Om sikkerhedsindholdet i watchOS 7.4

Dette dokument beskriver sikkerhedsindholdet i watchOS 7.4.

Om Apple-sikkerhedsopdateringer

Af hensyn til vores kunders sikkerhed videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De seneste udgivelser er angivet på siden Apple-sikkerhedsopdateringer.

Apples sikkerhedsdokumenter henviser til sikkerhedsrisici med et CVE-id, når det er muligt.

Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed.

watchOS 7.4

AppleMobileFileIntegrity

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Et skadeligt program kan muligvis omgå indstillingerne for fortrolighed

Beskrivelse: Et problem med validering af kodesignatur er løst med forbedret kontrol.

CVE-2021-1849: Siguza

Audio

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Et program kan muligvis læse beskyttet hukommelse

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret validering.

CVE-2021-1808: JunDong Xie fra Ant Security Light-Year Lab

CFNetwork

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af skadeligt webindhold kan medføre afsløring af følsomme brugeroplysninger

Beskrivelse: Et problem med hukommelsesinitialisering er løst via forbedret hukommelseshåndtering.

CVE-2021-1857: En anonym programmør

Compression

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering

Beskrivelse: Behandling af et skadeligt billedarkiv kan medføre afvikling af vilkårlig kode.

CVE-2021-30752: Ye Zhang(@co0py_Cat) fra Baidu Security

CoreAudio

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af et skadeligt arkiv kan medføre kørsel af vilkårlig kode

Beskrivelse: Et out-of-bounds-skriveproblem blev løst via forbedret kontrol af grænser.

CVE-2021-30664: JunDong Xie fra Ant Security Light-Year Lab

CoreAudio

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af et skadeligt lydarkiv kan medføre afsløring af beskyttet hukommelse

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2021-1846: JunDong Xie fra Ant Security Light-Year Lab

CoreAudio

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Et skadeligt program kan muligvis læse beskyttet hukommelse

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret validering.

CVE-2021-1809: JunDong Xie fra Ant Security Light-Year Lab

CoreFoundation

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Et skadeligt program kan lække følsomme brugeroplysninger

Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret logik.

CVE-2021-30659: Thijs Alkemade fra Computest

CoreText

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af en skadelig skrift kan medføre afsløring af proceshukommelse

Beskrivelse: Et logikproblem er løst gennem forbedret statusadministration.

CVE-2021-1811: Xingwei Lin fra Ant Security Light-Year Lab

FaceTime

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Hvis lyden slås fra for et CallKit-opkald, mens der ringes, aktiveres funktionen til at slå lyden fra muligvis ikke

Beskrivelse: Et logikproblem er løst gennem forbedret statusadministration.

CVE-2021-1872: Siraj Zaneer fra Facebook

FontParser

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af et skadeligt skriftarkiv kan medføre kørsel af vilkårlig kode

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2021-1881: En anonym programmør, Xingwei Lin fra Ant Security Light-Year Lab, Mickey Jin fra Trend Micro og Hou JingYi (@hjy79425575) fra Qihoo 360

Foundation

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret validering.

CVE-2021-1882: Gabe Kirkpatrick (@gabe_k)

Foundation

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Et skadeligt program kan muligvis opnå rodrettigheder

Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret logik.

CVE-2021-1813: Cees Elzinga

Heimdal

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af servermeddelelser med skadelig kode kan føre til beskadigelse af heap

Beskrivelse: Problemet er løst ved forbedret kontrol.

CVE-2021-1883: Gabe Kirkpatrick (@gabe_k)

Heimdal

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: En ekstern hacker kan muligvis fremkalde et Denial of Service-angreb

Beskrivelse: En konkurrencetilstand er løst ved forbedret låsning.

CVE-2021-1884: Gabe Kirkpatrick (@gabe_k)

ImageIO

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af et skadeligt billedarkiv kan medføre kørsel af vilkårlig kode

Beskrivelse: Problemet er løst ved forbedret kontrol.

CVE-2021-1880: Xingwei Lin fra Ant Security Light-Year Lab

CVE-2021-30653: Ye Zhang fra Baidu Security

CVE-2021-1814: Ye Zhang fra Baidu Security, Mickey Jin og Qi Sun fra Trend Micro og Xingwei Lin fra Ant Security Light-Year Lab

CVE-2021-1843: Ye Zhang fra Baidu Security

ImageIO

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af et skadeligt billedarkiv kan medføre kørsel af vilkårlig kode

Beskrivelse: Et out-of-bounds-læseproblem er løst via forbedret kontrol af grænser.

CVE-2021-1885: CFF fra Topsec Alpha Team

ImageIO

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af et skadeligt billedarkiv kan medføre kørsel af vilkårlig kode

Beskrivelse: Et out-of-bounds-skriveproblem blev løst via forbedret kontrol af grænser.

CVE-2021-1858: Mickey Jin fra Trend Micro

ImageIO

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Der var et out-of-bounds-skriveproblem, som er løst ved forbedret inputvalidering

Beskrivelse: Behandling af et skadeligt billedarkiv kan medføre afvikling af vilkårlig kode.

CVE-2021-30743: Ye Zhang (@co0py_Cat) fra Baidu Security, Jzhu, der arbejder med Trend Micros Zero Day Initiative, Xingwei Lin fra Ant Security Light-Year Lab, CFF fra Topsec Alpha Team, Jeonghoon Shin (@singi21a) fra THEORI, der arbejder med Trend Micros Zero Day Initiative

ImageIO

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Problemet er løst ved forbedret kontrol

Beskrivelse: Behandling af et skadeligt arkiv kan medføre afvikling af vilkårlig kode.

CVE-2021-30764: Anonym, der arbejder med Trend Micros Zero Day Initiative

iTunes Store

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: En hacker, der kører JavaScript, kan muligvis køre vilkårlig kode

Beskrivelse: Et use-after-free problem blev rettet ved forbedret hukommelseshåndtering.

CVE-2021-1864: CodeColorist fra Ant-Financial LightYear Labs

Kernel

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Et skadeligt program kan muligvis afsløre kernehukommelse

Beskrivelse: Et problem med hukommelsesinitialisering er løst via forbedret hukommelseshåndtering.

CVE-2021-1860: @0xalsr

Kernel

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Et skadeligt program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Der var et problem med bufferoverløb, som blev løst gennem forbedret kontrol af grænser.

CVE-2021-1816: Tielei Wang fra Pangu Lab

Kernel

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et logikproblem er løst gennem forbedret statusadministration.

CVE-2021-1851: @0xalsr

Kernel

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Kopierede arkiver har muligvis ikke de forventede arkivtilladelser

Beskrivelse: Problemet er løst med forbedret tilladelseslogik.

CVE-2021-1832: En anonym programmør

Kernel

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Et skadeligt program kan muligvis afsløre kernehukommelse

Beskrivelse: Et out-of-bounds-læseproblem er løst via forbedret kontrol af grænser.

CVE-2021-30660: Alex Plaskett

libxpc

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Et skadeligt program kan muligvis opnå rodrettigheder

Beskrivelse: En konkurrencetilstand er blevet løst med yderligere validering.

CVE-2021-30652: James Hutchins

libxslt

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af et skadeligt arkiv kan medføre beskadigelse af heap

Beskrivelse: Et double free-problem er løst gennem forbedret hukommelseshåndtering.

CVE-2021-1875: Fundet af OSS-Fuzz

MobileInstallation

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: En lokal bruger kan muligvis ændre beskyttede dele af arkivsystemet

Beskrivelse: Et logikproblem er løst via forbedrede begrænsninger.

CVE-2021-1822: Bruno Virlet fra The Grizzly Labs

Preferences

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: En lokal bruger kan muligvis ændre beskyttede dele af arkivsystemet

Beskrivelse: Et parsingproblem i forbindelse med behandlingen af biblioteksstier blev løst via forbedret stigodkendelse.

CVE-2021-1815: Zhipeng Huo (@R3dF09) og Yuebin Sun (@yuebinsun2020) fra Tencent Security Xuanwu Lab (xlab.tencent.com)

CVE-2021-1739: Zhipeng Huo (@R3dF09) og Yuebin Sun (@yuebinsun2020) fra Tencent Security Xuanwu Lab (xlab.tencent.com)

CVE-2021-1740: Zhipeng Huo (@R3dF09) og Yuebin Sun (@yuebinsun2020) fra Tencent Security Xuanwu Lab (xlab.tencent.com)

Safari

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: En lokal bruger kan muligvis skrive vilkårlige arkiver

Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret rensning af input.

CVE-2021-1807: David Schütz (@xdavidhu)

Tailspin

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: En lokal hacker kan opnå hævede rettigheder

Beskrivelse: Et logikproblem er løst gennem forbedret statusadministration.

CVE-2021-1868: Tim Michaud fra Zoom Communications

WebKit

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af webindhold med skadelig kode kan føre til scriptingangreb på tværs af websteder

Beskrivelse: Et problem med godkendelse af input er løst via forbedret godkendelse af input.

CVE-2021-1825: Alex Camboe fra Aon’s Cyber Solutions

WebKit

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode

Beskrivelse: Der var et problem med beskadiget hukommelse, som er løst via forbedret statusadministration.

CVE-2021-1817: zhunki

WebKit

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af webindhold med skadelig kode kan føre til universel scripting på tværs af websteder

Beskrivelse: Et logikproblem er løst via forbedrede begrænsninger.

CVE-2021-1826: En anonym programmør

WebKit

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af skadeligt webindhold kan resultere i afsløring af proceshukommelse

Beskrivelse: Et problem med hukommelsesinitialisering er løst via forbedret hukommelseshåndtering.

CVE-2021-1820: André Bargull

WebKit Storage

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode. Apple er opmærksom på, at dette problem kan være blevet aktivt udnyttet.

Beskrivelse: Et use-after-free problem blev rettet ved forbedret hukommelseshåndtering.

CVE-2021-30661: yangkang(@dnpushme) fra 360 ATA

WebRTC

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Et use-after-free-problem blev rettet ved forbedret hukommelseshåndtering

Beskrivelse: En hacker kan muligvis udløse pludselig programlukning eller læsning af kernehukommelsen.

CVE-2020-7463: Megan2013678

Wi-Fi

Fås til: Apple Watch Series 3 og nyere modeller

Effekt: Et logikproblem er løst gennem forbedret statusadministration

Beskrivelse: Et bufferoverløb kan muligvis medføre kørsel af vilkårlig kode.

CVE-2021-1770: Jiska Classen (@naehrdine) fra Secure Mobile Networking Lab, TU Darmstadt

Yderligere anerkendelser

AirDrop

Vi vil gerne takke @maxzks for hjælpen.

CoreAudio

Vi vil gerne takke en anonym programmør for hjælpen.

CoreCrypto

Vi vil gerne takke Andy Russon fra Orange Group for hjælpen.

File Bookmark

Vi vil gerne takke en anonym programmør for hjælpen.

Foundation

Vi vil gerne takke CodeColorist fra Ant-Financial LightYear Labs for hjælpen.

Kernel

Vi vil gerne takke Antonio Frighetto fra Politecnico di Milano, GRIMM, Keyu Man, Zhiyun Qian, Zhongjie Wang, Xiaofeng Zheng, Youjun Huang, Haixin Duan, Mikko Kenttälä ( @Turmio_ ) fra SensorFu, Proteas og Tielei Wang fra Pangu Lab for hjælpen.

Security

Vi vil gerne takke Xingwei Lin fra Ant Security Light-Year Lab og john (@nyan_satan) for hjælpen.

sysdiagnose

Vi vil gerne takke Tim Michaud (@TimGMichaud) fra Leviathan for hjælpen.

WebKit

Vi vil gerne takke Emilio Cobos Álvarez fra Mozilla for hjælpen.