Πληροφορίες σχετικά με το περιεχόμενο ασφάλειας του watchOS 7.6

Αυτό το έγγραφο περιγράφει το περιεχόμενο ασφάλειας του watchOS 7.6.

Πληροφορίες σχετικά με τις ενημερώσεις ασφάλειας Apple

Για την προστασία των πελατών της, η Apple δεν αποκαλύπτει, δεν συζητά, ούτε επιβεβαιώνει προβλήματα ασφάλειας, αν δεν διεξαχθεί ολοκληρωμένη έρευνα και αν δεν έχουν διατεθεί τυχόν ενημερώσεις κώδικα ή εκδόσεις. Οι πρόσφατες εκδόσεις αναφέρονται στη σελίδα Ενημερώσεις ασφάλειας Apple.

Τα έγγραφα της Apple σχετικά με την ασφάλεια αναφέρουν τις ευπάθειες κατά αναγνωριστικό CVE, όπου είναι δυνατό.

Για περισσότερες πληροφορίες σχετικά με την ασφάλεια, ανατρέξτε στη σελίδα Ασφάλεια προϊόντων Apple.

watchOS 7.6

ActionKit

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Μια συντόμευση ενδέχεται να μπορεί να παρακάμψει τις απαιτήσεις άδειας του διαδικτύου

Περιγραφή: Ένα πρόβλημα επαλήθευσης εισαγωγής αντιμετωπίστηκε με βελτιωμένη επαλήθευση εισαγωγής.

CVE-2021-30763: Zachary Keffaber (@QuickUpdate5)

Analytics

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Ένας τοπικός εισβολέας ενδέχεται να μπορεί να αποκτήσει πρόσβαση στα δεδομένα ανάλυσης

Περιγραφή: Ένα πρόβλημα λογικής αντιμετωπίστηκε με βελτιωμένους περιορισμούς.

CVE-2021-30871: Denis Tokarev (@illusionofcha0s)

App Store

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Μια κακόβουλη εφαρμογή ενδέχεται να μπορεί να παρακάμψει ορισμένες προτιμήσεις απορρήτου

Περιγραφή: Ένα πρόβλημα δικαιωμάτων αντιμετωπίστηκε με βελτιωμένη επικύρωση.

CVE-2021-31006: Csaba Fitzl (@theevilbit) της Offensive Security

Audio

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Ένας τοπικός εισβολέας ενδέχεται να μπορεί να προκαλέσει απρόσμενο τερματισμό της εφαρμογής ή αυθαίρετη εκτέλεση κώδικα

Περιγραφή: Αυτό το πρόβλημα αντιμετωπίστηκε με βελτιωμένους ελέγχους.

CVE-2021-30781: tr3e

CoreAudio

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Η επεξεργασία ενός κακόβουλου αρχείου ήχου μπορεί να οδηγήσει σε εκτέλεση αυθαίρετου κώδικα

Περιγραφή: Ένα πρόβλημα αλλοίωσης μνήμης αντιμετωπίστηκε μέσω βελτιωμένης διαχείρισης κατάστασης.

CVE-2021-30775: JunDong Xie του Ant Security Light-Year Lab

CoreAudio

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Η αναπαραγωγή ενός κακόβουλου αρχείου ήχου ενδέχεται να προκαλέσει απρόσμενο τερματισμό λειτουργίας της εφαρμογής

Περιγραφή: Ένα πρόβλημα λογικής αντιμετωπίστηκε με βελτιωμένη επαλήθευση.

CVE-2021-30776: JunDong Xie του Ant Security Light-Year Lab

CoreText

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Η επεξεργασία ενός κακόβουλου αρχείου γραμματοσειράς μπορεί να οδηγήσει σε εκτέλεση αυθαίρετου κώδικα

Περιγραφή: Ένα πρόβλημα ανάγνωσης εκτός ορίων αντιμετωπίστηκε με βελτιωμένη επαλήθευση εισαγωγής.

CVE-2021-30789: Mickey Jin (@patch1t) της Trend Micro, Sunglin της Knownsec 404 team

Crash Reporter

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Μια κακόβουλη εφαρμογή ενδέχεται να μπορεί να αποκτήσει προνόμια ρίζας

Περιγραφή: Ένα πρόβλημα λογικής αντιμετωπίστηκε με βελτιωμένη επαλήθευση.

CVE-2021-30774: Yizhuo Wang του Group of Software Security In Progress (G.O.S.S.I.P) στο Shanghai Jiao Tong University

CVMS

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Μια κακόβουλη εφαρμογή ενδέχεται να μπορεί να αποκτήσει προνόμια ρίζας

Περιγραφή: Ένα πρόβλημα εγγραφής εκτός ορίων αντιμετωπίστηκε με βελτιωμένο έλεγχο ορίων.

CVE-2021-30780: Tim Michaud (@TimGMichaud) της Zoom Video Communications

dyld

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Μια διεργασία sandbox μπορεί να αποκτήσει τη δυνατότητα να παρακάμψει τους περιορισμούς του sandbox

Περιγραφή: Ένα πρόβλημα λογικής αντιμετωπίστηκε με βελτιωμένη επαλήθευση.

CVE-2021-30768: Linus Henze (pinauten.de)

FontParser

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Η επεξεργασία ενός κακόβουλου αρχείου γραμματοσειράς μπορεί να οδηγήσει σε εκτέλεση αυθαίρετου κώδικα

Περιγραφή: Μια υπερχείλιση ακεραίων αντιμετωπίστηκε μέσω βελτιωμένης επαλήθευσης εισαγωγής.

CVE-2021-30760: Sunglin της ομάδας Knownsec 404 team

FontParser

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Η επεξεργασία ενός κακόβουλου αρχείου tiff μπορεί να οδηγήσει σε άρνηση υπηρεσίας ή ενδεχομένως να αποκαλύψει περιεχόμενα της μνήμης

Περιγραφή: Αυτό το πρόβλημα αντιμετωπίστηκε με βελτιωμένους ελέγχους.

CVE-2021-30788: tr3e σε συνεργασία με την πρωτοβουλία Zero Day Initiative της Trend Micro

FontParser

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Η επεξεργασία ενός κακόβουλου αρχείου γραμματοσειράς μπορεί να οδηγήσει σε εκτέλεση αυθαίρετου κώδικα

Περιγραφή: Ένα πρόβλημα υπερχείλισης στοίβας αντιμετωπίστηκε με βελτιωμένη επαλήθευση εισαγωγής.

CVE-2021-30759: hjy79425575 σε συνεργασία με την πρωτοβουλία Zero Day Initiative της Trend Micro

Identity Service

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Μια κακόβουλη εφαρμογή ενδέχεται να μπορεί να παρακάμψει τους ελέγχους υπογραφής κώδικα

Περιγραφή: Ένα πρόβλημα με την επικύρωση υπογραφής κώδικα αντιμετωπίστηκε με βελτιωμένους ελέγχους.

CVE-2021-30773: Linus Henze (pinauten.de)

ImageIO

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Η επεξεργασία μιας κακόβουλης εικόνας μπορεί να οδηγήσει σε εκτέλεση αυθαίρετου κώδικα

Περιγραφή: Αυτό το πρόβλημα αντιμετωπίστηκε με βελτιωμένους ελέγχους.

CVE-2021-30779: Jzhu, Ye Zhang (@co0py_Cat) της Baidu Security

ImageIO

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Η επεξεργασία μιας κακόβουλης εικόνας μπορεί να οδηγήσει σε εκτέλεση αυθαίρετου κώδικα

Περιγραφή: Ένα πρόβλημα υπερχείλισης buffer αντιμετωπίστηκε με τη βελτίωση του ελέγχου ορίων.

CVE-2021-30785: Mickey Jin (@patch1t) της Trend Micro σε συνεργασία με την πρωτοβουλία Zero Day Initiative της Trend Micro

Kernel

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Ένας κακόβουλος εισβολέας με αυθαίρετη δυνατότητα ανάγνωσης και εγγραφής μπορεί να έχει τη δυνατότητα να παρακάμψει τον έλεγχο ταυτότητας δείκτη

Περιγραφή: Ένα πρόβλημα λογικής αντιμετωπίστηκε μέσω βελτιωμένης διαχείρισης κατάστασης.

CVE-2021-30769: Linus Henze (pinauten.de)

Kernel

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Ένας εισβολέας που έχει ήδη πραγματοποιήσει επιτυχώς εκτέλεση κώδικα πυρήνα ενδέχεται να μπορεί να παρακάμψει τα μέτρα αντιμετώπισης της μνήμης πυρήνα

Περιγραφή: Ένα πρόβλημα λογικής αντιμετωπίστηκε με βελτιωμένη επαλήθευση.

CVE-2021-30770: Linus Henze (pinauten.de)

libxml2

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Ένας απομακρυσμένος εισβολέας ενδεχομένως να έχει τη δυνατότητα να προκαλέσει εκτέλεση αυθαίρετου κώδικα

Περιγραφή: Αυτό το πρόβλημα αντιμετωπίστηκε με βελτιωμένους ελέγχους.

CVE-2021-3518

Networking

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Η επίσκεψη σε μια κακόβουλη ιστοσελίδα μπορεί να προκαλέσει άρνηση υπηρεσίας από το σύστημα

Περιγραφή: Ένα πρόβλημα λογικής αντιμετωπίστηκε μέσω βελτιωμένης διαχείρισης κατάστασης.

CVE-2021-1821: Georgi Valkov (httpstorm.com)

TCC

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Μια κακόβουλη εφαρμογή ενδέχεται να μπορεί να παρακάμψει ορισμένες προτιμήσεις απορρήτου

Περιγραφή: Ένα πρόβλημα λογικής αντιμετωπίστηκε μέσω βελτιωμένης διαχείρισης κατάστασης.

CVE-2021-30798: Mickey Jin (@patch1t) της Trend Micro σε συνεργασία με την πρωτοβουλία Zero Day Initiative της Trend Micro

WebKit

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Η επεξεργασία κακόβουλου περιεχομένου ιστού μπορεί να οδηγήσει σε εκτέλεση αυθαίρετου κώδικα

Περιγραφή: Ένα πρόβλημα σύγχυσης τύπου αντιμετωπίστηκε με βελτιωμένο χειρισμό κατάστασης.

CVE-2021-30758: Christoph Guttandin της Media Codings

WebKit

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Η επεξεργασία κακόβουλου περιεχομένου ιστού μπορεί να οδηγήσει σε εκτέλεση αυθαίρετου κώδικα

Περιγραφή: Ένα πρόβλημα σφάλματος τύπου «use after free» αντιμετωπίστηκε με βελτιωμένη διαχείριση μνήμης.

CVE-2021-30795: Sergei Glazunov του Google Project Zero

WebKit

Διατίθεται για: Apple Watch Series 3 και νεότερα μοντέλα

Αποτέλεσμα: Η επεξεργασία κακόβουλου περιεχομένου ιστού μπορεί να οδηγήσει σε εκτέλεση κώδικα

Περιγραφή: Αυτό το πρόβλημα αντιμετωπίστηκε με βελτιωμένους ελέγχους.

CVE-2021-30797: Ivan Fratric του Google Project Zero

Επιπλέον αναγνώριση

CoreText

Θα θέλαμε να ευχαριστήσουμε τον Mickey Jin (@patch1t) της Trend Micro για τη βοήθειά του.

Power Management

Θα θέλαμε να ευχαριστήσουμε τους Pan ZhenPeng(@Peterpan0927) του Alibaba Security Pandora Lab, Csaba Fitzl (@theevilbit) και Lisandro Ubiedo (@_lubiedo) του Stratosphere Lab για τη βοήθειά τους.

Safari

Θα θέλαμε να ευχαριστήσουμε τον ανώνυμο ερευνητή για τη βοήθειά του.

Sandbox

Θα θέλαμε να ευχαριστήσουμε τον Csaba Fitzl (@theevilbit) της Offensive Security για τη βοήθειά του.

sysdiagnose

Θα θέλαμε να ευχαριστήσουμε τους Carter Jones (linkedin.com/in/carterjones/) και Tim Michaud(@TimGMichaud) της Zoom Video Communications, Csaba Fitzl (@theevilbit) της Offensive Security, Pan ZhenPeng(@Peterpan0927) του Alibaba Security Pandora Lab και Wojciech Reguła (@_r3ggi) της SecuRing για τη βοήθειά τους.