Om Apple-sikkerhedsopdateringer
Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden om Apple-sikkerhedsopdateringer.
Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed. Du kan kryptere din kommunikation med Apple ved hjælp af PGP-nøglen til Apple-produktsikkerhed.
Apple sikkerhedsdokumenterer om muligt henvisninger til sikkerhedsproblemer med et CVE-id.
watchOS 5.1
Udgivet 30. oktober 2018
AppleAVD
Fås til: Apple Watch Series 1 og nyere
Effekt: Et skadeligt program kan muligvis få adgang til hævede rettigheder
Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.
CVE-2018-4384: Natalie Silvanovich fra Google Project Zero
CoreCrypto
Fås til: Apple Watch Series 1 og nyere
Effekt: En person med ondsindede hensigter kan måske udnytte svagheder i Miller-Rabin-testen til at identificere primtal ukorrekt
Beskrivelse: Der var et problem med metoden til bestemmelse af primtal. Dette problem er løst ved at bruge pseudotilfældige baser til test af primtal.
CVE-2018-4398: Martin Albrecht, Jake Massimo og Kenny Paterson fra Royal Holloway, University of London, og Juraj Somorovsky fra Ruhr University, Bochum
ICU
Fås til: Apple Watch Series 1 og nyere
Effekt: Behandling af streng med skadelig kode kan føre til beskadigelse af heap
Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.
CVE-2018-4394: Erik Verbruggen fra The Qt Company
Post opdateret 16. november 2018
IPSec
Fås til: Apple Watch Series 1 og nyere
Effekt: Et program kan få adgang til hævede rettigheder
Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.
CVE-2018-4371: Tim Michaud (@TimGMichaud) fra Leviathan Security Group
Kernel
Fås til: Apple Watch Series 1 og nyere
Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder
Beskrivelse: Et problem med beskadiget hukommelse er løst ved at fjerne den sårbare kode.
CVE-2018-4420: Mohamed Ghannam (@_simo36)
Kernel
Fås til: Apple Watch Series 1 og nyere
Effekt: Et program kan muligvis læse beskyttet hukommelse
Beskrivelse: Et problem med hukommelsesinitialisering er løst via forbedret hukommelseshåndtering.
CVE-2018-4413: Juwei Lin (@panicaII) fra TrendMicro Mobile Security Team
Kernel
Fås til: Apple Watch Series 1 og nyere
Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder
Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.
CVE-2018-4419: Mohamed Ghannam (@_simo36)
Fås til: Apple Watch Series 1 og nyere
Effekt: Behandling af en skadelig besked kan medføre et DoS-angreb
Beskrivelse: Et problem med opbrugte ressourcer er løst via forbedret inputvalidering.
CVE-2018-4381: Angel Ramirez
Post tilføjet 22. januar 2019
NetworkExtension
Fås til: Apple Watch Series 1 og nyere
Effekt: Oprettelse af forbindelse til en VPN-server kan lække DNS-forespørgsler til en DNS-proxy
Beskrivelse: Et logikproblem er løst gennem forbedret statusadministration.
CVE-2018-4369: En anonym programmør
Læser i Safari
Fås til: Apple Watch Series 1 og nyere
Effekt: Aktivering af funktionen Læser i Safari på en skadelig webside kan føre til universel scripting på tværs af websteder
Beskrivelse: Et logikproblem er løst via forbedret godkendelse.
CVE-2018-4374: Ryan Pickren (ryanpickren.com)
Læser i Safari
Fås til: Apple Watch Series 1 og nyere
Effekt: Aktivering af funktionen Læser i Safari på en skadelig webside kan føre til universel scripting på tværs af websteder
Beskrivelse: Der var et problem med scripting på tværs af websteder i Safari. Problemet er løst ved forbedret validering af URL-adresser.
CVE-2018-4377: Ryan Pickren (ryanpickren.com)
Sikkerhed
Fås til: Apple Watch Series 1 og nyere
Effekt: Behandling af en skadelig S/MIME-signeret meddelelse kan medføre et DoS-angreb
Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret logik.
CVE-2018-4400: Yukinobu Nagayasu fra LAC Co., Ltd.
WebKit
Fås til: Apple Watch Series 1 og nyere
Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode
Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.
CVE-2018-4372: HyungSeok Han, DongHyeon Oh og Sang Kil Cha fra KAIST Softsec Lab, Korea
CVE-2018-4373: ngg, alippai, DirtYiCE, KT fra Tresorit, som arbejder sammen med Trend Micros Zero Day Initiative
CVE-2018-4375: Yu Haiwan og Wu Hongjun fra Nanyang Technological University, som arbejder sammen med Trend Micros Zero Day Initiative
CVE-2018-4376: 010, som arbejder sammen med Trend Micros Zero Day Initiative
CVE-2018-4382: lokihardt fra Google Project Zero
CVE-2018-4386: lokihardt fra Google Project Zero
CVE-2018-4392: zhunki fra 360 ESG Codesafe Team
CVE-2018-4416: lokihardt fra Google Project Zero
WebKit
Fås til: Apple Watch Series 1 og nyere
Effekt: Behandling af webindhold med skadelig kode kan føre til kodekørsel
Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret validering.
CVE-2018-4378: HyungSeok Han, DongHyeon Oh og Sang Kil Cha fra KAIST Softsec Lab, Korea, zhunki fra 360 ESG Codesafe Team
Post opdateret 16. november 2018
Wi-Fi
Fås til: Apple Watch Series 1 og nyere
Effekt: En hacker med en privilegeret position kan muligvis fremkalde et DoS-angreb
Beskrivelse: Et Denial of Service-problem blev rettet via forbedret validering.
CVE-2018-4368: Milan Stute og Alex Mariotto fra Secure Mobile Networking Lab på Technische Universität Darmstadt
Yderligere anerkendelser
Certifikatsignering
Vi vil gerne takke Yiğit Can YILMAZ (@yilmazcanyigit) for hjælpen.
coreTLS
Vi vil gerne takke Eyal Ronen (Weizmann Institute), Robert Gillham (University of Adelaide), Daniel Genkin (University of Michigan), Adi Shamir (Weizmann Institute), David Wong (NCC Group) og Yuval Yarom (University of Adelaide og Data61) for hjælpen.
Post tilføjet 12. december 2018
Læser i Safari
Vi vil gerne takke Ryan Pickren (ryanpickren.com) for hjælpen.
Post tilføjet 3. april 2019
Sikkerhed
Vi vil gerne takke Marinos Bernitsas fra Parachute for hjælpen.