Informace o bezpečnostním obsahu watchOS 2.0.1

Tento dokument popisuje bezpečnostní obsah watchOS 2.0.1.

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřeny a nejsou k dispozici potřebné opravy nebo aktualizace. Podrobnější informace o zabezpečení produktů Apple najdete na webové stránce Zabezpečení produktů Apple.

Informace o klíči PGP zabezpečení produktů Apple najdete v článku Jak používat klíč PGP zabezpečení produktů Apple.

Pokud je to možné, jako odkazy na další informace o bezpečnostních chybách se používají identifikátory CVE ID.

Informace o dalších bezpečnostních aktualizacích najdete v článku Bezpečnostní aktualizace Apple.

watchOS 2.0.1

• Apple Pay

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Některé karty můžou při platbě umožňovat, aby terminál získal omezený soubor informací o posledních transakcích.

  Popis: V některých konfiguracích bylo zapnuté protokolování transakcí. Problém byl vyřešen odebráním funkce protokolování transakcí. Tato aktualizace navíc řeší problém Apple Watch vyrobených s watchOS 2.

  CVE-ID

  CVE-2015-5916

• Bom

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Rozbalení škodlivého archivu může vést ke spuštění libovolného kódu.

  Popis: V manipulaci s archivy CPIO existovala bezpečnostní chyba umožňující průchod souborů (file traversal). Problém byl vyřešen vylepšením ověřování metadat.

  CVE-ID

  CVE-2015-7006: Mark Dowd ze společnosti Azimuth Security

• configd

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Škodlivá aplikace si může zvýšit oprávnění.

  Popis: V knihovně klientů DNS existoval problém s přetečením haldy vyrovnávací paměti. Místní uživatel se schopností falšovat odpovědi z místní služby configd mohl být schopen spouštět na DNS klientech libovolný kód.

  CVE-ID

  CVE-2015-7015: PanguTeam

• CoreGraphics

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Zpracování škodlivého obrázku může vést ke spuštění libovolného kódu.

  Popis: Ve frameworku CoreGraphics docházelo k problému s poškozením paměti. Problém byl vyřešen vylepšenou správou paměti.

  CVE-ID

  CVE-2015-5925: Apple

  CVE-2015-5926: Apple

• FontParser

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Zobrazení dokumentu se škodlivým písmem může vést ke spuštění libovolného kódu.

  Popis: Při manipulaci se soubory písem docházelo k problémům s poškozením paměti. Tyto problémy byly vyřešeny vylepšenou kontrolou rozsahu.

  CVE-ID

  CVE-2015-5927: Apple

  CVE-2015-5942

• Grand Central Dispatch

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Zpracování škodlivého balíčku může vést ke spuštění libovolného kódu.

  Popis: V manipulaci s voláními typu Dispatch existoval problém s poškozením paměti. Problém byl vyřešen vylepšenou správou paměti.

  CVE-ID

  CVE-2015-6989: Apple

• ImageIO

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Zobrazení škodlivého obrazového souboru může vést ke spuštění libovolného kódu.

  Popis: Ve zpracovávání metadat obrázkových souborů existovalo několik problémů s poškozením paměti. Tyto problémy byly vyřešeny vylepšeným ověřováním metadat.

  CVE-ID

  CVE-2015-5935: Apple

  CVE-2015-5936: Apple

  CVE-2015-5937: Apple

  CVE-2015-5939: Apple

• IOAcceleratorFamily

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Škodlivé aplikace můžou spouštět libovolný kód se systémovými oprávněními.

  Popis: V součásti IOAcceleratorFamily existoval problém s poškozením paměti. Problém byl vyřešen vylepšenou správou paměti.

  CVE-ID

  CVE-2015-6996: Ian Beer z týmu Google Project Zero

• IOHIDFamily

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Škodlivé aplikace můžou spouštět libovolný kód s oprávněními k jádru.

  Popis: V jádru existoval problém s poškozením paměti. Problém byl vyřešen vylepšenou správou paměti.

  CVE-ID

  CVE-2015-6974: Luca Todesco (@qwertyoruiop)

• mDNSResponder

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Vzdálený útočník může způsobit neočekávané ukončení aplikace nebo spuštění libovolného kódu.

  Popis: Ve zpracování dat DNS existovalo několika problémům s poškozením paměti. Tyto problémy byly vyřešeny vylepšenou kontrolou rozsahu.

  CVE-ID

  CVE-2015-7987: Alexandre Helie