Informace o bezpečnostním obsahu watchOS 26.1

Tento dokument popisuje bezpečnostní obsah watchOS 26.1.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

watchOS 26.1

Apple Account

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Škodlivé aplikaci se může podařit zachytit snímek obrazovky s citlivými informacemi v integrovaných zobrazeních.

Popis: Problém s ochranou soukromí byl vyřešen vylepšením kontrol.

CVE-2025-43455: Ron Masas ze společnosti BreakPoint.SH, Pinak Oza

Apple Neural Engine

K dispozici pro: Apple Watch Series 9 a novější, Apple Watch SE 2. generace, Apple Watch Ultra (všechny modely)

Dopad: Aplikaci se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43447: anonymní výzkumník

CVE-2025-43462: anonymní výzkumník

AppleMobileFileIntegrity

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit získat přístup ke chráněným údajům uživatele.

Popis: Problém byl vyřešen vylepšením ověřování symbolických odkazů.

CVE-2025-43379: Gergely Kalman (@gergely_kalman)

CloudKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit uniknout ze sandboxu.

Popis: Problém byl vyřešen vylepšením ověřování symbolických odkazů.

CVE-2025-43448: Hikerell (Loadshine Lab)

CoreServices

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikace může zobrazit výčet nainstalovaných aplikací uživatele.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2025-43436: Zhongcheng Li z týmu IES Red Team společnosti ByteDance

CoreText

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého souboru médií může vést k neočekávanému ukončení aplikace nebo poškození paměti procesu.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.

CVE-2025-43445: Hossein Lotfi (@hosselot) z týmu Zero Day Initiative společnosti Trend Micro

Find My

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit sejmout otisk prstu uživatele.

Popis: Problém s ochranou soukromí byl vyřešen přesunutím citlivých dat.

CVE-2025-43507: iisBuri

FontParser

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého písma může vést k neočekávanému ukončení aplikace nebo poškození paměti procesu.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2025-43400: Apple

Installer

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit sejmout otisk prstu uživatele.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2025-43444: Zhongcheng Li z týmu IES Red Team společnosti ByteDance

Kernel

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43398: Cristian Dinca (icmd.tech)

Kernel

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Škodlivá aplikace může způsobit nečekané změny v paměti sdílené mezi procesy

Popis: Problém s poškozením paměti byl vyřešen lepším ověřováním stavu zamčení.

CVE-2025-43510: Apple

Kernel

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Škodlivé aplikaci se může podařit způsobit neočekávané ukončení systému nebo zapisovat do paměti jádra.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

CVE-2025-43520: Apple

libxpc

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci v sandboxu se může podařit pozorovat síťová připojení v měřítku celého systému.

Popis: Problém s přístupem byl vyřešen přidáním dalších omezení sandboxu.

CVE-2025-43413: Dave G. a Alex Radocea ze supernetworks.org

Mail

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Útočníkovi se může podařit způsobit přetrvávající odepření služby.

Popis: Problém s parsováním hlaviček pošty byl vyřešen vylepšením kontrol.

CVE-2025-43494: Taavi Eomäe ze společnosti Zone Media (zone.ee)

Mail Drafts

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Vzdálený obsah se může načítat, i když je volba „Načíst vzdálené obrázky“ vypnutá.

Popis: Problém byl vyřešen přidáním další logiky.

CVE-2025-43496: Romain Lebesle, Himanshu Bharti @Xpl0itme ze společnosti Khatima

MallocStackLogging

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Existoval problém v práci s proměnnými prostředí. Problém byl vyřešen vylepšením ověřování.

CVE-2025-43294: Gergely Kalman (@gergely_kalman)

Phone

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Útočníkovi s fyzickým přístupem k zamknutým Apple Watch se může podařit zobrazit Živý záznamník.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2025-43459: Dalibor Milanovic

Safari

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Návštěva škodlivého webu může vést ke zfalšování uživatelského rozhraní.

Popis: Problém s nekonzistentním uživatelským rozhraním byl vyřešen vylepšením správy stavu.

CVE-2025-43503: @RenwaX23

Sandbox Profiles

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém se soukromím byl vyřešen lepším zpracováváním uživatelských předvoleb.

CVE-2025-43500: Stanislav Jelezoglo

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Škodlivý web může získat data napříč původy.

Popis: Problém byl vyřešen vylepšením kontroly.

CVE-2025-43480: Aleksejs Popovs

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém byl vyřešen vylepšením správy stavů.

CVE-2025-43458: Phil Beauvoir

CVE-2025-43430: Google Big Sleep

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2025-43443: anonymní výzkumník

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém byl vyřešen vylepšením kontrol

CVE-2025-43440: Nan Wang (@eternalsakura13)

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2025-43438: rheza (@ginggilBesel), shandikri ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2025-43457: Gary Kwong, Hossein Lotfi (@hosselot) z týmu Zero Day Initiative společnosti Trend Micro

CVE-2025-43434: Google Big Sleep

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43435: Justin Cohen ze společnosti Google

CVE-2025-43425: anonymní výzkumník

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého webového obsahu může vést k poškození paměti.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43433: Google Big Sleep

CVE-2025-43431: Google Big Sleep

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2025-43432: Hossein Lotfi (@hosselot) z týmu Zero Day Initiative společnosti Trend Micro

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém s přetečením vyrovnávací paměti byl vyřešen vylepšením kontroly rozsahu.

CVE-2025-43429: Google Big Sleep

WebKit Canvas

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Web může být schopný vytáhnout data obrázků napříč původy.

Popis: Problém byl vyřešen vylepšením zpracování mezipamětí.

CVE-2025-43392: Tom Van Goethem

Další poděkování

Mail

Poděkování za pomoc zaslouží anonymní výzkumník.

MobileInstallation

Poděkování za pomoc zaslouží Bubble Zhang.

Safari

Poděkování za pomoc zaslouží Barath Stalin K a Syarif Muhammad Sajjad.

Shortcuts

Poděkování za pomoc zaslouží: BanKai, Benjamin Hornbeck, Chi Yuan Chang ze ZUSO ART a taikosoup, Ryan May, Andrew James Gonzalez a dále anonymní výzkumník.

WebKit

Poděkování za pomoc zaslouží Enis Maholli (enismaholli.com), Google Big Sleep.