Informacije o sigurnosnom sadržaju sustava watchOS 4.2
U ovom se dokumentu opisuje sigurnosni sadržaj sustava watchOS 4.2.
Informacije o Appleovim sigurnosnim ažuriranjima
Da bi zaštitio korisnike, Apple ne otkriva ni ne potvrđuje sigurnosne probleme niti o njima raspravlja dok ih ne istraži i ne ponudi zakrpe ili nova izdanja. Nedavna izdanja navedena su na stranici Appleova sigurnosna ažuriranja.
Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda. Komunikaciju s Appleom možete kriptirati pomoću PGP ključa za sigurnost Appleovih proizvoda.
Kad god je moguće, Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID.
watchOS 4.2
Automatsko otključavanje
Dostupno za: sve modele Apple Watch uređaja
Učinak: aplikacije su mogle dobiti veće ovlasti
Opis: uvjet nadvladavanja riješen je dodatnom provjerom valjanosti.
CVE-2017-13905: Samuel Groß (@5aelo)
CFNetwork Session
Dostupno za: sve modele Apple Watch uređaja
Učinak: uz sistemske ovlasti neke su aplikacije mogle izvršiti proizvoljni kod
Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.
CVE-2017-7172: Richard Zhu (fluorescence) i inicijativa Zero Day (Trend Micro)
CoreAnimation
Dostupno za: sve modele Apple Watch uređaja
Učinak: uz dodatne ovlasti aplikacije mogu izvršiti proizvoljni kod
Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.
CVE-2017-7171: 360 Security i inicijativa Zero Day (Trend Micro), Tencent Keen Security Lab (@keen_lab) i inicijativa Zero Day (Trend Micro)
CoreFoundation
Dostupno za: sve modele Apple Watch uređaja
Učinak: aplikacije su mogle dobiti veće ovlasti
Opis: uvjet nadvladavanja riješen je dodatnom provjerom valjanosti.
CVE-2017-7151: Samuel Groß (@5aelo)
IOKit
Dostupno za: sve modele Apple Watch uređaja
Učinak: uz kernelske ovlasti aplikacije mogu izvršiti proizvoljni kod
Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.
CVE-2017-7162: Keen Security Lab (Tencent, @keen_lab) i inicijativa Zero Day (Trend Micro)
IOSurface
Dostupno za: sve modele Apple Watch uređaja
Učinak: uz kernelske ovlasti aplikacije mogu izvršiti proizvoljni kod
Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.
CVE-2017-13861: Ian Beer (Google Project Zero)
Kernel
Dostupno za: sve modele Apple Watch uređaja
Učinak: uz kernelske ovlasti aplikacije mogu izvršiti proizvoljni kod
Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.
CVE-2017-13904: Kevin Backhouse (Semmle Ltd.)
Kernel
Dostupno za: sve modele Apple Watch uređaja
Učinak: lokalni korisnici mogu izazvati neočekivani pad sustava odnosno čitati kernelsku memoriju.
Opis: u kernelu je otkriven problem s provjerom valjanosti ulaza. Problem je riješen poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2017-7154: Jann Horn (Google Project Zero)
Kernel
Dostupno za: sve modele Apple Watch uređaja
Učinak: uz kernelske ovlasti aplikacije mogu izvršiti proizvoljni kod
Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.
CVE-2017-13862: Apple
CVE-2017-13867: Ian Beer (Google Project Zero)
CVE-2017-13876: Ian Beer (Google Project Zero)
Kernel
Dostupno za: sve modele Apple Watch uređaja
Učinak: neke su aplikacije mogle čitati ograničenu memoriju
Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.
CVE-2017-7173: Brandon Azad
Kernel
Dostupno za: sve modele Apple Watch uređaja
Učinak: neke su aplikacije mogle čitati ograničenu memoriju
Opis: problem sa zamjenom vrsta riješen je poboljšanim upravljanjem memorijom.
CVE-2017-13855: Jann Horn (Google Project Zero)
Kernel
Dostupno za: sve modele Apple Watch uređaja
Učinak: neke su aplikacije mogle čitati ograničenu memoriju
Opis: problem s provjerom valjanosti riješen je poboljšanom sanitizacijom ulaznih podataka.
CVE-2017-13865: Ian Beer (Google Project Zero)
CVE-2017-13868: Brandon Azad
CVE-2017-13869: Jann Horn (Google Project Zero)
Kernel
Dostupno za: sve modele Apple Watch uređaja
Učinak: uz kernelske ovlasti neke aplikacije mogle su izvršiti proizvoljni kod
Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.
CVE-2017-13880: Apple
WebKit
Dostupno za: sve modele Apple Watch uređaja
Učinak: obradom zlonamjernog web-sadržaja moglo je doći do izvršavanja proizvoljnog koda
Opis: više problema oštećene memorije riješeno je poboljšanim rukovanjem memorijom.
CVE-2017-7165: 360 Security i inicijativa Zero Day (Trend Micro)
WebKit
Dostupno za: sve modele Apple Watch uređaja
Učinak: obradom zlonamjernog web-sadržaja moglo je doći do izvršavanja proizvoljnog koda
Opis: više problema oštećene memorije riješeno je poboljšanim rukovanjem memorijom.
CVE-2017-13884: 360 Security i inicijativa Zero Day (Trend Micro)
WebKit
Dostupno za: sve modele Apple Watch uređaja
Učinak: posjet zlonamjernom web-mjestu može uzrokovati krivotvorenje korisničkog sučelja
Opis: odgovori s preusmjeravanjem na stranicu 401 Unauthorized mogu zlonamjernom web-mjestu omogućiti nepravilan prikaz ikone zaključavanja na mješovitom sadržaju. Problem je riješen poboljšanom logikom prikaza URL-ova.
CVE-2017-7153: Jerry Decime
Wi-Fi
Dostupno za: Apple Watch (prve generacije) i Apple Watch Series 3
Učinak: napadač u dosegu Wi-Fi mreže mogao je prisilno omogućiti ponovno korištenje privremenog broja na WPA multicast / GTK klijentima (napadi ponovnom instalacijom ključa – Key Reinstallation Attacks, KRACK)
Opis: u rukovanju prijelazima iz jednog stanja u drugo pojavio se logički problem. Problem je riješen poboljšanim upravljanjem stanjem.
CVE-2017-13080: Mathy Vanhoef (grupa imec-DistriNet, KU Leuven)
Nema utjecaja
Sljedeći problem nije utjecao na watchOS 4.2:
Kernel
Učinak: aplikacija može čitati kernelsku memoriju (Meltdown)
Opis: sustavi s mikroprocesorima koji imaju funkciju špekulativnog izvršavanja i neizravnog predviđanja ogranka mogu dopustiti neovlašteno razotkrivanje informacija napadačima s lokalnim korisničkim pristupom putem analize sporednog kanala pričuvne memorije podataka.
CVE-2017-5754: Jann Horn (Google Project Zero), Moritz Lipp (Tehnološko sveučilište u Grazu), Michael Schwarz (Tehnološko sveučilište u Grazu), Daniel Gruss (Tehnološko sveučilište u Grazu), Thomas Prescher (Cyberus Technology GmbH), Werner Haas (Cyberus Technology GmbH), Stefan Mangard (Tehnološko sveučilište u Grazu), Paul Kocher, Daniel Genkin (Sveučilište u Pennsylvaniji i Sveučilište u Marylandu), Yuval Yarom (Sveučilište u Adelaideu i Data61) te Mike Hamburg (Rambus, Odjel za istraživanje kriptografije)
Informacije koje Apple daje o proizvodima koje nije on proizveo ili neovisnim web-stranicama nad kojima nema nadzor niti ih je testirao ne podrazumijevaju da te proizvode Apple preporučuje niti da za njih daje podršku. Apple nije odgovoran za odabir, performanse ni korištenje web-stranica ili proizvoda drugih proizvođača. Apple ne iznosi mišljenja o točnosti ni pouzdanosti web-stranica drugih proizvođača. Dodatne informacije zatražite od dobavljača proizvoda.