Informationen zu Apple-Sicherheitsupdates
Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, besprochen und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen findest du auf der Seite Apple-Sicherheitsupdates.
Weitere Informationen zur Sicherheit findest du auf der Seite zur Apple-Produktsicherheit. Deine Kommunikation mit Apple kannst du mit dem PGP-Schlüssel für die Apple-Produktsicherheit verschlüsseln.
Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.
watchOS 5.1
Veröffentlicht am 30. Oktober 2018
AppleAVD
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Ein Schadprogramm kann unter Umständen Rechte erhöhen.
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2018-4384: Natalie Silvanovich von Google Project Zero
CoreCrypto
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Ein Angreifer ist möglicherweise in der Lage, eine Schwachstelle im Miller-Rabin-Primzahltest auszunutzen und Primzahlen falsch zu identifizieren.
Beschreibung: Es bestand ein Problem mit der Methode zum Ermitteln von Primzahlen. Dieses Problem wurde durch die Verwendung pseudozufälliger Grundlagen zum Testen von Primzahlen behoben.
CVE-2018-4398: Martin Albrecht, Jake Massimo und Kenny Paterson von Royal Holloway, University of London und Juraj Somorovsky von der Ruhr-Universität Bochum
ICU
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Die Verarbeitung eines in böser Absicht erstellten Strings kann zu einer Heapbeschädigung führen.
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2018-4394: Erik Verbruggen von The Qt Company
Eintrag am 16. November 2018 aktualisiert
IPSec
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen.
Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2018-4371: Tim Michaud (@TimGMichaud) von der Leviathan Security Group
Kernel
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Ein Programm kann willkürlichen Code mit Kernel-Rechten ausführen.
Beschreibung: Ein Speicherfehler wurde durch Entfernen des angreifbaren Codes behoben.
CVE-2018-4420: Mohamed Ghannam (@_simo36)
Kernel
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Ein Programm kann eingeschränkten Speicher lesen.
Beschreibung: Ein Problem mit der Speicherinitialisierung wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2018-4413: Juwei Lin (@panicaII) vom TrendMicro Mobile Security Team
Kernel
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2018-4419: Mohamed Ghannam (@_simo36)
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Nachricht kann zu einem Denial-of-Service führen.
Beschreibung: Ein Problem mit der Ressourcenausschöpfung wurde durch eine bessere Eingabeüberprüfung behoben.
CVE-2018-4381: Angel Ramirez
Eintrag hinzugefügt am 22. Januar 2019
NetworkExtension
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Bei Verbindung mit einem VPN-Server können DNS-Anfragen an einen DNS-Proxy preisgegeben werden.
Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.
CVE-2018-4369: Ein anonymer Forscher
Safari Reader
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Das Aktivieren von Safari Reader auf einer in böser Absicht erstellten Webseite kann zu universellem Cross-Site-Scripting führen.
Beschreibung: Ein Logikproblem wurde durch eine verbesserte Überprüfung behoben.
CVE-2018-4374: Ryan Pickren (ryanpickren.com)
Safari Reader
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Das Aktivieren der Funktion Safari Reader auf einer in böser Absicht erstellten Webseite kann zu universellem Cross-Site-Scripting führen
Beschreibung: In Safari gab es mehrere Cross-Site-Scripting-Probleme. Dieses Problem wurde durch eine verbesserte URL-Überprüfung behoben.
CVE-2018-4377: Ryan Pickren (ryanpickren.com)
Sicherheit
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten S/MIME-signierten Nachricht kann zu einem Denial-of-Service führen.
Beschreibung: Ein Überprüfungsproblem wurde mit einer verbesserten Logik behoben.
CVE-2018-4400: Yukinobu Nagayasu von LAC Co., Ltd.
WebKit
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.
Beschreibung: Mehrere Speicherfehler wurden durch eine verbesserte Speicherverwaltung behoben.
CVE-2018-4372: HyungSeok Han, DongHyeon Oh und Sang Kil Cha vom KAIST Softsec Lab, Korea
CVE-2018-4373: ngg, alippai, DirtYiCE, KT von Tresorit in Zusammenarbeit mit der Zero Day Initiative von Trend Micro
CVE-2018-4375: Yu Haiwan und Wu Hongjun von der Nanyang Technological University in Zusammenarbeit mit der Zero Day Initiative von Trend Micro
CVE-2018-4376: 010 in Zusammenarbeit mit der Zero Day Initiative von Trend Micro
CVE-2018-4382: lokihardt von Google Project Zero
CVE-2018-4386: lokihardt von Google Project Zero
CVE-2018-4392: zhunki vom 360 ESG Codesafe Team
CVE-2018-4416: lokihardt von Google Project Zero
WebKit
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von Code führen.
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Überprüfung behoben.
CVE-2018-4378: HyungSeok Han, DongHyeon Oh und Sang Kil Cha von KAIST Softsec Lab, Korea, Zhunki vom 360 ESG Codesafe Team
Eintrag am 16. November 2018 aktualisiert
WLAN
Verfügbar für: Apple Watch Series 1 und neuer
Auswirkung: Ein Angreifer in einer privilegierten Position kann einen Denial-of-Service-Angriff verursachen.
Beschreibung: Ein Denial-of-Service-Problem wurde durch eine verbesserte Prüfung behoben.
CVE-2018-4368: Milan Stute und Alex Mariotto vom Secure Mobile Networking Lab an der Technischen Universität Darmstadt
Zusätzliche Danksagung
Zertifikatsignatur
Wir möchten uns bei Yiğit Can YILMAZ (@yilmazcanyigit) für die Unterstützung bedanken.
coreTLS
Wir danken Eyal Ronen (Weizmann Institute), Robert Gillham (University of Adelaide), Daniel Genkin (University of Michigan), Adi Shamir (Weizmann Institute), David Wong (NCC Group) und Yuval Yarom (University of Adelaide und Data61) für ihre Unterstützung.
Eintrag hinzugefügt am 12. Dezember 2018
Safari Reader
Wir danken Ryan Pickren (ryanpickren.com) für die Unterstützung.
Eintrag am 3. April 2019 hinzugefügt
Sicherheit
Wir möchten uns bei Marinos Bernitsas von Parachute für die Unterstützung bedanken.