Informace o bezpečnostním obsahu watchOS 5.1.2

Tento dokument popisuje bezpečnostní obsah watchOS 5.1.2.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple. Komunikaci se společností Apple můžete zašifrovat pomocí klíče PGP zabezpečení produktů Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

watchOS 5.1.2

AirPort

K dispozici pro: Apple Watch Series 1 a novější

Dopad: Škodlivá aplikace si může navýšit oprávnění.

Popis: Problém se záměnou typů byl vyřešen vylepšením správy paměti.

CVE-2018-4303: Mohamed Ghannam (@_simo36)

Obrazy disků

K dispozici pro: Apple Watch Series 1 a novější

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

CVE-2018-4427: Pangu Team

Jádro

K dispozici pro: Apple Watch Series 1 a novější

Dopad: Místnímu uživateli se může podařit číst paměť jádra.

Popis: Problém s inicializací paměti byl vyřešen vylepšením správy paměti.

CVE-2018-4431: Tuto bezpečnostní slabinu nahlásil programu SecuriTeam Secure Disclosure společnosti Beyond Security nezávislý bezpečnostní výzkumník.

CVE-2018-4448: Brandon Azad

Jádro

K dispozici pro: Apple Watch Series 1 a novější

Dopad: Útočníkovi s vysokými oprávněními se může podařit způsobit útok odmítnutím služby.

Popis: Problém s odmítnutím služby byl vyřešen odstraněním zranitelného kódu.

CVE-2018-4460: Kevin Backhouse z týmu Semmle Security Research

Jádro

K dispozici pro: Apple Watch Series 1 a novější

Dopad: Místnímu uživateli se může podařit číst paměť jádra.

Popis: Problém s inicializací paměti byl vyřešen vylepšením správy paměti.

CVE-2018-4431: Tuto bezpečnostní slabinu nahlásil programu SecuriTeam Secure Disclosure společnosti Beyond Security nezávislý bezpečnostní výzkumník.

Jádro

K dispozici pro: Apple Watch Series 1 a novější

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy stavu.

CVE-2018-4447: Juwei Lin(@panicaII) a Zhengyu Dong z týmu TrendMicro Mobile Security ve spolupráci s iniciativou Zero Day společnosti Trend Micro

Jádro

K dispozici pro: Apple Watch Series 1 a novější

Dopad: Škodlivá aplikace si může navýšit oprávnění.

Popis: Problém v logice byl vyřešen vylepšením omezení.

CVE-2018-4435: Jann Horn z týmu Google Project Zero, Juwei Lin(@panicaII) a Junzhi Lu z týmu TrendMicro Mobile Security ve spolupráci s iniciativou Zero Day společnosti Trend Micro

Jádro

K dispozici pro: Apple Watch Series 1 a novější

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování vstupů.

CVE-2018-4461: Ian Beer z týmu Google Project Zero

LinkPresentation

K dispozici pro: Apple Watch Series 1 a novější

Dopad: Zpracování škodlivého e-mailu může vést k falšování uživatelského rozhraní.

Popis: Při zpracovávání adres URL mohlo dojít k falšování. Problém byl vyřešen vylepšením ověřování vstupů.

CVE-2018-4429: Victor Le Pochat z týmu imec-DistriNet, KU Leuven

Profily

K dispozici pro: Apple Watch Series 1 a novější

Dopad: Nedůvěryhodné konfigurační profily se můžou nesprávně zobrazovat jako ověřené.

Popis: V konfiguračních profilech existoval problém s ověřováním certifikátů. Problém byl vyřešen přidáním dodatečných kontrol.

CVE-2018-4436: James Seeley @Code4iOS, Joseph S. ze společnosti JJS Securities

WebKit

K dispozici pro: Apple Watch Series 1 a novější

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením správy paměti.

CVE-2018-4437: HyungSeok Han, DongHyeon Oh a Sang Kil Cha z týmu KAIST Softsec Lab, Korea

CVE-2018-4464: HyungSeok Han, DongHyeon Oh a Sang Kil Cha z týmu KAIST Softsec Lab, Korea

WebKit

K dispozici pro: Apple Watch Series 1 a novější

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

CVE-2018-4441: lokihardt z týmu Google Project Zero

CVE-2018-4442: lokihardt z týmu Google Project Zero

CVE-2018-4443: lokihardt z týmu Google Project Zero

WebKit

K dispozici pro: Apple Watch Series 1 a novější

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Problém v logice způsoboval poškození paměti. Problém byl vyřešen vylepšením správy stavu.

CVE-2018-4438: lokihardt z týmu Google Project Zero, Qixun Zhao z týmu Qihoo 360 Vulcan