Om sikkerhedsindholdet i watchOS 5.3

I dette dokument beskrives sikkerhedsindholdet i watchOS 5.3.

Om Apple-sikkerhedsopdateringer

Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden om Apple-sikkerhedsopdateringer.

Apple sikkerhedsdokumenterer om muligt henvisninger til sikkerhedsproblemer med et CVE-id.

Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed.

watchOS 5.3

Bluetooth

Fås til: Apple Watch Series 1 og nyere

Effekt: En hacker i en privilegeret netværksposition kan muligvis opfange Bluetooth-trafik (Key Negotiation of Bluetooth – KNOB)

Beskrivelse: Der var et problem med godkendelse af input i Bluetooth. Problemet er løst ved forbedret inputvalidering.

CVE-2019-9506: Daniele Antonioli fra SUTD, Singapore, Dr. Nils Ole Tippenhauer fra CISPA, Tyskland og professor Kasper Rasmussen fra University of Oxford, England

Ændringerne for dette problem begrænser CVE-2020-10135.

Kernedata

Fås til: Apple Watch Series 1 og nyere

Effekt: En ekstern hacker kan lække hukommelse

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2019-8646: natashenka fra Google Project Zero

Kernedata

Fås til: Apple Watch Series 1 og nyere

Effekt: Et fjernangreb kan medføre kørsel af vilkårlig kode

Beskrivelse: Et use-after-free problem blev rettet ved forbedret hukommelseshåndtering.

CVE-2019-8647: Samuel Groß og natashenka fra Google Project Zero

Kernedata

Fås til: Apple Watch Series 1 og nyere

Effekt: En ekstern hacker kan muligvis forårsage pludselig programlukning eller vilkårlig kørsel af kode

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2019-8660: Samuel Groß og natashenka fra Google Project Zero

Digital Touch

Fås til: Apple Watch Series 1 og nyere

Effekt: En ekstern hacker kan lække hukommelse

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2019-8624: natashenka fra Google Project Zero

FaceTime

Fås til: Apple Watch Series 1 og nyere

Effekt: Et fjernangreb kan medføre kørsel af vilkårlig kode

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2019-8648: Tao Huang og Tielei Wang fra Team Pangu

Heimdal

Fås til: Apple Watch Series 1 og nyere

Effekt: Der var et problem i Samba, som muligvis lod hackere udføre uautoriserede handlinger ved at opfange kommunikation mellem tjenester

Beskrivelse: Problemet er løst ved hjælp af forbedret kontrol for at forhindre uautoriserede handlinger i at blive udført.

CVE-2018-16860: Isaac Boukris og Andrew Bartlett fra Samba Team og Catalyst

Billedbehandling

Fås til: Apple Watch Series 1 og nyere

Effekt: Behandling af et skadeligt billede kan medføre DoS (Denial of Service)

Beskrivelse: Et Denial of Service-problem blev rettet via forbedret validering.

CVE-2019-8668: En anonym programmør

Kernel

Fås til: Apple Watch Series 1 og nyere

Effekt: Et program kan muligvis læse beskyttet hukommelse

Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret rensning af input.

CVE-2019-8633: Zhuo Liang fra Qihoo 360 Vulcan Team

libxslt

Fås til: Apple Watch Series 1 og nyere

Effekt: En hacker kan muligvis se følsomme oplysninger

Beskrivelse: Et problem med stackoverløb er løst ved hjælp af forbedret inputvalidering.

CVE-2019-13118: fundet af OSS-Fuzz

Beskeder

Fås til: Apple Watch Series 1 og nyere

Effekt: Brugere, der er fjernet fra en iMessage-samtale, kan muligvis stadig ændre tilstand

Beskrivelse: Problemet er løst ved forbedret kontrol.

CVE-2019-8659: Ryan Kontos (@ryanjkontos), Will Christensen fra University of Oregon

Beskeder

Fås til: Apple Watch Series 1 og nyere

Effekt: En ekstern hacker kan muligvis forårsage uventet afslutning af programmet

Beskrivelse: Et Denial of Service-problem blev rettet via forbedret validering.

CVE-2019-8665: Michael Hernandez fra XYZ Marketing

Vis

Fås til: Apple Watch Series 1 og nyere

Effekt: En hacker kan muligvis udløse use-after-free i et program, hvilket afslutter serialisering af en NSDictionary, der ikke er tillid til

Beskrivelse: Problemet er løst ved forbedret kontrol.

CVE-2019-8662: natashenka og Samuel Groß fra Google Project Zero

Siri

Fås til: Apple Watch Series 1 og nyere

Effekt: En ekstern hacker kan lække hukommelse

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2019-8646: natashenka fra Google Project Zero

UIFoundation

Fås til: Apple Watch Series 1 og nyere

Effekt: Parsing af et skadeligt Office-dokument kan medføre pludselig programlukning eller kørsel af vilkårlig kode

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2019-8657: riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative

Wallet

Fås til: Apple Watch Series 1 og nyere

Effekt: En bruger kan utilsigtet komme til at gennemføre et køb i appen, mens låst skærm er slået til

Beskrivelse: Problemet er løst ved forbedret håndtering af brugergrænsefladen.

CVE-2019-8682: Jeff Braswell (JeffBraswell.com)

WebKit

Fås til: Apple Watch Series 1 og nyere

Effekt: Behandling af webindhold med skadelig kode kan føre til universel scripting på tværs af websteder

Beskrivelse: Et logikproblem er løst gennem forbedret statusadministration.

CVE-2019-8658: akayn, der arbejder med Trend Micros Zero Day Initiative

WebKit

Fås til: Apple Watch Series 1 og nyere

Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2019-8669: akayn, der arbejder med Trend Micros Zero Day Initiative

CVE-2019-8672: Samuel Groß fra Google Project Zero

CVE-2019-8676: Soyeon Park og Wen Xu fra SSLab på Georgia Tech

CVE-2019-8683: lokihardt fra Google Project Zero

CVE-2019-8684: lokihardt fra Google Project Zero

CVE-2019-8685: akayn, Dongzhuo Zhao, der arbejder med ADLab fra Venustech, Ken Wong (@wwkenwong) fra VXRL, Anthony Lai (@darkfloyd1014) fra VXRL og Eric Lung (@Khlung1) fra VXRL

CVE-2019-8688: Insu Yun fra SSLab på Georgia Tech

CVE-2019-8689: lokihardt fra Google Project Zero

Yderligere anerkendelser

MobileInstallation

Vi vil gerne takke Dany Lisiansky (@DanyL931) for hjælpen.