Informationen zum Sicherheitsinhalt von watchOS 7.6

In diesem Dokument wird der Sicherheitsinhalt von watchOS 7.6 beschrieben.

Informationen zu Apple-Sicherheitsupdates

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, besprochen und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen findest du auf der Seite Apple-Sicherheitsupdates.

Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.

Weitere Informationen zur Sicherheit findest du auf der Seite zur Apple-Produktsicherheit.

watchOS 7.6

ActionKit

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Ein Kurzbefehl kann möglicherweise die Internetberechtigungsanforderungen umgehen.

Beschreibung: Ein Problem mit der Eingabeüberprüfung wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2021-30763: Zachary Keffaber (@QuickUpdate5)

Analytics

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Ein lokaler Angreifer kann auf Analysedaten zugreifen.

Beschreibung: Ein Logikproblem wurde durch verbesserte Einschränkungen behoben.

CVE-2021-30871: Denis Tokarev (@illusionofcha0s)

App Store

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Ein in böswilliger Absicht erstelltes Programm kann bestimmte Datenschutzeinstellungen umgehen.

Beschreibung: Ein Berechtigungsproblem wurde durch eine verbesserte Überprüfung behoben.

CVE-2021-31006: Csaba Fitzl (@theevilbit) von Offensive Security

Audio

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Ein lokaler Angreifer kann einen unerwarteten Programmabbruch oder die Ausführung willkürlichen Codes verursachen

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

CVE-2021-30781: tr3e

CoreAudio

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Audiodatei kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-30775: JunDong Xie von Ant Security Light-Year Lab

CoreAudio

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Die Wiedergabe einer in böswilliger Absicht erstellten Audiodatei kann zu einem unerwarteten Programmabbruch führen

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Überprüfung behoben.

CVE-2021-30776: JunDong Xie von Ant Security Light-Year Lab

CoreText

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Schriftdatei kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2021-30789: Mickey Jin (@patch1t) von Trend Micro, Sunglin von Knownsec 404 team

Crash Reporter

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Ein Schadprogramm kann möglicherweise Root-Rechte erlangen.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Überprüfung behoben.

CVE-2021-30774: Yizhuo Wang von Group of Software Security In Progress (G.O.S.S.I.P) der Shanghai Jiao Tong University

CVMS

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Ein Schadprogramm kann möglicherweise Root-Rechte erlangen.

Beschreibung: Ein Problem mit Schreibvorgängen außerhalb der Speicherbegrenzungen wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2021-30780: Tim Michaud (@TimGMichaud) von Zoom Video Communications

dyld

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Ein in der Sandbox ausgeführter Prozess kann möglicherweise Sandbox-Einschränkungen umgehen.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Überprüfung behoben.

CVE-2021-30768: Linus Henze (pinauten.de)

FontParser

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Schriftdatei kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Ganzzahlüberlauf wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2021-30760: Sunglin von Knownsec 404 team

FontParser

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Die Verarbeitung einer in böswilliger Absicht erstellten TIFF-Datei kann zu einem Denial-of-Service führen und möglicherweise Speicherinhalte preisgeben.

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

CVE-2021-30788: tr3e in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

FontParser

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Schriftdatei kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Stapelüberlauf wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2021-30759: hjy79425575 in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

Identity Service

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Code-Signaturprüfungen können von einem Schadprogramm umgangen werden.

Beschreibung: Ein Problem bei der Überprüfung von Code-Signaturen wurde durch verbesserte Prüfungen behoben.

CVE-2021-30773: Linus Henze (pinauten.de)

ImageIO

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Bilddatei kann zur Ausführung willkürlichen Codes führen.

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

CVE-2021-30779: Jzhu, Ye Zhang (@co0py_Cat) von Baidu Security

ImageIO

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Bilddatei kann zur Ausführung willkürlichen Codes führen.

Beschreibung: Ein Problem mit einem Pufferüberlauf wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2021-30785: Mickey Jin (@patch1t) von Trend Micro in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

Kernel

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Ein Angreifer mit willkürlichen Lese- und Schreibrechten kann möglicherweise die Authentifizierung von Zeigern umgehen.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-30769: Linus Henze (pinauten.de)

Kernel

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Ein Angreifer, der bereits Codes im Kernel ausführen kann, kann Schutzmaßnahmen für den Kernel-Speicher umgehen.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Überprüfung behoben.

CVE-2021-30770: Linus Henze (pinauten.de)

libxml2

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Ein entfernter Angreifer kann die Ausführung von willkürlichem Code verursachen.

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

CVE-2021-3518

Networking

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Das Aufrufen einer in böser Absicht erstellten Website kann zu einem Denial-of-Service des Systems führen.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-1821: Georgi Valkov (httpstorm.com)

TCC

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Ein in böswilliger Absicht erstelltes Programm kann bestimmte Datenschutzeinstellungen umgehen.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-30798: Mickey Jin (@patch1t) von Trend Micro in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

WebKit

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Typenverwechslungsproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-30758: Christoph Guttandin von Media Codings

WebKit

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30795: Sergei Glazunov von Google Project Zero

WebKit

Verfügbar für: Apple Watch Series 3 und neuer

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von Code führen.

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

CVE-2021-30797: Ivan Fratric von Google Project Zero

Zusätzliche Danksagung

CoreText

Wir möchten uns bei Mickey Jin (@patch1t) von Trend Micro für die Unterstützung bedanken.

Power Management

Wir möchten uns bei Pan ZhenPeng(@Peterpan0927) von Alibaba Security Pandora Lab, Csaba Fitzl (@theevilbit) und Lisandro Ubiedo (@_lubiedo) von Stratosphere Lab für die Unterstützung bedanken.

Safari

Wir möchten uns bei einem anonymen Forscher für die Unterstützung bedanken.

Sandbox

Wir möchten uns bei Csaba Fitzl (@theevilbit) von Offensive Security für die Unterstützung bedanken.

sysdiagnose

Wir möchten uns bei Carter Jones (linkedin.com/in/carterjones/) und Tim Michaud (@TimGMichaud) von Zoom Video Communications, Csaba Fitzl (@theevilbit) von Offensive Security, Pan ZhenPeng(@Peterpan0927) von Alibaba Security Pandora Lab und Wojciech Reguła (@_r3ggi) von SecuRing für die Unterstützung bedanken.