Acerca del contenido de seguridad de watchOS 8.5

En este documento, se describe el contenido de seguridad de watchOS 8.5.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.

Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.

watchOS 8.5

Accelerate Framework

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Es posible que la apertura de un archivo PDF creado con fines malintencionados pueda ocasionar el cierre inesperado de una app o la ejecución de código arbitrario

Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.

CVE-2022-22633: ryuzaki

AppleAVD

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: El procesamiento de una imagen creada con fines malintencionados podía generar daños en la memoria del montón.

Descripción: Se mejoró la validación para solucionar un problema de daños en la memoria.

CVE-2022-22666: Marc Schoenefeld, Dr. rer. nat.

ImageIO

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2022-22611: Xingyu Jin de Google

ImageIO

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: El procesamiento de una imagen creada con fines malintencionados podía generar daños en la memoria del montón.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2022-22612: Xingyu Jin de Google

Kernel

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se solucionó un problema de daños en la memoria mejorando la validación.

CVE-2022-22596: Un investigador anónimo

CVE-2022-22640: sqrtpwn

Kernel

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.

CVE-2022-22613: Alex, un investigador anónimo

Kernel

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.

CVE-2022-22614: Un investigador anónimo

CVE-2022-22615: Un investigador anónimo

Kernel

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Es posible que una app creada con fines malintencionados pueda elevar privilegios

Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.

CVE-2022-22632: Keegan Saunders

Kernel

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Es posible que un atacante con una posición de red privilegiada pueda ejecutar un ataque de denegación de servicio

Descripción: Se solucionó un problema de falta de referencia de puntero nulo mejorando la validación.

CVE-2022-22638: derrek (@derrekr6)

LaunchServices

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Es posible que una app pueda omitir ciertas preferencias de privacidad.

Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.

CVE-2021-30946: @gorelics y Ron Masas de BreakPoint.sh

libarchive

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Varios problemas en libarchive.

Descripción: Existían varios problemas de daños en la memoria en libarchive. Para solucionar estos problemas, se mejoró la validación de entradas.

CVE-2021-36976

LLVM

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: es posible que una aplicación pueda eliminar archivos para los que no tiene permiso

Descripción: Se solucionó un problema de condición de carrera mediante validaciones adicionales.

CVE-2022-21658: Florian Weimer (@fweimer)

MediaRemote

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Una app creada con fines malintencionados podía identificar qué otras apps había instalado un usuario.

Descripción: Se solucionó un problema de acceso mejorando las restricciones de acceso.

CVE-2022-22670: Brandon Azad

Phone

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Un usuario podía omitir el mensaje emergente del código de Emergencia SOS.

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2022-22618: Yicong Ding (@AntonioDing)

Preferences

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Una app creada con fines malintencionados podía leer la configuración de otras apps.

Descripción: Se agregaron más comprobaciones de permisos para solucionar el problema.

CVE-2022-22609: Mickey Jin (@patch1t), Zhipeng Huo (@R3dF09) y Yuebin Sun (@yuebinsun2020) de Tencent Security Xuanwu Lab (xlab.tencent.com)

Safari

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Es posible que visitar un sitio web creado con fines malintencionados provoque la suplantación de la barra de direcciones

Descripción: Se solucionó un problema de la interfaz de usuario.

CVE-2022-22654: Abdullah Md Shaleh de take0ver

Sandbox

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Una app creada con fines malintencionados podía omitir ciertas preferencias de privacidad

Descripción: Se mejoró la lógica de permisos para solucionar el problema.

CVE-2022-22600: Sudhakar Muthumani (@sudhakarmuthu04) de Primefort Private Limited, Khiem Tran

Siri

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Una persona con acceso físico a un dispositivo podía usar Siri para obtener información sobre alguna ubicación desde la pantalla de bloqueo.

Descripción: Se mejoró la validación para solucionar un problema de permisos.

CVE-2022-22599: Andrew Goldberg de la Universidad de Texas en Austin, McCombs School of Business (linkedin.com/andrew-goldberg-/)

UIKit

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Una persona con acceso físico a un dispositivo iOS podía ver información confidencial mediante las sugerencias del teclado.

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2022-22621: Joey Hewitt

WebKit

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda divulgar información confidencial del usuario

Descripción: Se solucionó un problema de administración de cookies mejorando la administración de estado.

CVE-2022-22662: Prakash (@1lastBr3ath) de ThreatNix

WebKit

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código

Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.

CVE-2022-22610: Quan Yin de Bigo Technology Live Client Team

WebKit

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: El procesamiento de contenido web creado con fines malintencionados podía provocar la ejecución de código arbitrario.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2022-22624: Kirin (@Pwnrin) de Tencent Security Xuanwu Lab

CVE-2022-22628: Kirin (@Pwnrin) de Tencent Security Xuanwu Lab

WebKit

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.

CVE-2022-22629: Jeonghoon Shin de Theori en colaboración con la iniciativa Zero Day de Trend Micro

WebKit

Disponible para Apple Watch Series 3 y modelos posteriores

Impacto: Un sitio web creado con fines malintencionados podía provocar un comportamiento inesperado de origen cruzado.

Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.

CVE-2022-22637: Tom McKee de Google

Otros agradecimientos

AirDrop

Nos gustaría darles las gracias a Omar Espino (omespino.com) y Ron Masas de BreakPoint.sh por su ayuda.

Bluetooth

Nos gustaría darle las gracias a un investigador anónimo por su ayuda.

Face Gallery

Nos gustaría darle las gracias a Tian Zhang (@KhaosT) por su ayuda.

Safari

Nos gustaría darle las gracias a Konstantin Darutkin de FingerprintJS (fingerprintjs.com) por su ayuda.

Shortcuts

Nos gustaría darle las gracias a Baibhav Anand Jha de Streamers Land por su ayuda.

Siri

Nos gustaría darle las gracias a un investigador anónimo por su ayuda.

syslog

Nos gustaría darle las gracias a Yonghwi Jin (@jinmo123) de Theori por su ayuda.

UIKit

Nos gustaría darle las gracias a Tim Shadel de Day Logger, Inc. por su ayuda.

Wallet

Nos gustaría darle las gracias a un investigador anónimo por su ayuda.

WebKit

Nos gustaría darle las gracias a Abdullah Md Shaleh por su ayuda.

WebKit Storage

Nos gustaría darle las gracias a Martin Bajanik de FingerprintJS por su ayuda.