watchOS 2.1 のセキュリティコンテンツについて

watchOS 2.1 のセキュリティコンテンツについて説明します。

Apple では、ユーザ保護の観点から、完全な調査が終了して必要なパッチやリリースが利用可能になるまではセキュリティ上の問題を公開、説明、または是認いたしません。Apple 製品のセキュリティについては、「Apple 製品のセキュリティ」Web サイトを参照してください。

Apple Product Security PGP キーについては、こちらの記事を参照してください。

CVE ID を使って脆弱性を調べることもできます。

その他のセキュリティアップデートについては、こちらの記事を参照してください。

watchOS 2.1

  • AppSandbox

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意のあるアプリケーションが、アクセスが失効した後も連絡先へのアクセスを維持する場合がある。

    説明：サンドボックスによるハードリンクの処理に脆弱性が存在します。この問題は、App のサンドボックスを強化改善することで解決されました。

    CVE-ID

    CVE-2015-7001：ブカレスト工科大学の Razvan Deaconescu 氏および Mihai Bucicoiu 氏、ノースカロライナ州立大学の Luke Deshotels 氏および William Enck 氏、TU Darmstadt の Lucas Vincenzo Davi 氏および Ahmad-Reza Sadeghi 氏

  • 圧縮

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意を持って作成された Web サイトにアクセスすると、任意のコードが実行される可能性がある。

    説明：zlib に、未初期化メモリアクセスの脆弱性が存在します。この問題は、メモリ初期化処理を改良し、zlib ストリームの検証を強化することによって解決されました。

    CVE-ID

    CVE-2015-7054：j00ru 氏

  • CoreGraphics

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意を持って作成されたフォントファイルを処理すると、任意のコードが実行される可能性がある。

    説明：フォントファイルの処理に、メモリ破損の脆弱性が存在します。この問題は、入力検証を強化することで解決されました。

    CVE-ID

    CVE-2015-7105：Yahoo Pentest Team の John Villamil 氏 (@day6reak)

  • CoreMedia の再生

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意を持って作成された Web サイトにアクセスすると、任意のコードが実行される可能性がある。

    説明：細工されたメディアファイルの処理に、メモリ破損の脆弱性が存在します。この問題は、メモリ処理を改良することによって解決されています。

    CVE-ID

    CVE-2015-7075

  • dyld

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意のあるアプリケーションにシステム権限を取得され、任意のコードを実行される可能性がある。

    説明：dyld にセグメント検証の脆弱性が存在します。この問題は環境のサニタイズ処理を改善したことで解決されました。

    CVE-ID

    CVE-2015-7072：Apple

  • FontParser

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意を持って作成されたフォントファイルを処理すると、任意のコードが実行される可能性がある。

    説明：フォントファイルの処理に、メモリ破損の脆弱性が複数存在します。この問題は、配列境界チェック機能を改善することで解決されました。

    CVE-ID

    CVE-2015-6978：HP の Zero Day Initiative に協力する Clarified Security の Jaanus Kp 氏

  • GasGauge

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意のあるアプリケーションにシステム権限を取得され、任意のコードを実行される可能性がある。

    説明：カーネルにメモリ破損の脆弱性が存在します。この問題は、メモリ処理を改良することによって解決されています。

    CVE-ID

    CVE-2015-6979：PanguTeam

  • ImageIO

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意を持って作成された画像を処理すると、任意のコードが実行される可能性がある。

    説明：ImageIO にメモリ破損の脆弱性が存在します。この問題は、メモリ処理を改良することによって解決されています。

    CVE-ID

    CVE-2015-7053：Apple

  • IOHIDFamily

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意のあるアプリケーションにシステム権限を取得され、任意のコードを実行される可能性がある。

    説明：IOHIDFamily にメモリ破損の問題が複数存在します。これらの問題は、メモリ処理を改善することで解決されました。

    CVE-ID

    CVE-2015-7111：BoB の beist 氏および ABH 氏

    CVE-2015-7112：Google Project Zero の Ian Beer 氏

  • IOKit SCSI

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意のあるアプリケーションにカーネル権限を取得され、任意のコードを実行される可能性がある。

    説明：特定の userclient タイプの処理に、ヌルポインタ逆参照の脆弱性が存在します。この問題は、検証を強化することで解決されました。

    CVE-ID

    CVE-2015-7068：Google Project Zero の Ian Beer 氏

  • カーネル

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：ローカルアプリケーションから、サービス運用妨害を受ける可能性がある。

    説明：メモリ処理を強化することで、複数のサービス拒否の脆弱性が解決されました。

    CVE-ID

    CVE-2015-7040：Qihoo 360 Vulcan Team の Lufeng Li 氏

    CVE-2015-7041：Qihoo 360 Vulcan Team の Lufeng Li 氏

    CVE-2015-7042：Qihoo 360 Vulcan Team の Lufeng Li 氏

    CVE-2015-7043：Tarjei Mandt 氏 (@kernelpool)

  • カーネル

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：ローカルユーザがカーネル特権を取得し、任意のコードを実行できるようになる可能性がある。

    説明：mach メッセージの解析に脆弱性が存在します。この問題は、mach メッセージの検証を強化することで解決されました。

    CVE-ID

    CVE-2015-7047：Google Project Zero の Ian Beer 氏

  • カーネル

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：ローカルユーザがカーネル特権を取得し、任意のコードを実行できるようになる可能性がある。

    説明：カーネルにメモリ破損の脆弱性が複数存在します。これらの問題は、メモリ処理を改善することで解決されました。

    CVE-ID

    CVE-2015-7083：Google Project Zero の Ian Beer 氏

    CVE-2015-7084：Google Project Zero の Ian Beer 氏

  • LaunchServices

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意のあるアプリケーションにシステム権限を取得され、任意のコードを実行される可能性がある。

    説明：細工された plist の処理に、メモリ破損の脆弱性が存在します。この問題は、メモリ処理を改良することによって解決されています。

    CVE-ID

    CVE-2015-7113：Free Tools Association の Olivier Goguel 氏

  • libarchive

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意を持って作成された Web サイトにアクセスすると、任意のコードが実行される可能性がある。

    説明：アーカイブの処理にメモリ破損の脆弱性が存在します。この問題は、メモリ処理を改良することによって解決されています。

    CVE-ID

    CVE-2011-2895：@practicalswift

  • libc

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意を持って作成されたパッケージを処理すると、任意のコードが実行される可能性がある。

    説明：C 標準ライブラリにバッファオーバーフローの脆弱性が複数存在します。この問題は、配列境界チェック機能を改善することで解決されました。

    CVE-ID

    CVE-2015-7038：E. W. Scripps の Brian D. Wells 氏、Symantec Corporation／Veritas LLC の Narayan Subramanian 氏

    CVE-2015-7039：Maksymilian Arciemowicz 氏 (CXSECURITY.COM)

    2017 年 3 月 3 日に更新

  • mDNSResponder

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：ローカルアプリケーションから、サービス運用妨害を受ける可能性がある。

    説明：メモリ処理を改善し、ヌルポインタ逆参照の脆弱性に対処しました。

    CVE-ID

    CVE-2015-7988：Alexandre Helie 氏

  • OpenGL

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意を持って作成された Web サイトにアクセスすると、任意のコードが実行される可能性がある。

    説明：OpenGL にメモリ破損の脆弱性が複数存在します。これらの問題は、メモリ処理を改善することで解決されました。

    CVE-ID

    CVE-2015-7064：Apple

    CVE-2015-7066：Palo Alto Networks の Tongbo Luo 氏および Bo Qu 氏

  • サンドボックス

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：ルート権限を悪用した悪意のあるアプリケーションが、カーネルアドレス空間配置のランダム化を回避できる可能性がある。

    説明：xnu に、特権分離が不十分という脆弱性が存在します。この問題は、認証チェックを強化することで解決されました。

    CVE-ID

    CVE-2015-7046：Apple

  • セキュリティ

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：リモート攻撃者によって、アプリケーションが突然終了されたり、任意のコードが実行されたりする可能性がある。

    説明：SSL ハンドシェイクの処理にメモリ破損の脆弱性が存在します。この問題は、メモリ処理を改良することによって解決されています。

    CVE-ID

    CVE-2015-7073：ZeroC, Inc. の Benoit Foucher 氏

  • セキュリティ

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：悪意を持って作成された証明書を処理すると、任意のコードが実行される可能性がある。

    説明：ASN.1 デコーダーにメモリ破損の脆弱性が複数存在します。これらの問題は、入力検証を強化することで解決されました。

    CVE-ID

    CVE-2015-7059：Mozilla の David Keeler 氏

    CVE-2015-7060：Mozilla の Tyson Smith 氏

    CVE-2015-7061：Google の Ryan Sleevi 氏

  • セキュリティ

    対象となるデバイス：Apple Watch Sport、Apple Watch、Apple Watch Edition、Apple Watch Hermes

    影響：信頼性評価が失効チェックを要求するように設定されているのに、失効チェックに失敗しても合格となる場合がある。

    説明：kSecRevocationRequirePositiveResponse フラグが指定されていましたが、実装されていませんでした。この問題は、このフラグを実装することで解決されました。

    CVE-ID

    CVE-2015-6997：Apple

Apple が製造していない製品に関する情報や、Apple が管理または検証していない個々の Web サイトについては、推奨や承認なしで提供されています。Apple は他社の Web サイトや製品の選択、性能、使用に関しては一切責任を負いません。Apple は他社の Web サイトの正確性や信頼性についてはいかなる表明もいたしません。詳しくは各メーカーや開発元にお問い合わせください。

公開日：