Acerca del contenido de seguridad de watchOS 10.2

En este documento, se describe el contenido de seguridad de watchOS 10.2.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Versiones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

Para obtener más información sobre la seguridad, consulta la página Seguridad de los productos Apple.

watchOS 10.2

Accessibility

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.

CVE-2023-42937: Noah Roskin-Frazee y Prof. J. (ZeroClicks.ai Lab)

Accounts

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.

CVE-2023-42919: Kirin (@Pwnrin)

ImageIO

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que el procesamiento de una imagen pueda ocasionar la ejecución de código arbitrario

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2023-42898: Zhenjiang Zhao de Pangu Team, Qianxin y Junsung Lee

CVE-2023-42899: Meysam Firouzi @R00tkitSMM y Junsung Lee

ImageIO

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: El procesamiento de una imagen creada con fines malintencionados podía provocar la divulgación de la memoria de un proceso.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2023-42888: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

Kernel

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Una app podía salir de su zona protegida

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2023-42914: Eloi Benoist-Vanderbeken (@elvanderb) de Synacktiv (@Synacktiv)

Libsystem

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que una app pueda acceder a datos protegidos del usuario

Descripción: Se eliminó código vulnerable y se agregaron comprobaciones adicionales para solucionar un problema de permisos.

CVE-2023-42893

Sandbox

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Para solucionar este problema, se mejoró la redacción de información confidencial.

CVE-2023-42936: Csaba Fitzl (@theevilbit) de OffSec

TCC

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que una app pueda salir de su zona protegida

Descripción: Se mejoró la validación para solucionar un problema de manejo de rutas.

CVE-2023-42947: Zhongquan Li (@Guluisacat) de Dawn Security Lab de JingDong

Transparency

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que una app pueda acceder a datos confidenciales del usuario

Descripción: El problema se solucionó con una restricción mejorada del acceso al contenedor de datos.

CVE-2023-40389: Csaba Fitzl (@theevilbit) de Offensive Security y Joshua Jewett (@JoshJewett33)

WebKit

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que el procesamiento de contenido web genere la ejecución de código arbitrario

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2023-42890: Pwn2car

WebKit

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: El procesamiento de una imagen podía provocar una denegación de servicio

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2023-42883: Zoom Offensive Security Team

WebKit

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: El procesamiento de contenido web podía divulgar información confidencial. Apple está al tanto de que este problema podría haberse explotado frente a las versiones de iOS anteriores a iOS 16.7.1.

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2023-42916: Clément Lecigne, de Google’s Threat Analysis Group

WebKit

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: El procesamiento de contenido web podía provocar la ejecución de código arbitrario. Apple está al tanto de que este problema podría haberse explotado frente a las versiones de iOS anteriores a iOS 16.7.1.

Descripción: Se mejoró el bloqueo para solucionar un problema de vulnerabilidad de daños en la memoria.

CVE-2023-42917: Clément Lepigne, de Google’s Threat Analysis Group

WebKit

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2023-42950: Nan Wang (@eternalsakura13) de 360 Vulnerability Research Institute y Rushikesh Nandedka

Otros agradecimientos

Wi-Fi

Nos gustaría darles las gracias a Noah Roskin-Frazee y Prof. J. (ZeroClicks.ai Lab) por su ayuda.