Informace o bezpečnostním obsahu watchOS 2.1

Tento dokument popisuje bezpečnostní obsah watchOS 2.1.

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici potřebné opravy nebo aktualizace. Podrobnější informace o zabezpečení produktů Apple najdete na této stránce.

Informace o klíči PGP zabezpečení produktů Apple najdete v článku Jak používat klíč PGP zabezpečení produktů Apple.

Pokud je to možné, jako odkazy na další informace o bezpečnostních chybách se používají identifikátory CVE ID.

Informace o dalších bezpečnostních aktualizacích najdete v článku Bezpečnostní aktualizace Apple.

watchOS 2.1

• AppSandbox

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Škodlivá aplikace si může ponechat přístup ke Kontaktům, i když jí byl odebrán.

  Popis: Existoval problém v tom, jak sandbox zpracovával pevné odkazy. Problém byl vyřešen vylepšením zabezpečení aplikačního sandboxu.

  CVE-ID

  CVE-2015-7001: Razvan Deaconescu a Mihai Bucicoiu z Polytechnické univerzity v Bukurešti; Luke Deshotels a William Enck z North Carolina State University; Lucas Vincenzo Davi a Ahmad-Reza Sadeghi z TU Darmstadt

• Komprese

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Návštěva škodlivého webu může vést ke spuštění libovolného kódu.

  Popis: V součásti zlib existoval problém s neinicializovaným přístupem k paměti. Problém byl vyřešen lepší inicializací paměti a dodatečným ověřováním streamů zlib.

  CVE-ID

  CVE-2015-7054: j00ru

• CoreGraphics

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Zpracování škodlivého souboru písma může vést ke spuštění libovolného kódu.

  Popis: Ve zpracovávání souborů písem existoval problém s poškozením paměti. Problém byl vyřešen vylepšením ověřování vstupů.

  CVE-ID

  CVE-2015-7105: John Villamil (@day6reak), Yahoo Pentest Team

• Přehrávání CoreMedia

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Návštěva škodlivého webu může vést ke spuštění libovolného kódu.

  Popis: Ve zpracovávání deformovaných mediálních souborů existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

  CVE-ID

  CVE-2015-7075

• dyld

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Škodlivá aplikace může spouštět libovolný kód se systémovými oprávněními.

  Popis: V součásti dyld docházelo k problému s ověřováním segmentů. Problém byl vyřešen lepší sanitizací prostředí.

  CVE-ID

  CVE-2015-7072: Apple

• FontParser

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Zpracování škodlivého souboru písma může vést ke spuštění libovolného kódu.

  Popis: Ve zpracovávání souborů písem existovalo několik problémů s poškozením paměti. Problémy byly vyřešeny vylepšením kontroly rozsahu.

  CVE-ID

  CVE-2015-6978: Jaanus Kp, Clarified Security ve spolupráci se Zero Day Initiative společnosti HP

• GasGauge

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Škodlivá aplikace může spouštět libovolný kód se systémovými oprávněními.

  Popis: V jádru existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

  CVE-ID

  CVE-2015-6979: PanguTeam

• ImageIO

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Zpracování škodlivého obrázku může vést ke spuštění libovolného kódu.

  Popis: V součásti ImageIO existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

  CVE-ID

  CVE-2015-7053: Apple

• IOHIDFamily

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Škodlivá aplikace může spouštět libovolný kód se systémovými oprávněními.

  Popis: V součásti IOHIDFamily existovalo několik problémů s poškozením paměti. Tyto problémy byly vyřešeny vylepšením správy paměti.

  CVE-ID

  CVE-2015-7111: beist a ABH z BoB

  CVE-2015-7112: Ian Beer z týmu Google Project Zero

• IOKit SCSI

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Škodlivé aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

  Popis: Ve zpracovávání určitých typů uživatelských klientů existoval přístup přes nulový ukazatel. Problém byl vyřešen vylepšením ověřování.

  CVE-ID

  CVE-2015-7068: Ian Beer z týmu Google Project Zero

• Jádro

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Místní aplikaci se může podařit způsobit odmítnutí služby.

  Popis: Existovalo několik problémů s odmítnutím služeb, které byly vyřešeny vylepšením správy paměti.

  CVE-ID

  CVE-2015-7040: Lufeng Li z týmu Qihoo 360 Vulcan

  CVE-2015-7041: Lufeng Li z týmu Qihoo 360 Vulcan

  CVE-2015-7042: Lufeng Li z týmu Qihoo 360 Vulcan

  CVE-2015-7043: Tarjei Mandt (@kernelpool)

• Jádro

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Místnímu uživateli se může podařit spustit libovolný kód s oprávněními k jádru.

  Popis: Existoval problém ve zpracovávání zpráv Mach. Problém byl vyřešen vylepšením ověřování zpráv Mach.

  CVE-ID

  CVE-2015-7047: Ian Beer z týmu Google Project Zero

• Jádro

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Místnímu uživateli se může podařit spustit libovolný kód s oprávněními k jádru.

  Popis: V jádru existovalo několik problémů s poškozením paměti. Tyto problémy byly vyřešeny vylepšením správy paměti.

  CVE-ID

  CVE-2015-7083: Ian Beer z týmu Google Project Zero

  CVE-2015-7084: Ian Beer z týmu Google Project Zero

• LaunchServices

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Škodlivá aplikace může spouštět libovolný kód se systémovými oprávněními.

  Popis: Ve zpracovávání deformovaných seznamů plist existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

  CVE-ID

  CVE-2015-7113: Olivier Goguel z organizace Free Tools Association

• libarchive

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Návštěva škodlivého webu může vést ke spuštění libovolného kódu.

  Popis: Ve zpracovávání archivů existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

  CVE-ID

  CVE-2011-2895: @practicalswift

• libc

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Zpracování škodlivého balíčku může vést ke spuštění libovolného kódu.

  Popis: Ve standardní knihovně C existovalo několik přetečení vyrovnávací paměti. Problémy byly vyřešeny vylepšením kontroly rozsahu.

  CVE-ID

  CVE-2015-7038: Brian D. Wells z E. W. Scripps, Narayan Subramanian ze Symantec Corporation/Veritas LLC

  CVE-2015-7039: Maksymilian Arciemowicz (CXSECURITY.COM)

  Záznam aktualizován 3. března 2017

• mDNSResponder

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Místní aplikaci se může podařit způsobit odmítnutí služby.

  Popis: Problém s dereferencí na ukazatele s hodnotou NULL byl vyřešen vylepšením správy paměti.

  CVE-ID

  CVE-2015-7988: Alexandre Helie

• OpenGL

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Návštěva škodlivého webu může vést ke spuštění libovolného kódu.

  Popis: V knihovně OpenGL docházelo k několika problémům s poškozením paměti. Tyto problémy byly vyřešeny vylepšením správy paměti.

  CVE-ID

  CVE-2015-7064: Apple

  CVE-2015-7066: Tongbo Luo a Bo Qu ze společnosti Palo Alto Networks

• Sandbox

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Škodlivá aplikace s kořenovými oprávněními může obejít ochranu ASLR v jádru.

  Popis: V součásti xnu existoval problém s nedostatečným oddělováním oprávnění. Problém byl vyřešen lepší kontrolou ověřování.

  CVE-ID

  CVE-2015-7046: Apple

• Zabezpečení

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Vzdálený útočník může způsobit nečekané ukončení aplikace nebo spuštění libovolného kódu.

  Popis: Ve zpracovávání kontrol handshake protokolu SSL existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

  CVE-ID

  CVE-2015-7073: Benoit Foucher ze společnosti ZeroC, Inc.

• Zabezpečení

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Zpracování škodlivého certifikátu může vést ke spuštění libovolného kódu.

  Popis: V dekodéru ASN.1 docházelo k několika problémům s poškozením paměti. Problémy byly vyřešeny vylepšeným ověřováním vstupů

  CVE-ID

  CVE-2015-7059: David Keeler ze společnosti Mozilla

  CVE-2015-7060: Tyson Smith ze společnosti Mozilla

  CVE-2015-7061: Ryan Sleevi ze společnosti Google

• Zabezpečení

  K dispozici pro: Apple Watch Sport, Apple Watch, Apple Watch Edition a Apple Watch Hermès

  Dopad: Vyhodnocování důvěry nakonfigurované tak, aby vyžadovalo kontrolu odvolání, mohlo uspět, i když kontrola odvolání vrátila negativní výsledek.

  Popis: Příznak kSecRevocationRequirePositiveResponse byl specifikován, nikoli však implementován. Problém byl vyřešen implementací příznaku.

  CVE-ID

  CVE-2015-6997: Apple