A watchOS 7.4 biztonsági változásjegyzéke
Ez a dokumentum a watchOS 7.4 biztonsági változásjegyzékét ismerteti.
Tudnivalók az Apple biztonsági frissítéseiről
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.
Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.
A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
watchOS 7.4
Kiadási dátum: 2021. április 26.
AppleMobileFileIntegrity
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: A rosszindulatú alkalmazások meg tudták kerülni az adatvédelmi beállításokat.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy kódaláírások hitelesítésével kapcsolatos problémát.
CVE-2021-1849: Siguza
Audio
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Az alkalmazások olvasni tudták a korlátozott memóriát.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy memóriasérülési hibát.
CVE-2021-1808: JunDong Xie (Ant Security Light-Year Lab)
CFNetwork
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor adott esetben felfedhetők voltak a bizalmas felhasználói adatok.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriainicializálási hibát.
CVE-2021-1857: anonim kutató
Compression
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát
Leírás: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
CVE-2021-30752: Ye Zhang (@co0py_Cat), Baidu Security
Bejegyzés hozzáadva: 2021. július 21.
CoreAudio
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott fájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli írási hibát.
CVE-2021-30664: JunDong Xie (Ant Security Light-Year Lab)
Bejegyzés hozzáadva: 2021. május 6.
CoreAudio
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor felfedhető volt a korlátozott memória.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.
CVE-2021-1846: JunDong Xie (Ant Security Light-Year Lab)
CoreAudio
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: A rosszindulatú alkalmazások olvasni tudták a korlátozott memóriát.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy memóriasérülési hibát.
CVE-2021-1809: JunDong Xie (Ant Security Light-Year Lab)
CoreFoundation
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: A rosszindulatú alkalmazások ki tudtak szivárogtatni bizalmas jellegű információkat.
Leírás: Hatékonyabb logika alkalmazásával elhárítottunk egy hitelesítési hibát.
CVE-2021-30659: Thijs Alkemade (Computest)
CoreText
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Az ártó szándékkal létrehozott betűtípusok feldolgozása lehetőséget adott a folyamatmemória közzétételére.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2021-1811: Xingwei Lin (Ant Security Light-Year Lab)
FaceTime
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Előfordult, hogy csengő CallKit-hívás elnémításakor a némítás nem aktiválódott.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2021-1872: Siraj Zaneer (Facebook)
FontParser
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Az ártó szándékkal létrehozott betűtípusfájlok feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.
CVE-2021-1881: anonim kutató, Xingwei Lin (Ant Security Light-Year Lab), Mickey Jin (Trend Micro) és Hou JingYi (@hjy79425575, Qihoo 360)
Foundation
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy memóriasérülési hibát.
CVE-2021-1882: Gabe Kirkpatrick (@gabe_k)
Foundation
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: A rosszindulatú alkalmazások gyökérszintű jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb logika alkalmazásával elhárítottunk egy hitelesítési hibát.
CVE-2021-1813: Cees Elzinga
Heimdal
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott szerverüzenet feldolgozásakor sérült a halommemória.
Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.
CVE-2021-1883: Gabe Kirkpatrick (@gabe_k)
Heimdal
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: A távoli támadók szolgáltatásmegtagadást tudtak előidézni.
Leírás: Hatékonyabb zárolás révén hárítottunk el egy versenyhelyzeti problémát.
CVE-2021-1884: Gabe Kirkpatrick (@gabe_k)
ImageIO
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.
CVE-2021-1880: Xingwei Lin (Ant Security Light-Year Lab)
CVE-2021-30653: Ye Zhang (Baidu Security)
CVE-2021-1814: Ye Zhang (Baidu Security), Mickey Jin és Qi Sun (Trend Micro), Xingwei Lin (Ant Security Light-Year Lab)
CVE-2021-1843: Ye Zhang (Baidu Security)
ImageIO
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli olvasási hibát.
CVE-2021-1885: CFF (Topsec Alpha Team)
ImageIO
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli írási hibát.
CVE-2021-1858: Mickey Jin (Trend Micro)
ImageIO
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát
Leírás: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
CVE-2021-30743: Ye Zhang (@co0py_Cat) of Baidu Security, Jzhu a Trend Micro Zero Day Initiative közreműködőjeként, Xingwei Lin (Ant Security Light-Year Lab), CFF (Topsec Alpha Team), Jeonghoon Shin (@singi21a) (THEORI), a Trend Micro Zero Day Initiative közreműködőjeként
Bejegyzés hozzáadva: 2021. július 21.
ImageIO
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát
Leírás: Az ártó szándékkal létrehozott fájl feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
CVE-2021-30764: anonim kutató, a Trend Micro Zero Day Initiative közreműködőjeként
Bejegyzés hozzáadva: 2021. július 21.
iTunes Store
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: A JavaScript-végrehajtással rendelkező támadók tetszőleges programkódot tudtak futtatni.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.
CVE-2021-1864: CodeColorist (Ant-Financial LightYear Labs)
Kernel
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: A rosszindulatú alkalmazások fel tudták fedni a kernelmemória tartalmát.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriainicializálási hibát.
CVE-2021-1860: @0xalsr
Kernel
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: A rosszindulatú alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal.
Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.
CVE-2021-1816: Tielei Wang (Pangu Lab)
Kernel
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2021-1851: @0xalsr
Kernel
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Előfordult, hogy az átmásolt fájlok nem a várt fájlengedélyekkel rendelkeztek.
Leírás: Hatékonyabb engedélyezési logikával küszöböltük ki a problémát.
CVE-2021-1832: anonim kutató
Kernel
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: A rosszindulatú alkalmazások fel tudták fedni a kernelmemória tartalmát.
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli olvasási hibát.
CVE-2021-30660: Alex Plaskett
libxpc
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: A rosszindulatú alkalmazások gyökérszintű jogosultságokat tudtak szerezni.
Leírás: További hitelesítéssel hárítottunk el egy versenyhelyzeti problémát.
CVE-2021-30652: James Hutchins
libxslt
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott fájlok feldolgozásakor sérült a halommemória.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy kétszeres felszabadítást előidéző hibát.
CVE-2021-1875: megtaláló: OSS-Fuzz
MobileInstallation
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: A helyi felhasználók módosítani tudták a fájlrendszer védett részeit.
Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.
CVE-2021-1822: Bruno Virlet (The Grizzly Labs)
Preferences
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: A helyi felhasználók módosítani tudták a fájlrendszer védett részeit.
Leírás: Az elérési útvonalak hatékonyabb ellenőrzésével elhárítottunk egy, a könyvtárak elérési útjának kezelésében fennálló elemzési hibát.
CVE-2021-1815: Zhipeng Huo (@R3dF09) és Yuebin Sun (@yuebinsun2020, Tencent Security Xuanwu Lab, xlab.tencent.com)
CVE-2021-1739: Zhipeng Huo (@R3dF09) és Yuebin Sun (@yuebinsun2020, Tencent Security Xuanwu Lab, xlab.tencent.com)
CVE-2021-1740: Zhipeng Huo (@R3dF09) és Yuebin Sun (@yuebinsun2020, Tencent Security Xuanwu Lab, xlab.tencent.com)
Safari
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: A helyi felhasználók írni tudtak tetszőleges fájlokat
Leírás: Beviteltisztítással elhárítottunk egy érvényesítési hibát.
CVE-2021-1807: David Schütz (@xdavidhu)
Tailspin
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Előfordult, hogy egy helyi támadó magasabb szintű jogosultságokat tudott szerezni magának.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2021-1868: Tim Michaud (Zoom Communications)
WebKit
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy beviteli érvényesség-ellenőrzési problémát.
CVE-2021-1825: Alex Camboe (Aon’s Cyber Solutions)
WebKit
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2021-1817: zhunki
Bejegyzés frissítve: 2021. május 6.
WebKit
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása univerzális, webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.
Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.
CVE-2021-1826: anonim kutató
WebKit
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor lehetővé vált a folyamatmemória közzététele.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriainicializálási hibát.
CVE-2021-1820: André Bargull
Bejegyzés frissítve: 2021. május 6.
WebKit Storage
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség. Az Apple tud egy jelentésről, mely szerint lehet, hogy ezt a problémát aktívan kihasználták.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.
CVE-2021-30661: yangkang (@dnpushme, 360 ATA)
WebRTC
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát
Leírás: A távoli támadók váratlan rendszerleállást tudtak előidézni, illetve sérülést tudtak okozni a kernelmemóriában.
CVE-2020-7463: Megan2013678
Bejegyzés hozzáadva: 2021. július 21.
Wi-Fi
A következőkhöz érhető el: Apple Watch Series 3 és újabb modellek.
Érintett terület: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát
Leírás: Előfordult, hogy puffertúlcsordulás következtében tetszőleges kód végrehajtására került sor.
CVE-2021-1770: Jiska Classen (@naehrdine), Secure Mobile Networking Lab, Darmstadti Műszaki Egyetem
Bejegyzés hozzáadva: 2021. július 21.
További köszönetnyilvánítás
AirDrop
Köszönjük @maxzks segítségét.
CoreAudio
Köszönjük egy anonim kutató segítségét.
CoreCrypto
Köszönjük Andy Russon (Orange Group) segítségét.
File Bookmark
Köszönjük egy anonim kutató segítségét.
Foundation
Köszönjük CodeColorist (Ant-Financial LightYear Labs) segítségét.
Kernel
Köszönjük Antonio Frighetto (Politecnico di Milano), a GRIMM, Keyu Man, Zhiyun Qian, Zhongjie Wang, Xiaofeng Zheng, Youjun Huang, Haixin Duan, Mikko Kenttälä (@Turmio_; SensorFu), Proteas és Tielei Wang (Pangu Lab) segítségét.
Security
Köszönjük Xingwei Lin (Ant Security Light-Year Lab) és john (@nyan_satan) segítségét.
sysdiagnose
Köszönjük Tim Michaud (@TimGMichaud; Leviathan) segítségét.
WebKit
Köszönjük Emilio Cobos Álvarez (Mozilla) segítségét.
A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.