מידע על תוכן האבטחה של tvOS 18

מסמך זה מתאר את תוכן האבטחה של tvOS 18.

מידע על עדכוני האבטחה של Apple

מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת אותן עד לביצוע חקירה בנושא ויש גרסאות חדשות או תיקונים זמינים. מהדורות אחרונות מופיעות בעמוד מהדורות האבטחה של Apple.

מסמכי האבטחה של Apple מתייחסים לפגיעויות לפי CVE-ID‏ במידת האפשר.

למידע נוסף על אבטחה, עיינו בעמוד אבטחת מוצרי Apple.

tvOS 18

Game Center

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: יישום עלול להצליח לגשת לנתונים רגישים אודות המשתמש

תיאור: בעיית גישה לקבצים טופלה באמצעות אימות קלט משופר.

CVE-2024-40850: ‏Denis Tokarev‏ (‎@illusionofcha0s)

ImageIO

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: עיבוד קובץ בעל מבנה זדוני עלול להוביל לסיום בלתי צפוי של פעולת יישום

תיאור: בעיית קריאה מחוץ לטווח טופלה באמצעות אימות קלט משופר.

CVE-2024-27880: ‏Junsung Lee

ImageIO

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: עיבוד תמונה עלול לגרום למניעת שירות

תיאור: בעיית גישה מחוץ לטווח טופלה באמצעות בדיקת טווח משופרת.

CVE-2024-44176: ‏dw0r מ-ZeroPointer Lab יחד עם Trend Micro Zero Day Initiative, חוקר אנונימי

IOSurfaceAccelerator

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: יישום עלול להיות מסוגל לגרום לסיום לא צפוי של פעולת המערכת

תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרון.

CVE-2024-44169: ‏Anton Boegler

Kernel

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: יישום עלול לקבל גישה לא מורשית ל-Bluetooth

תיאור: בעיה זו טופלה באמצעות ניהול מצבים משופר.

CVE-2024-44191‏: Alexander Heinrich‏, SEEMOO‏, DistriNet‏, KU Leuven (@vanhoefm)‏, TU Darmstadt (@Sn0wfreeze) ו-Mathy Vanhoef

LaunchServices

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: ייתכן שיישום זדוני יוכל לשנות יישומים אחרים גם אם אין לו הרשאת ניהול יישומים

תיאור: בעיית לוגיקה טופלה באמצעות בדיקות משופרות.

CVE-2024-54560‏: Kirin ‏(‎@Pwnrin)‏, Jeff Johnson‏ (underpassapp.com)

libxml2

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: גלישה נומרית טופלה באמצעות אימות קלט משופר.

CVE-2024-44198: ‏OSS-Fuzz, נד וויליאמסון מ-Google Project Zero

mDNSResponder

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: יישום עלול להצליח לגרום למניעת שירות

תיאור: שגיאת לוגיקה טופלה באמצעות טיפול משופר בשגיאות.

CVE-2024-44183: ‏Olivier Levon

Model I/O

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: עיבוד של תמונה בעלת מבנה זדוני עלול להוביל למניעת שירות

תיאור: זו פגיעות בקוד מקור פתוח ותוכנת Apple היא בין הפרויקטים המושפעים. ה-CVE-ID הוקצה על-ידי צד שלישי. ניתן לקבל מידע נוסף על הבעיה ועל CVE-ID בכתובת cve.org.

CVE-2023-5841

SceneKit

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: עיבוד קובץ בעל מבנה זדוני עלול להוביל לסיום בלתי צפוי של פעולת יישום

תיאור: גלישת חוצץ טופלה ואימות הגודל שופר.

CVE-2024-44144: ‏냥냥

WebKit

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: אתר אינטרנט זדוני עלול לחלץ מקורות מרובים של נתונים

תיאור: בעיה של ניהול קובצי Cookie טופלה באמצעות ניהול מצבים משופר.

CVE-2024-54467‏: Narendra Bhati, מנהל אבטחת סייבר ב-At Suma Soft Pvt.‎ Ltd, פונה (הודו)

WebKit

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: הבעיה טופלה באמצעות בדיקות משופרות.

CVE-2024-44192‏: Tashita Software Security

WebKit

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: עיבוד תוכן אינטרנטי בעל מבנה זדוני עלול לגרום ל-Scripting אוניברסלי בין אתרים

תיאור: בעיה זו טופלה באמצעות ניהול מצבים משופר.

CVE-2024-40857‏: Ron Masas

WebKit

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: אתר אינטרנט זדוני עלול לחלץ מקורות מרובים של נתונים

תיאור: בעיה של מקורות מרובים הייתה קיימת באלמנטים מסוג 'iframe'. הבעיה טופלה באמצעות מעקב משופר אחרי מקורות אבטחה.

CVE-2024-44187‏: Narendra Bhati, מנהל אבטחת סייבר ב-Suma Soft Pvt.‎ Ltd, פונה (הודו)

Wi-Fi

זמין עבור: Apple TV HD ו-Apple TV 4K (כל הדגמים)

השפעה: תוקף עלול להצליח לגרום למכשיר להתנתק מרשת מאובטחת

תיאור: בעיית תקינות טופלה באמצעות Beacon Protection.

CVE-2024-40856‏: Preet Dsouza ‏(Fleming College, תוכנית Computer Security & Investigations)‏, Domien Schepers

תודות נוספות

dyld

אנחנו מבקשים להודות ל-Pietro Francesco Tirenna, ל-Davide Silvetti, ל-Abdel Adim Oisfi מ-Shielder‏ (shielder.com) על הסיוע.

Kernel

אנחנו מבקשים להודות ל-Braxton Anderson, ל-Fakhri Zulkifli ‏(@d0lph1n98) מ-PixiePoint Security על הסיוע.

Notifications

אנו מבקשים להודות ל-Abhay Kailasia‏ (‎@abhay_kailasia) מ-Lakshmi Narain College of Technology Bhopal‏, ל-Dev dutta ‏(manas.dutta.75) ול-Prateek Pawar ‏(vakil sahab) על הסיוע.

Photos

אנו מבקשים להודות ל-Junior Vergara על הסיוע.

SharePlay

אנחנו מבקשים להודות לחוקר אנונימי על הסיוע.

WebKit

אנחנו מבקשים להודות לאבי לומלסקי מ-Oligo Security, לאורי כ"ץ מ-Oligo Security, ל-Eli Grey‏ (eligrey.com) ול-Johan Carlsson‏ (joaxcar) על הסיוע.

Wi-Fi

אנחנו מבקשים להודות ל-Antonio Zekic‏ (‎@antoniozekic), ל-ant4g0nist ול-Tim Michaud‏ (‎@TimGMichaud) מ-Moveworks.ai על הסיוע.