O sigurnosnom sadržaju sustava watchOS 10.5

U ovom se dokumentu opisuje sigurnosni sadržaj sustava watchOS 10.5.

Informacije o Appleovim sigurnosnim ažuriranjima

Da bi zaštitio korisnike, Apple ne otkriva i ne potvrđuje sigurnosne probleme niti o njima raspravlja dok se ne provede istraga i ne stave na raspolaganje zakrpe ili novija izdanja. Nedavna izdanja navedena su na stranici Appleova sigurnosna ažuriranja.

Kad god je moguće, Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID.

Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda.

watchOS 10.5

Apple Neural Engine

Dostupno za uređaje koji imaju Apple Neural Engine: Apple Watch Series 9 i Apple Watch Ultra 2

Učinak: lokalni napadač mogao bi uzrokovati neočekivano isključivanje sustava

Opis: problem je riješen poboljšanim rukovanjem memorijom.

CVE-2024-27826: Minghao Lin i Ye Zhang (@VAR10CK) (Baidu Security)

AppleAVD

Dostupno za: Apple Watch Series 4 i novije

Učinak: neka bi aplikacija mogla izazvati neočekivani pad sustava

Opis: problem je riješen poboljšanim rukovanjem memorijom.

CVE-2024-27804: Meysam Firouzi (@R00tkitSMM)

AppleMobileFileIntegrity

Dostupno za: Apple Watch Series 4 i novije

Učinak: napadač bi mogao pristupiti korisničkim podacima

Opis: logički problem riješen je poboljšanim provjerama.

CVE-2024-27816: Mickey Jin (@patch1t)

Core Data

Dostupno za: Apple Watch Series 4 i novije

Učinak: aplikacija bi mogla pristupiti osjetljivim korisničkim podacima

Opis: problem je riješen boljom provjerom varijabli u okruženju.

CVE-2024-27805: Kirin (@Pwnrin) i 小来来 (@Smi1eSEC)

Disk Images

Dostupno za: Apple Watch Series 4 i novije

Učinak: aplikacija bi mogla dobiti veće ovlasti

Opis: problem je riješen poboljšanim provjerama.

CVE-2024-27832: anonimni istraživač

Foundation

Dostupno za: Apple Watch Series 4 i novije

Učinak: aplikacija bi mogla dobiti veće ovlasti

Opis: problem je riješen poboljšanim provjerama.

CVE-2024-27801: CertiK SkyFall Team

IOSurface

Dostupno za: Apple Watch Series 4 i novije

Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti

Opis: problem je riješen poboljšanim rukovanjem memorijom.

CVE-2024-27828: Pan ZhenPeng (@Peterpan0927) (STAR Labs SG Pte.) Ltd.)

Kernel

Dostupno za: Apple Watch Series 4 i novije

Učinak: napadač koji je već postigao izvršavanje proizvoljnog koda u kernelu mogao bi zaobići zaštite kernelske memorije

Opis: problem je riješen poboljšanim rukovanjem memorijom.

CVE-2024-27840: anonimni istraživač

Kernel

Dostupno za: Apple Watch Series 4 i novije

Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti

Opis: problem s pisanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2024-27815: anonimni istraživač i Joseph Ravichandran (@0xjprx) (MIT CSAIL)

Kernel

Dostupno za: Apple Watch Series 4 i novije

Učinak: napadač s mrežnim ovlastima mogao bi lažirati mrežne pakete

Opis: stanje nadmetanja riješeno je poboljšanim zaključavanjem.

CVE-2024-27823: prof. Benny Pinkas sa Sveučilišta Bar-Ilan, prof. Amit Klein s Hebrejskog sveučilišta i EP

libiconv

Dostupno za: Apple Watch Series 4 i novije

Učinak: aplikacija bi mogla dobiti veće ovlasti

Opis: problem je riješen poboljšanim provjerama.

CVE-2024-27811: Nick Wellnhofer

Mail

Dostupno za: Apple Watch Series 4 i novije

Učinak: napadač s fizičkim pristupom mogao bi otkriti podatke za pristup računu za Mail

Opis: problem s provjerom autentičnosti riješen je poboljšanim upravljanjem stanjem.

CVE-2024-23251: Gil Pedersen

Mail

Dostupno za: Apple Watch Series 4 i novije

Učinak: zlonamjerni e-mail može pokretati FaceTime pozive bez odobrenja korisnika

Opis: problem je riješen poboljšanim provjerama.

CVE-2024-23282: Dohyun Lee (@l33d0hyun)

Maps

Dostupno za: Apple Watch Series 4 i novije

Učinak: određena aplikacija mogla bi čitati osjetljive podatke o lokaciji

Opis: problem s obradom putova riješen je poboljšanom provjerom valjanosti.

CVE-2024-27810: LFY@secsys (Sveučilište Fudan)

Messages

Dostupno za: Apple Watch Series 4 i novije

Učinak: obrada zlonamjerne poruke mogla je dovesti do odbijanja usluge

Opis: problem je riješen uklanjanjem koda sa slabim točkama.

CVE-2024-27800: Daniel Zajork i Joshua Zajork

Phone

Dostupno za: Apple Watch Series 4 i novije

Učinak: osoba s fizičkim pristupom uređaju mogla bi pristupiti kontaktima sa zaključanog zaslona

Opis: problem je riješen poboljšanim upravljanjem stanjem.

CVE-2024-27814: Dalibor Milanovic

RemoteViewServices

Dostupno za: Apple Watch Series 4 i novije

Učinak: napadač bi mogao pristupiti korisničkim podacima

Opis: logički problem riješen je poboljšanim provjerama.

CVE-2024-27816: Mickey Jin (@patch1t)

Shortcuts

Dostupno za: Apple Watch Series 4 i novije

Učinak: prečac bi mogao pružati osjetljive korisničke podatke bez pristanka

Opis: problem s obradom putova riješen je poboljšanom provjerom valjanosti.

CVE-2024-27821: Kirin (@Pwnrin), zbleet i Csaba Fitzl (@theevilbit) (Kandji)

Spotlight

Dostupno za: Apple Watch Series 4 i novije

Učinak: aplikacija bi mogla pristupiti osjetljivim korisničkim podacima

Opis: problem je riješen poboljšanom sanacijom okruženja.

CVE-2024-27806

Transparency

Dostupno za: Apple Watch Series 4 i novije

Učinak: aplikacija bi mogla pristupiti osjetljivima korisničkim podacima

Opis: problem je riješen novom ovlasti.

CVE-2024-27884: Mickey Jin (@patch1t)

WebKit

Dostupno za: Apple Watch Series 4 i novije

Učinak: napadač s mogućnošću proizvoljnog čitanja i pisanja mogao bi zaobići autorizaciju pokazivača

Opis: problem je riješen poboljšanim provjerama.

CVE-2024-27834: Manfred Paul (@_manfp) u suradnji s inicijativom Zero Day (Trend Micro)

WebKit

Dostupno za: Apple Watch Series 4 i novije

Učinak: zlonamjerno izrađena web-stranica mogla bi kreirati okruženje koje imitira radnje korisnika

Opis: problem je riješen dodavanje dodatne logike.

CVE-2024-27838: Emilio Cobos (Mozilla)

WebKit

Dostupno za: Apple Watch Series 4 i novije

Učinak: obradom web sadržaja moglo bi doći do izvršavanja proizvoljnog koda

Opis: problem je riješen poboljšanim rukovanjem memorijom.

CVE-2024-27808: Lukas Bernhard (CISPA Helmholtz Center for Information Security)

WebKit

Dostupno za: Apple Watch Series 4 i novije

Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda

Opis: problem je riješen poboljšanim provjerama ograničenja.

CVE-2024-27851: Nan Wang (@eternalsakura13) (360 Vulnerability Research Institute)

WebKit

Dostupno za: Apple Watch Series 4 i novije

Učinak: zlonamjerni napadač s mogućnošću proizvoljnog čitanja i pisanja mogao bi zaobići autorizaciju pokazivača

Opis: problem je riješen poboljšanim provjerama.

CVE-2024-27834: Manfred Paul (@_manfp) u suradnji s inicijativom Zero Day (Trend Micro)

WebKit Canvas

Dostupno za: Apple Watch Series 4 i novije

Učinak: zlonamjerno izrađena web-stranica mogla bi kreirati okruženje koje imitira radnje korisnika

Opis: problem je riješen poboljšanim upravljanjem stanjem.

CVE-2024-27830: Joe Rutkowski (@Joe12387) (Crawless) i @abrahamjuliot

WebKit Web Inspector

Dostupno za: Apple Watch Series 4 i novije

Učinak: obradom web sadržaja moglo bi doći do izvršavanja proizvoljnog koda

Opis: problem je riješen poboljšanim rukovanjem memorijom.

CVE-2024-27820: Jeff Johnson (underpassapp.com)

Dodatna zahvala

App Store

Na pomoći zahvaljujemo anonimnom istraživaču.

AppleMobileFileIntegrity

Na pomoći zahvaljujemo Mickeyju Jinu (@patch1t).

CoreHAP

Željeli bismo zahvaliti Adrianu Cableu na pomoći.

Disk Images

Na pomoći zahvaljujemo Mickeyju Jinu (@patch1t).

HearingCore

Na pomoći zahvaljujemo anonimnom istraživaču.

ImageIO

Na pomoći zahvaljujemo anonimnom istraživaču.

Managed Configuration

Željeli bismo zahvaliti 遥遥领先 (@晴天组织) na pomoći.

Siri

Na pomoći zahvaljujemo Abhayu Kailasiju (@abhay_kailasia) (Lakshmi Narain College of Technology, Bhopal, Indija).