Informace o bezpečnostním obsahu watchOS 2.2.1

Tento dokument popisuje bezpečnostní obsah watchOS 2.2.1.

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici potřebné opravy nebo aktualizace. Podrobnější informace o zabezpečení produktů Apple najdete na webové stránce Zabezpečení produktů Apple.

Informace o klíči PGP zabezpečení produktů Apple najdete v článku Jak používat klíč PGP zabezpečení produktů Apple.

Pokud je to možné, jako odkazy na další informace o bezpečnostních chybách se používají identifikátory CVE ID.

Informace o dalších bezpečnostních aktualizacích najdete v článku Bezpečnostní aktualizace Apple.

watchOS 2.2.1

• CommonCrypto

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Škodlivé aplikaci se může podařit odhalit citlivé uživatelské informace.

  Popis: V součásti CCCrypt existoval problém se zpracováním vracených hodnot. Problém byl vyřešen vylepšením správy délky klíčů.

  CVE-ID

  CVE-2016-1802: Klaus Rodewig

• CoreCapture

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

  Popis: Přístup přes nulový ukazatel byl vyřešen vylepšením ověřování.

  CVE-ID

  CVE-2016-1803: Ian Beer z týmu Google Project Zero, daybreaker ve spolupráci se Zero Day Initiative společnosti Trend Micro

• Obrazy disků

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Místnímu útočníkovi se může podařit číst paměť jádra.

  Popis: Problém se souběhem byl vyřešen vylepšením zamykání.

  CVE-ID

  CVE-2016-1807: Ian Beer z týmu Google Project Zero

• Obrazy disků

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

  Popis: V parsování obrazů disků existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

  CVE-ID

  CVE-2016-1808: Moony Li (@Flyic) a Jack Tang (@jacktang310) ze společnosti Trend Micro

• ImageIO

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Zpracování škodlivého obrázku může vést k odmítnutí služby.

  Popis: Přístup přes nulový ukazatel byl vyřešen vylepšením ověřování.

  CVE-ID

  CVE-2016-1811: Lander Brandt (@landaire)

• IOAcceleratorFamily

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

  Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

  CVE-ID

  CVE-2016-1817: Moony Li (@Flyic) a Jack Tang (@jacktang310) ze společnosti Trend Micro ve spolupráci se Zero Day Initiative společnosti Trend Micro

  CVE-2016-1818: Juwei Lin ze společnosti TrendMicro, sweetchip@GRAYHASH ve spolupráci se Zero Day Initiative společnosti Trend Micro

  Záznam aktualizován 13. prosince 2016

• IOAcceleratorFamily

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

  Popis: Bezpečnostní slabina spočívající v poškození paměti byla vyřešena vylepšením zamykání.

  CVE-ID

  CVE-2016-1819: Ian Beer z týmu Google Project Zero

• IOAcceleratorFamily

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

  Popis: Přístup přes nulový ukazatel byl vyřešen vylepšením ověřování.

  CVE-ID

  CVE-2016-1813: Ian Beer z týmu Google Project Zero

• IOHIDFamily

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

  Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

  CVE-ID

  CVE-2016-1823: Ian Beer z týmu Google Project Zero

  CVE-2016-1824: Marco Grassi (@marcograss) z KeenLab (@keen_lab), Tencent

• Jádro

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

  Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením správy paměti.

  CVE-ID

  CVE-2016-1827: Brandon Azad

  CVE-2016-1828: Brandon Azad

  CVE-2016-1829: CESG

  CVE-2016-1830: Brandon Azad

• libc

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Místnímu útočníkovi se může podařit způsobit nečekané ukončení aplikace nebo spuštění libovolného kódu.

  Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování vstupů.

  CVE-ID

  CVE-2016-1832: Karl Williamson

• libxml2

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Zpracování škodlivého souboru XML může vést k nečekanému ukončení aplikace nebo ke spuštění libovolného kódu.

  Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením správy paměti.

  CVE-ID

  CVE-2016-1833: Mateusz Jurczyk

  CVE-2016-1834: Apple

  CVE-2016-1836: Wei Lei a Liu Yang z Technologické univerzity Nanyang

  CVE-2016-1837: Wei Lei a Liu Yang z Technologické univerzity Nanyang

  CVE-2016-1838: Mateusz Jurczyk

  CVE-2016-1839: Mateusz Jurczyk

  CVE-2016-1840: Kostya Serebryany

• libxslt

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

  Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

  CVE-ID

  CVE-2016-1841: Sebastian Apelt

• MapKit

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Útočníkovi s vysokými oprávněními v síti se může podařit odhalit citlivá uživatelská data.

  Popis: Sdílené odkazy se místo přes HTTPS posílaly přes HTTP. Problém byl vyřešen zapnutím HTTPS u sdílených odkazů.

  CVE-ID

  CVE-2016-1842: Richard Shupak (https://www.linkedin.com/in/rshupak)

• OpenGL

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

  Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením správy paměti.

  CVE-ID

  CVE-2016-1847: Tongbo Luo a Bo Qu ze společnosti Palo Alto Networks