Acerca del contenido de seguridad de watchOS 3.2.2
En este documento, se describe el contenido de seguridad de watchOS 3.2.2.
Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.
Para obtener más información sobre seguridad, consulta la página de seguridad de los productos Apple. Puedes encriptar las comunicaciones con Apple mediante la clave PGP de seguridad de los productos Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.
watchOS 3.2.2
AVEVideoEncoder
Disponible para todos los modelos de Apple Watch
Impacto: Una aplicación podía obtener privilegios del kernel.
Descripción: Se solucionaron varios problemas de daños en la memoria mejorando el manejo de la memoria.
CVE-2017-6989: Adam Donenfeld (@doadam) de Zimperium zLabs Team
CVE-2017-6994: Adam Donenfeld (@doadam) de Zimperium zLabs Team
CVE-2017-6995: Adam Donenfeld (@doadam) de Zimperium zLabs Team
CVE-2017-6996: Adam Donenfeld (@doadam) de Zimperium zLabs Team
CVE-2017-6997: Adam Donenfeld (@doadam) de Zimperium zLabs Team
CVE-2017-6998: Adam Donenfeld (@doadam) de Zimperium zLabs Team
CVE-2017-6999: Adam Donenfeld (@doadam) de Zimperium zLabs Team
CoreAudio
Disponible para todos los modelos de Apple Watch
Impacto: Una aplicación podía leer la memoria restringida.
Descripción: Se solucionó un problema de validación mejorando el saneamiento de entradas.
CVE-2017-2502: Yangkang (@dnpushme) de Qihoo 360 Qex Team
CoreFoundation
Disponible para todos los modelos de Apple Watch
Impacto: El análisis de datos creados con fines malintencionados podía provocar la ejecución de código arbitrario.
Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.
CVE-2017-2522: Ian Beer de Google Project Zero
CoreText
Disponible para todos los modelos de Apple Watch
Impacto: El procesamiento de un archivo creado con fines malintencionados podía provocar el cierre de una aplicación.
Descripción: Se solucionó un problema de denegación del servicio mejorando la validación.
CVE-2017-7003: Jake Davis de SPYSCAPE (@DoubleJake)
Foundation
Disponible para todos los modelos de Apple Watch
Impacto: El análisis de datos creados con fines malintencionados podía provocar la ejecución de código arbitrario.
Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.
CVE-2017-2523: Ian Beer de Google Project Zero
IOSurface
Disponible para todos los modelos de Apple Watch
Impacto: Una aplicación podía obtener privilegios del kernel.
Descripción: Se solucionó un problema de condición de carrera mejorando el bloqueo.
CVE-2017-6979: Adam Donenfeld (@doadam) de Zimperium zLabs Team
Kernel
Disponible para todos los modelos de Apple Watch
Impacto: Una aplicación podía ejecutar código arbitrario con privilegios del kernel.
Descripción: Se solucionó una condición de carrera mejorando el bloqueo.
CVE-2017-2501: Ian Beer de Google Project Zero
Kernel
Disponible para todos los modelos de Apple Watch
Impacto: Una aplicación podía leer la memoria restringida.
Descripción: Se solucionó un problema de validación mejorando el saneamiento de entradas.
CVE-2017-2507: Ian Beer de Google Project Zero
CVE-2017-6987: Patrick Wardle de Synack
SQLite
Disponible para todos los modelos de Apple Watch
Impacto: Una consulta de SQL creada con fines malintencionados podía provocar la ejecución de código arbitrario.
Descripción: Se solucionó un problema de uso después de liberación mejorando la administración de la memoria.
CVE-2017-2513: detectado por OSS-Fuzz
SQLite
Disponible para todos los modelos de Apple Watch
Impacto: Una consulta de SQL creada con fines malintencionados podía provocar la ejecución de código arbitrario.
Descripción: Se solucionó un problema de desbordamiento del búfer mejorando el manejo de la memoria.
CVE-2017-2518: detectado por OSS-Fuzz
CVE-2017-2520: detectado por OSS-Fuzz
SQLite
Disponible para todos los modelos de Apple Watch
Impacto: Una consulta de SQL creada con fines malintencionados podía provocar la ejecución de código arbitrario.
Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.
CVE-2017-2519: detectado por OSS-Fuzz
TextInput
Disponible para todos los modelos de Apple Watch
Impacto: El análisis de datos creados con fines malintencionados podía provocar la ejecución de código arbitrario.
Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.
CVE-2017-2524: Ian Beer de Google Project Zero
WebKit
Disponible para todos los modelos de Apple Watch
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Se solucionaron varios problemas de daños en la memoria mejorando el manejo de la memoria.
CVE-2017-2521: lokihardt de Google Project Zero
Otros agradecimientos
Kernel
Nos gustaría darle las gracias a Orr A. de Aleph Research, HCL Technologies por su ayuda.
Seguridad
Nos gustaría darle las gracias a Ian Beer de Google Project Zero por su ayuda.
La información acerca de los productos no fabricados por Apple o la de los sitios web independientes no controlados ni probados por Apple se ofrece sin ninguna recomendación o aprobación. Apple no asume ninguna responsabilidad respecto a la selección, el rendimiento o el uso de los sitios web o los productos de terceros. Apple no emite ninguna declaración sobre la precisión o la confiabilidad de los sitios web de terceros. Comunícate con el proveedor para obtener más información.