Informationen zum Sicherheitsinhalt von watchOS 4.2

In diesem Dokument wird der Sicherheitsinhalt von watchOS 4.2 beschrieben.

Informationen zu Apple-Sicherheitsupdates

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen finden Sie auf der Seite Apple-Sicherheitsupdates.

Weitere Informationen zur Sicherheit finden Sie auf der Seite zur Apple-Produktsicherheit. Ihre Kommunikation mit Apple können Sie mit dem PGP-Schlüssel für die Apple-Produktsicherheit verschlüsseln.

Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.

watchOS 4.2

Automatisches Entsperren

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen.

Beschreibung: Eine Race-Bedingung wurde mit einer zusätzlichen Überprüfung behoben.

CVE-2017-13905: Samuel Groß (@5aelo)

CFNetwork-Sitzung

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2017-7172: Richard Zhu (fluorescence) in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

CoreAnimation

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Ein Programm kann willkürlichen Code mit erhöhten Benutzerrechten ausführen

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2017-7171: 360 Security in Zusammenarbeit mit der Zero Day Initiative von Trend Micro und Tencent Keen Security Lab (@keen_lab) in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

CoreFoundation

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen.

Beschreibung: Eine Race-Bedingung wurde mit einer zusätzlichen Überprüfung behoben.

CVE-2017-7151: Samuel Groß (@5aelo)

IOKit

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Ein Programm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2017-7162: Tencent Keen Security Lab (@keen_lab) in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

IOSurface

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Ein Programm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2017-13861: Ian Beer von Google Project Zero

Kernel

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Ein Programm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2017-13904: Kevin Backhouse von Semmle Ltd.

Kernel

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Ein lokaler Benutzer kann einen unerwarteten Systemabbruch verursachen oder Kernel-Speicher lesen.

Beschreibung: Im Kernel bestand ein Problem mit der Eingabeüberprüfung. Dieses Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2017-7154: Jann Horn von Google Project Zero

Kernel

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Ein Programm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2017-13862: Apple

CVE-2017-13867: Ian Beer von Google Project Zero

CVE-2017-13876: Ian Beer von Google Project Zero

Kernel

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Ein Programm kann eingeschränkten Speicher lesen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2017-7173: Brandon Azad

Kernel

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Ein Programm kann eingeschränkten Speicher lesen.

Beschreibung: Ein Typenverwechslungsproblem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2017-13855: Jann Horn von Google Project Zero

Kernel

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Ein Programm kann eingeschränkten Speicher lesen.

Beschreibung: Ein Überprüfungsproblem wurde durch eine verbesserte Eingabebereinigung behoben.

CVE-2017-13865: Ian Beer von Google Project Zero

CVE-2017-13868: Brandon Azad

CVE-2017-13869: Jann Horn von Google Project Zero

Kernel

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Ein Programm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2017-13880: Apple

WebKit

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Mehrere Speicherfehler wurden durch eine verbesserte Speicherverwaltung behoben.

CVE-2017-7165: 360 Security in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

WebKit

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Mehrere Speicherfehler wurden durch eine verbesserte Speicherverwaltung behoben.

CVE-2017-13884: 360 Security in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

WebKit

Verfügbar für: Alle Apple Watch-Modelle

Auswirkung: Eine in böser Absicht erstellte Website kann Elemente der Benutzeroberfläche fälschen (UI-Spoofing).

Beschreibung: Weiterleitungsantworten zur Fehlermeldung "401 Unauthorized" könnten es einer in böswilliger Absicht erstellten Website ermöglichen, bei gemischten Inhalten das Schlosssymbol fälschlicherweise anzuzeigen. Dieses Problem wurde durch eine verbesserte URL-Anzeigelogik behoben.

CVE-2017-7153: Jerry Decime

WLAN

Verfügbar für: Apple Watch (1. Generation) und Apple Watch Series 3

Auswirkung: Ein Angreifer, der sich in WLAN-Reichweite befindet, kann ein Wiederverwenden von Nonce-Werten in WPA-Multicast/GTK-Clients (Key Reinstallation Attacks – KRACK) erzwingen.

Beschreibung: Bei der Behandlung von Statusübergängen kam es zu einem Logikproblem. Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2017-13080: Mathy Vanhoef von der imec-DistriNet-Gruppe an der KU Leuven

Keine Auswirkungen

watchOS 4.2 ist von folgendem Problem nicht betroffen:

Kernel

Auswirkung: Der Kernelspeicher kann von einem Programm gelesen werden (Meltdown).

Beschreibung: Systeme mit Mikroprozessoren, die "speculative execution" und eine indirekte Prognose des Programmflusses nutzen, können einem Angreifer mit lokalem Benutzerzugriff über eine Seitenkanalanalyse des Daten-Cache die unberechtigte Offenlegung von Informationen erlauben.

CVE-2017-5754: Jann Horn von Google Project Zero, Moritz Lipp von der Technischen Universität Graz, Michael Schwarz von der Technischen Universität Graz, Daniel Gruss von der Technischen Universität Graz, Thomas Prescher von der Cyberus Technology GmbH, Werner Haas von der Cyberus Technology GmbH, Stefan Mangard von der Technischen Universität Graz, Paul Kocher, Daniel Genkin von der University of Pennsylvania und University of Maryland, Yuval Yarom von der University of Adelaide und Data61 sowie Mike Hamburg von Rambus (Cryptography Research Division)