Om sikkerhedsindholdet i watchOS 5.3
I dette dokument beskrives sikkerhedsindholdet i watchOS 5.3.
Om Apple-sikkerhedsopdateringer
Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden om Apple-sikkerhedsopdateringer.
Apple sikkerhedsdokumenterer om muligt henvisninger til sikkerhedsproblemer med et CVE-id.
Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed.
watchOS 5.3
Bluetooth
Fås til: Apple Watch Series 1 og nyere
Effekt: En hacker i en privilegeret netværksposition kan muligvis opfange Bluetooth-trafik (Key Negotiation of Bluetooth – KNOB)
Beskrivelse: Der var et problem med godkendelse af input i Bluetooth. Problemet er løst ved forbedret inputvalidering.
CVE-2019-9506: Daniele Antonioli fra SUTD, Singapore, Dr. Nils Ole Tippenhauer fra CISPA, Tyskland og professor Kasper Rasmussen fra University of Oxford, England
Ændringerne for dette problem begrænser CVE-2020-10135.
Kernedata
Fås til: Apple Watch Series 1 og nyere
Effekt: En ekstern hacker kan lække hukommelse
Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.
CVE-2019-8646: natashenka fra Google Project Zero
Kernedata
Fås til: Apple Watch Series 1 og nyere
Effekt: Et fjernangreb kan medføre kørsel af vilkårlig kode
Beskrivelse: Et use-after-free problem blev rettet ved forbedret hukommelseshåndtering.
CVE-2019-8647: Samuel Groß og natashenka fra Google Project Zero
Kernedata
Fås til: Apple Watch Series 1 og nyere
Effekt: En ekstern hacker kan muligvis forårsage pludselig programlukning eller vilkårlig kørsel af kode
Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.
CVE-2019-8660: Samuel Groß og natashenka fra Google Project Zero
Digital Touch
Fås til: Apple Watch Series 1 og nyere
Effekt: En ekstern hacker kan lække hukommelse
Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.
CVE-2019-8624: natashenka fra Google Project Zero
FaceTime
Fås til: Apple Watch Series 1 og nyere
Effekt: Et fjernangreb kan medføre kørsel af vilkårlig kode
Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.
CVE-2019-8648: Tao Huang og Tielei Wang fra Team Pangu
Heimdal
Fås til: Apple Watch Series 1 og nyere
Effekt: Der var et problem i Samba, som muligvis lod hackere udføre uautoriserede handlinger ved at opfange kommunikation mellem tjenester
Beskrivelse: Problemet er løst ved hjælp af forbedret kontrol for at forhindre uautoriserede handlinger i at blive udført.
CVE-2018-16860: Isaac Boukris og Andrew Bartlett fra Samba Team og Catalyst
Billedbehandling
Fås til: Apple Watch Series 1 og nyere
Effekt: Behandling af et skadeligt billede kan medføre DoS (Denial of Service)
Beskrivelse: Et Denial of Service-problem blev rettet via forbedret validering.
CVE-2019-8668: En anonym programmør
Kernel
Fås til: Apple Watch Series 1 og nyere
Effekt: Et program kan muligvis læse beskyttet hukommelse
Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret rensning af input.
CVE-2019-8633: Zhuo Liang fra Qihoo 360 Vulcan Team
libxslt
Fås til: Apple Watch Series 1 og nyere
Effekt: En hacker kan muligvis se følsomme oplysninger
Beskrivelse: Et problem med stackoverløb er løst ved hjælp af forbedret inputvalidering.
CVE-2019-13118: fundet af OSS-Fuzz
Beskeder
Fås til: Apple Watch Series 1 og nyere
Effekt: Brugere, der er fjernet fra en iMessage-samtale, kan muligvis stadig ændre tilstand
Beskrivelse: Problemet er løst ved forbedret kontrol.
CVE-2019-8659: Ryan Kontos (@ryanjkontos), Will Christensen fra University of Oregon
Beskeder
Fås til: Apple Watch Series 1 og nyere
Effekt: En ekstern hacker kan muligvis forårsage uventet afslutning af programmet
Beskrivelse: Et Denial of Service-problem blev rettet via forbedret validering.
CVE-2019-8665: Michael Hernandez fra XYZ Marketing
Vis
Fås til: Apple Watch Series 1 og nyere
Effekt: En hacker kan muligvis udløse use-after-free i et program, hvilket afslutter serialisering af en NSDictionary, der ikke er tillid til
Beskrivelse: Problemet er løst ved forbedret kontrol.
CVE-2019-8662: natashenka og Samuel Groß fra Google Project Zero
Siri
Fås til: Apple Watch Series 1 og nyere
Effekt: En ekstern hacker kan lække hukommelse
Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.
CVE-2019-8646: natashenka fra Google Project Zero
UIFoundation
Fås til: Apple Watch Series 1 og nyere
Effekt: Parsing af et skadeligt Office-dokument kan medføre pludselig programlukning eller kørsel af vilkårlig kode
Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.
CVE-2019-8657: riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative
Wallet
Fås til: Apple Watch Series 1 og nyere
Effekt: En bruger kan utilsigtet komme til at gennemføre et køb i appen, mens låst skærm er slået til
Beskrivelse: Problemet er løst ved forbedret håndtering af brugergrænsefladen.
CVE-2019-8682: Jeff Braswell (JeffBraswell.com)
WebKit
Fås til: Apple Watch Series 1 og nyere
Effekt: Behandling af webindhold med skadelig kode kan føre til universel scripting på tværs af websteder
Beskrivelse: Et logikproblem er løst gennem forbedret statusadministration.
CVE-2019-8658: akayn, der arbejder med Trend Micros Zero Day Initiative
WebKit
Fås til: Apple Watch Series 1 og nyere
Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode
Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.
CVE-2019-8669: akayn, der arbejder med Trend Micros Zero Day Initiative
CVE-2019-8672: Samuel Groß fra Google Project Zero
CVE-2019-8676: Soyeon Park og Wen Xu fra SSLab på Georgia Tech
CVE-2019-8683: lokihardt fra Google Project Zero
CVE-2019-8684: lokihardt fra Google Project Zero
CVE-2019-8685: akayn, Dongzhuo Zhao, der arbejder med ADLab fra Venustech, Ken Wong (@wwkenwong) fra VXRL, Anthony Lai (@darkfloyd1014) fra VXRL og Eric Lung (@Khlung1) fra VXRL
CVE-2019-8688: Insu Yun fra SSLab på Georgia Tech
CVE-2019-8689: lokihardt fra Google Project Zero
Yderligere anerkendelser
MobileInstallation
Vi vil gerne takke Dany Lisiansky (@DanyL931) for hjælpen.
Oplysninger om produkter, der ikke er produceret af Apple, eller uafhængige websteder, der ikke styres eller testes af Apple, leveres uden Apples anbefaling eller godkendelse. Apple påtager sig intet ansvar, hvad angår valg, ydeevne eller brug af websteder eller produkter fra andre producenter. Apple giver ingen erklæringer med hensyn til nøjagtigheden eller pålideligheden af websteder fra andre producenter. Kontakt producenten for at få flere oplysninger.