si prečítajte na stránke Zabezpečenie produktov Apple.

tvOS 18.1

App Support

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Apka so škodlivým kódom môže byť schopná spúšťať ľubovoľné skratky bez súhlasu používateľa

Popis: Dochádzalo k problému so spracovaním ciest, ktorý bol vyriešený vylepšením logiky.

CVE-2024-44255: anonymný výskumník

AppleAVD

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Analýza súboru videa so škodlivým kódom môže viesť k neočakávanému ukončeniu systému

Popis: Tento problém bol vyriešený vylepšením kontrol obmedzení.

CVE-2024-44232: Ivan Fratric (Google Project Zero)

CVE-2024-44233: Ivan Fratric (Google Project Zero)

CVE-2024-44234: Ivan Fratric (Google Project Zero)

CoreMedia Playback

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Apka so škodlivým kódom môže byť schopná získať prístup k súkromným informáciám

Popis: Tento problém bol vyriešený vylepšením spracovania symbolických odkazov.

CVE-2024-44273: pattern-f (@pattern_F_), Hikerell z tímu Loadshine Lab

CoreText

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Spracovanie písma so škodlivým kódom môže mať za následok odhalenie operačnej pamäte

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2024-44240: Hossein Lotfi (@hosselot) z tímu projektu Zero Day Initiative spoločnosti Trend Micro

CVE-2024-44302: Hossein Lotfi (@hosselot) z tímu projektu Zero Day Initiative spoločnosti Trend Micro

Foundation

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Analýza súboru môže viesť k sprístupneniu informácií používateľa

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2024-44282: Hossein Lotfi (@hosselot) z tímu projektu Zero Day Initiative spoločnosti Trend Micro

ImageIO

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Spracovanie obrázka môže mať za následok odhalenie operačnej pamäte

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2024-44215: Junsung Lee v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

ImageIO

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Spracovanie správy so škodlivým kódom môže viesť k odmietnutiu služby.

Popis: Tento problém bol vyriešený vylepšením kontrol obmedzení.

CVE-2024-44297: Jex Amro

IOSurface

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Apka môže byť schopná spôsobiť neočakávané ukončenie systému alebo poškodiť pamäť jadra

Popis: Dochádzalo k problému s použitím po uvoľnení, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2024-44285: anonymný výskumník

Kernel

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Apka môže byť schopná spôsobiť únik citlivých informácií o stave jadra

Popis: Dochádzalo k problému so zverejnením informácií, ktorý bol vyriešený vylepšením redigovania súkromných dát v položkách záznamov.

CVE-2024-44239: Mateusz Krzywicki (@krzywix)

Managed Configuration

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Obnovenie súboru zálohy so škodlivým kódom môže viesť k úprave chránených systémových súborov

Popis: Tento problém bol vyriešený vylepšením spracovania symbolických odkazov.

CVE-2024-44258: Hichem Maloufi, Christian Mina, Ismail Amzdak

MobileBackup

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Obnovenie súboru zálohy so škodlivým kódom môže viesť k úprave chránených systémových súborov

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením spracovania súborov.

CVE-2024-44252: Nimrat Khalsa, Davis Dai, James Gill (@jjtech@infosec.exchange)

Pro Res

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Apka môže byť schopná spôsobiť neočakávané ukončenie systému alebo poškodiť pamäť jadra

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2024-44277: anonymný výskumník a Yinyi Wu(@_3ndy1) z tímu Dawn Security Lab spoločnosti JD.com, Inc.

Security

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Vzdialený útočník môže byť schopný spôsobiť odmietnutie služby

Popis: Dochádzalo k problému s odopretím služby, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2024-54538: Bing Shi, Wenchao Li a Xiaolong Bai z tímu Alibaba Group a Luyi Xing z Indiana University v Bloomingtone

WebKit

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Súbory cookie z jednej domény sa môžu odoslať na inú doménu

Popis: Dochádzalo k problému so správou súborov cookie, ktorý bol vyriešený vylepšením správy stavu.

CVE-2024-44212: Wojciech Regula zo spoločnosti SecuRing (wojciechregula.blog)

WebKit

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže zabrániť vynúteniu zásad CSP (Content Security Policy)

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2024-44296: Narendra Bhati, manažér kybernetickej bezpečnosti v spoločnosti Suma Soft Pvt. Ltd, Pune (India)

WebKit

Dostupné pre: Apple TV HD a Apple TV 4K (všetky modely)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k neočakávanému zlyhaniu procesu

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2024-44244: anonymný výskumník, Q1IQ (@q1iqF) a P1umer (@p1umer)

Ďalšie poďakovanie

ImageIO

Poďakovanie za pomoc si zaslúžia Amir Bazine a Karsten König z tímu Counter Adversary Operations spoločnosti CrowdStrike, ako aj anonymný výskumník.

NetworkExtension

Poďakovanie za pomoc si zaslúži Patrick Wardle zo spoločnosti DoubleYou a organizácie Objective-See Foundation.

Photos

Poďakovanie za pomoc si zaslúži James Robertson.