À propos des mises à jour de sécurité Apple
Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.
Pour obtenir plus d’informations en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple. Vous pouvez chiffrer les communications avec Apple à l’aide de la clé PGP du groupe de sécurité produit d’Apple.
Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE dans la mesure du possible.
watchOS 2.2.2
Publié le 18 juillet 2016
CoreGraphics
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès
Conséquence : un attaquant distant peut exécuter un code arbitraire.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de celle-ci.
CVE-2016-4637 : Tyler Bohan de Cisco Talos (talosintel.com/vulnerability-reports)
ImageIO
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès
Conséquence : un attaquant distant peut être à l’origine d’un déni de service.
Description : un problème de consommation de la mémoire a été résolu par une meilleure gestion de celle-ci.
CVE-2016-4632 : Evgeny Sidorov de Yandex
ImageIO
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès
Conséquence : un attaquant distant peut exécuter un code arbitraire.
Description : plusieurs problèmes de corruption de la mémoire ont été résolus par une meilleure gestion de celle-ci.
CVE-2016-4631 : Tyler Bohan de Cisco Talos (talosintel.com/vulnerability-reports)
ImageIO
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès
Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de celle-ci.
CVE-2016-7705 : Craig Young de Tripwire VERT
Entrée ajoutée le 30 novembre 2017
IOAcceleratorFamily
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès
Conséquence : un utilisateur local peut être en mesure d’exécuter un code arbitraire avec des privilèges noyau.
Description : un déréférencement de pointeurs null a été résolu par une meilleure validation.
CVE-2016-4627 : Ju Zhu de Trend Micro
IOAcceleratorFamily
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès
Conséquence : un utilisateur local peut être en mesure de lire la mémoire du noyau.
Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.
CVE-2016-4628 : Ju Zhu de Trend Micro
IOHIDFamily
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès
Conséquence : un utilisateur local peut être en mesure d’exécuter un code arbitraire avec des privilèges noyau.
Description : un déréférencement de pointeurs null a été résolu par une meilleure validation des entrées.
CVE-2016-4626 : Stefan Esser de SektionEins
IOHIDFamily
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès.
Conséquence : une application peut exécuter un code arbitraire avec des privilèges liés au noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de celle-ci.
CVE-2016-4650 : Peter Pi de Trend Micro en collaboration avec le programme Zero Day Initiative d’HP
Entrée ajoutée le 29 juillet 2016
Noyau
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès
Conséquence : un utilisateur local peut être en mesure d’exécuter un code arbitraire avec des privilèges noyau.
Description : plusieurs problèmes de corruption de la mémoire ont été résolus par une meilleure gestion de celle-ci.
CVE-2016-1863 : Ian Beer de Google Project Zero
CVE-2016-4653 : Ju Zhu de Trend Micro
CVE-2016-4582 : Shrek_wzw et Proteas de Qihoo 360 Nirvan Team
Noyau
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès
Conséquence : un utilisateur local peut être à l’origine d’un déni de service du système.
Description : un déréférencement de pointeurs null a été résolu par une meilleure validation des entrées.
CVE-2016-1865 : CESG, Marco Grassi (@marcograss) de KeenLab (@keen_lab), Tencent
Libc
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès
Conséquence : un attaquant distant peut être en mesure de provoquer la fermeture inopinée d’une application ou l’exécution arbitraire de code.
Description : un problème de dépassement de la mémoire tampon existait au niveau de la fonction « link_ntoa() » dans linkaddr.c. Ce problème a été résolu par une vérification supplémentaire des limites.
CVE-2016-6559 : Apple
Entrée ajoutée le 10 janvier 2017
libxml2
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès
Conséquence : libxml2 présentait plusieurs vulnérabilités.
Description : plusieurs problèmes de corruption de la mémoire ont été résolus par une meilleure gestion de celle-ci.
CVE-2015-8317 : Hanno Boeck.
CVE-2016-1836 : Wei Lei et Liu Yang de l’Université de technologie de Nanyang
CVE-2016-4447 : Wei Lei et Liu Yang de l’Université de technologie de Nanyang
CVE-2016-4448 : Apple
CVE-2016-4483 : Gustavo Grieco
CVE-2016-4614 : Nick Wellnhofer
CVE-2016-4615 : Nick Wellnhofer
CVE-2016-4616 : Michael Paddon
Entrée mise à jour le 5 juin 2017
libxml2
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès
Conséquence : l’analyse d’un document XML malveillant peut mener à la divulgation des informations utilisateur.
Description : l’analyse de fichiers XML malveillants présentait un problème d’accès. Ce problème a été résolu par une meilleure validation des entrées.
CVE-2016-4449 : Kostya Serebryany
libxslt
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès
Conséquence : libxslt présentait plusieurs vulnérabilités.
Description : plusieurs problèmes de corruption de la mémoire ont été résolus par une meilleure gestion de celle-ci.
CVE-2016-1683 : Nicolas Grégoire
CVE-2016-1684 : Nicolas Grégoire
CVE-2016-4607 : Nick Wellnhofer
CVE-2016-4608 : Nicolas Grégoire
CVE-2016-4609 : Nick Wellnhofer
CVE-2016-4610 : Nick Wellnhofer
Entrée mise à jour le 11 avril 2017
Profils de sandbox
Disponible pour : Apple Watch Sport, Apple Watch, Apple Watch Edition et Apple Watch Hermès
Conséquence : une application locale peut être en mesure d’accéder à la liste d’opérations.
Description : des appels d’API privilégiés présentaient un problème d’accès. Ce problème a été résolu par la mise en place de restrictions supplémentaires.
CVE-2016-4594 : Stefan Esser de SektionEins