Tietoja watchOS 6.1:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan watchOS 6.1:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

watchOS 6.1

Julkaistu 29.10.2019

Tilit

Saatavuus: Apple Watch Series 1 ja uudemmat

Vaikutus: Etähyökkääjä saattoi pystyä vuotamaan muistia.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8787: Steffen Klee (Secure Mobile Networking Lab, Technische Universität Darmstadt)

App Store

Saatavuus: Apple Watch Series 1 ja uudemmat

Vaikutus: Paikallinen hyökkääjä saattoi pystyä kirjautumaan aiemmin kirjautuneen käyttäjän tilille ilman kelvollisia tunnistetietoja.

Kuvaus: Valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2019-8803: Kiyeon An, 차민규 (CHA Minkyu)

AppleFirmwareUpdateKext

Saatavuus: Apple Watch Series 1 ja uudemmat

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.

CVE-2019-8747: Mohamed Ghannam (@_simo36)

Ääni

Saatavuus: Apple Watch Series 1 ja uudemmat

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8785: Ian Beer (Google Project Zero)

CVE-2019-8797: 08Tc3wBB yhteistyössä SSD Secure Disclosuren kanssa

Yhteystiedot

Saatavuus: Apple Watch Series 1 ja uudemmat

Vaikutus: Haitallisen yhteystiedon käsittely saattoi aiheuttaa käyttöliittymän väärentämisen.

Kuvaus: Epäyhdenmukaisen käyttöliittymän ongelma on korjattu parantamalla tilanhallintaa.

CVE-2017-7152: Oliver Paukstadt (Thinking Objects GmbH, to.com)

Tiedostojärjestelmän tapahtumat

Saatavuus: Apple Watch Series 1 ja uudemmat

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8798: ABC Research s.r.o. yhteistyössä Trend Micron Zero Day Initiativen kanssa

Kernel

Saatavuus: Apple Watch Series 1 ja uudemmat

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8794: 08Tc3wBB yhteistyössä SSD Secure Disclosuren kanssa

Kernel

Saatavuus: Apple Watch Series 1 ja uudemmat

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8786: nimetön tutkija

Kernel

Saatavuus: Apple Watch Series 1 ja uudemmat

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.

CVE-2019-8829: Jann Horn (Google Project Zero)

Kohta lisätty 8.11.2019

libxslt

Saatavuus: Apple Watch Series 1 ja uudemmat

Vaikutus: libxslt:ssä esiintyi useita ongelmia.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2019-8750: ongelman havaitsi OSS-Fuzz

VoiceOver

Saatavuus: Apple Watch Series 1 ja uudemmat

Vaikutus: Henkilö, jolla oli fyysinen pääsy iOS-laitteeseen, saattoi käyttää yhteystietoja lukitulta näytöltä.

Kuvaus: Ongelma on ratkaistu rajoittamalla lukitussa laitteessa tarjottuja vaihtoehtoja.

CVE-2019-8775: videosdebarraquito

WebKit

Saatavuus: Apple Watch Series 1 ja uudemmat

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa yleisten sivustojen välisten komentosarjojen suorittamiseen.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2019-8764: Sergei Glazunov (Google Project Zero)

WebKit

Saatavuus: Apple Watch Series 1 ja uudemmat

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8743: zhunki (Legendsecin Codesafe Team, Qi’anxin Group)

CVE-2019-8765: Samuel Groß (Google Project Zero)

CVE-2019-8766: ongelman havaitsi OSS-Fuzz

CVE-2019-8808: ongelman havaitsi OSS-Fuzz

CVE-2019-8811: Soyeon Park (SSLab, Georgia Tech)

CVE-2019-8812: nimetön tutkija

CVE-2019-8816: Soyeon Park (SSLab, Georgia Tech)

CVE-2019-8820: Samuel Groß (Google Project Zero)

Kiitokset

boringssl

Haluamme kiittää Tel Avivin yliopiston Nimrod Aviramia ja Ruhrin yliopiston Bochumin kampuksen Robert Mergetia ja Juraj Somorovskyä heidän avustaan.

CFNetwork

Haluamme kiittää Googlen Lily Cheniä hänen avustaan.

Kernel

Haluamme kiittää Daniel Roethlisbergeriä (Swisscom CSIRT) ja Jann Hornia (Google Project Zero) heidän avustaan.

Kohta päivitetty 8.11.2019

Safari

Haluamme kiittää Ron Summersia hänen avustaan.

WebKit

Haluamme kiittää Qi'anxin Groupin Legendsecin Codesafe-tiimin Zhiyi Zhangia hänen avustaan.

Muita kuin Applen valmistamia tuotteita sekä itsenäisiä verkkosivustoja (joita Apple ei hallitse tai joita se ei ole testannut) koskevat tiedot on tarkoitettu vain tiedoksi. Apple ei suosittele tai tue niitä. Apple ei vastaa muun valmistajan verkkosivustojen tai tuotteiden valikoimasta, suorituskyvystä tai käytöstä. Apple ei vastaa muun valmistajan verkkosivuston oikeellisuudesta tai luotettavuudesta. Internetin käyttöön liittyy riskejä. Pyydä lisätietoja valmistajalta. Muut yritysten ja tuotteiden nimet saattavat olla omistajiensa tavaramerkkejä.

Julkaisupäivämäärä: