Tietoja watchOS 3.1:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan watchOS 3.1:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta. Voit salata Applen kanssa käydyt keskustelut käyttämällä Applen tuoteturvallisuuden PGP-avainta.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

watchOS 3.1

AppleMobileFileIntegrity

Saatavuus: Kaikki Apple Watch -mallit.

Vaikutus: Allekirjoitettu suoritettava tiedosto saattoi korvata koodia samalla ryhmätunnuksella.

Kuvaus: Koodiallekirjoitusten käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu lisäämällä tarkistusta.

CVE-2016-7584: Mark Mentovai ja Boris Vidolov (Google Inc.)

CoreGraphics

Saatavuus: Kaikki Apple Watch -mallit.

Vaikutus: Haitallisen JPEG-tiedoston katsominen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2016-4673: Marco Grassi (@marcograss) (KeenLab) (@keen_lab), Tencent

FontParser

Saatavuus: Kaikki Apple Watch -mallit.

Vaikutus: Haitallisen fontin jäsentäminen saattaa paljastaa arkaluonteisia käyttäjätietoja.

Kuvaus: Rajojen ulkopuolisen muistin luku on ratkaistu parantamalla rajojen tarkistusta.

CVE-2016-4660: Ke Liu (Tencentin Xuanwu Lab)

FontParser

Saatavuus: Kaikki Apple Watch -mallit.

Vaikutus: Haitallisen fonttitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Fonttitiedostojen käsittelyssä oli puskurin ylivuoto. Ongelma ratkaistiin parantamalla rajojen tarkistusta.

CVE-2016-4688: Simon Huang (Alipay), thelongestusernameofall@gmail.com

Kernel

Saatavuus: Kaikki Apple Watch -mallit.

Vaikutus: Paikallinen käyttäjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen kernelissä.

Kuvaus: MIG-generoidussa koodissa ilmeni useita syötön vahvistuksen ongelmia. Ongelmat on ratkaistu parantamalla tarkistamista.

CVE-2016-4669: Ian Beer (Google Project Zero)

Kernel

Saatavuus: Kaikki Apple Watch -mallit.

Vaikutus: Ohjelma saattoi pystyä paljastamaan kernel-muistin sisältöä.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2016-4680: Max Bazaliy (Lookout) ja in7egral

Kernel

Saatavuus: Kaikki Apple Watch -mallit.

Vaikutus: Paikallinen ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Uusien prosessien luonnissa esiintyi useita objektien elinkaareen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla tarkistusta.

CVE-2016-7613: Ian Beer (Google Project Zero)

libarchive

Saatavuus: Kaikki Apple Watch -mallit.

Vaikutus: Haitallinen arkisto saattoi pystyä korvaamaan mielivaltaisia tiedostoja.

Kuvaus: Symbolisten linkkien polun validointilogiikassa oli ongelma. Ongelma on ratkaistu parantamalla polkujen siivoamista.

CVE-2016-4679: Omer Medan (enSilo Ltd)

libxpc

Saatavuus: Kaikki Apple Watch -mallit.

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia pääkäyttöoikeuksilla.

Kuvaus: Logiikkaongelma korjattiin lisäämällä rajoituksia.

CVE-2016-4675: Ian Beer (Google Project Zero)

Eristysprofiilit

Saatavuus: Kaikki Apple Watch -mallit.

Vaikutus: Ohjelma saattoi pystyä noutamaan kuvahakemistojen metadataa.

Kuvaus: Käyttöoikeusongelma korjattiin lisäämällä eristämisrajoituksia muiden valmistajien ohjelmille.

CVE-2016-4664: Razvan Deaconescu, Mihai Chiroiu (University POLITEHNICA of Bucharest); Luke Deshotels, William Enck (North Carolina State University); Lucas Vincenzo Davi, Ahmad-Reza Sadeghi (TU Darmstadt)

Eristysprofiilit

Saatavuus: Kaikki Apple Watch -mallit.

Vaikutus: Ohjelma saattoi pystyä noutamaan äänitallennehakemistojen metadataa.

Kuvaus: Käyttöoikeusongelma korjattiin lisäämällä eristämisrajoituksia muiden valmistajien ohjelmille.

CVE-2016-4665: Razvan Deaconescu, Mihai Chiroiu (University POLITEHNICA of Bucharest); Luke Deshotels, William Enck (North Carolina State University); Lucas Vincenzo Davi, Ahmad-Reza Sadeghi (TU Darmstadt)