Tietoja watchOS 5.2.1:n turvallisuussisällöstä
Tässä asiakirjassa kerrotaan watchOS 5.2.1:n turvallisuussisällöstä.
Tietoja Applen suojauspäivityksistä
Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.
Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.
watchOS 5.2.1
AppleFileConduit
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8593: Dany Lisiansky (@DanyL931)
CoreAudio
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Haitallisen elokuvatiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8585: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa
CoreAudio
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Haitallisen äänitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla virheiden käsittelyä.
CVE-2019-8592: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa
Levytiedostot
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.
Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.
CVE-2019-8560: Nikita Pupyshev (Bauman Moscow State Technological University)
Kernel
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.
CVE-2019-8605: Ned Williamson yhteistyössä Google Project Zeron kanssa
Kernel
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Paikallinen käyttäjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai lukemaan kernel-muistia.
Kuvaus: Rajojen ulkopuolisen muistin luku ratkaistiin parantamalla rajojen tarkistusta.
CVE-2019-8576: Brandon Azad (Google Project Zero), Junho Jang ja Hanul Choi (LINE Security Team)
Kernel
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Appi saattoi saada järjestelmän sulkeutumaan odottamatta tai kirjoittaa kernel-muistiin.
Kuvaus: Tyyppisekaannusongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8591: Ned Williamson yhteistyössä Google Project Zeron kanssa
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Haitallisen viestin käsittely saattoi johtaa palvelunestoon.
Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.
CVE-2019-8626: natashenka (Google Project Zero)
Sähköpostiviestien sovelluskehys
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Etähyökkääjä saattoi pystyä aiheuttamaan mielivaltaisen koodin suorittamisen.
Kuvaus: Use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.
CVE-2019-8613: natashenka (Google Project Zero)
Viestit
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Haitallisen viestin käsittely saattoi johtaa palvelunestoon.
Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.
CVE-2019-8664: natashenka (Google Project Zero)
Viestit
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Etähyökkääjä saattoi pystyä aiheuttamaan järjestelmän palveluneston.
Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.
CVE-2019-8573: natashenka (Google Project Zero)
Viestit
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Haitallisen viestin käsittely saattoi johtaa palvelunestoon.
Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.
CVE-2019-8664: natashenka (Google Project Zero)
MobileInstallation
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Paikallinen käyttäjä saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.
Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.
CVE-2019-8568: Dany Lisiansky (@DanyL931)
MobileLockdown
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Haittaohjelma saattoi pystyä hankkimaan pääkäyttöoikeudet.
Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.
CVE-2019-8637: Dany Lisiansky (@DanyL931)
SQLite
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Appi saattoi pystyä hankkimaan laajennetut käyttöoikeudet.
Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla muistin käsittelyä.
CVE-2019-8577: Omer Gull (Checkpoint Research)
SQLite
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Haitallinen SQL-kysely saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8600: Omer Gull (Checkpoint Research)
SQLite
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Haittaohjelma saattoi pystyä lukemaan rajoitettua muistia.
Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.
CVE-2019-8598: Omer Gull (Checkpoint Research)
SQLite
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Haittaohjelma saattoi pystyä hankkimaan laajemmat käyttöoikeudet.
Kuvaus: Muistin vioittumisongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.
CVE-2019-8602: Omer Gull (Checkpoint Research)
sysdiagnose
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Ongelma on ratkaistu parantamalla käyttöoikeuslogiikkaa.
CVE-2019-8574: Dayton Pidhirney (@_watbulb), Seekintoo (@seekintoo)
WebKit
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Haitallisen verkkosisällön käsittely saattoi johtaa prosessimuistin paljastumiseen.
Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8607: Junho Jang ja Hanul Choi (LINE Security Team)
WebKit
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8583: sakura (Tencent Xuanwu Lab), jessica (@babyjess1ca_) (Tencent Keen Lab) ja dwfault (Venustechin ADLab)
CVE-2019-8601: Fluoroacetate yhteistyössä Trend Micron Zero Day Initiativen kanssa
CVE-2019-8622: Samuel Groß (Google Project Zero)
CVE-2019-8623: Samuel Groß (Google Project Zero)
Wi-Fi
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä pystyi muokkaamaan ajurin tilaa.
Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.
CVE-2019-8612: Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)
Wi-Fi
Saatavuus: Apple Watch Series 1 ja uudemmat
Vaikutus: Laitetta saatettiin pystyä passiivisesti seuraamaan sen Wi-Fi-yhteyden MAC-osoitteen perusteella.
Kuvaus: Käyttäjän tietosuojaongelma on ratkaistu poistamalla lähetetty MAC-osoite.
CVE-2019-8620: David Kreitschmann ja Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)
Kiitokset
Clang
Haluamme kiittää Brandon Azadia (Google Project Zero) hänen avustaan.
CoreAudio
Haluamme kiittää Trend Micron Zero Day Initiativen parissa työskentelevää riuskskia (VulWar Corp) hänen avustaan.
CoreFoundation
Haluamme kiittää Vozzieta ja Ramia sekä m4bln:ää, Xiangqian Zhangia ja Huiming Liuta (Xuanwu Lab, Tencent) heidän avustaan.
Kernel
Haluamme kiittää Google Project Zeron Brandon Azadia sekä nimettömänä pysyttelevää tutkijaa heidän avustaan.
MediaLibrary
Haluamme kiittää Angel Ramirezia ja Min (Spark) Zhengiä sekä Xiaolong Baita (Alibaba Inc.) heidän avustaan.
MobileInstallation
Haluamme kiittää Yiğit Can YILMAZia (@yilmazcanyigit) hänen avustaan.
Tiedot tuotteista, jotka eivät ole Applen valmistamia, sekä tiedot itsenäisistä verkkosivustoista, jotka eivät ole Applen hallinnoimia tai testaamia, eivät sisällä suosituksia. Apple ei vastaa muiden valmistajien verkkosivustojen tai tuotteiden valikoimasta, toimivuudesta tai käytöstä. Apple ei takaa muiden valmistajien verkkosivustojen tarkkuutta tai luotettavuutta. Saat lisätietoja ottamalla yhteyttä myyjään.