A watchOS 5.2.1 biztonsági változásjegyzéke
Ez a dokumentum a watchOS 5.2.1 biztonsági változásjegyzékét ismerteti.
Tudnivalók az Apple biztonsági frissítéseiről
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.
Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.
A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
watchOS 5.2.1
AppleFileConduit
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2019-8593: Dany Lisiansky (@DanyL931)
CoreAudio
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott filmfájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.
CVE-2019-8585: riusksk (VulWar Corp), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként
CoreAudio
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.
Leírás: Hatékonyabb hibakezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2019-8592: riusksk (VulWar Corp), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként
Lemezképek
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Az alkalmazások olvasni tudták a korlátozott memóriát.
Leírás: Beviteltisztítással elhárítottunk egy érvényesítési hibát.
CVE-2019-8560: Nikita Pupyshev (Bauman Moscow State Technological University)
Kernel
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A rendszerszintű jogosultsággal rendelkező rosszindulatú alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.
CVE-2019-8605: Ned Williamson, a Google Project Zero közreműködőjeként
Kernel
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A helyi felhasználók váratlan rendszerleállást tudtak előidézni, illetve olvasni tudták a kernelmemóriát.
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli olvasási hibát.
CVE-2019-8576: Brandon Azad (Google Project Zero), Junho Jang és Hanul Choi (LINE Security Team)
Kernel
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Az alkalmazások váratlan rendszerleállást tudtak előidézni, illetve írni tudtak a kernelmemóriába.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy típustévesztési hibát.
CVE-2019-8591: Ned Williamson, a Google Project Zero közreműködőjeként
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott üzenetek feldolgozásakor szolgáltatásmegtagadás lépett fel.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy beviteli érvényesség-ellenőrzési problémát.
CVE-2019-8626: natashenka (Google Project Zero)
Mail Message Framework
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A távoli támadók elő tudták idézni egy tetszőleges kód végrehajtását.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.
CVE-2019-8613: natashenka (Google Project Zero)
Üzenetek
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott üzenetek feldolgozásakor szolgáltatásmegtagadás lépett fel.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy beviteli érvényesség-ellenőrzési problémát.
CVE-2019-8664: natashenka (Google Project Zero)
Üzenetek
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A távoli támadók szolgáltatásmegtagadást tudtak előidézni.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy beviteli érvényesség-ellenőrzési problémát.
CVE-2019-8573: natashenka (Google Project Zero)
Üzenetek
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott üzenetek feldolgozásakor szolgáltatásmegtagadás lépett fel.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy beviteli érvényesség-ellenőrzési problémát.
CVE-2019-8664: natashenka (Google Project Zero)
MobileInstallation
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A helyi felhasználók módosítani tudták a fájlrendszer védett részeit.
Leírás: Érvényesítési hiba lépett fel a szimbolikus hivatkozások kezelésekor. A szimbolikus hivatkozások hatékonyabb hitelesítésével hárítottuk el a problémát.
CVE-2019-8568: Dany Lisiansky (@DanyL931)
MobileLockdown
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A rosszindulatú alkalmazások gyökérszintű jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy beviteli érvényesség-ellenőrzési problémát.
CVE-2019-8637: Dany Lisiansky (@DanyL931)
SQLite
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy beviteli érvényesség-ellenőrzési problémát.
CVE-2019-8577: Omer Gull (Checkpoint Research)
SQLite
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Az ártó szándékkal létrehozott SQL-lekérdezések tetszőleges programkód végrehajtására adtak lehetőséget.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy memóriasérülési hibát.
CVE-2019-8600: Omer Gull (Checkpoint Research)
SQLite
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A rosszindulatú alkalmazások olvasni tudták a korlátozott memóriát.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy beviteli érvényesség-ellenőrzési problémát.
CVE-2019-8598: Omer Gull (Checkpoint Research)
SQLite
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A rosszindulatú alkalmazások magasabb szintű jogosultságokat tudtak szerezni.
Leírás: Elhárítottunk egy memóriasérülési hibát a sebezhető kód eltávolításával.
CVE-2019-8602: Omer Gull (Checkpoint Research)
sysdiagnose
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb engedélyezési logikával küszöböltük ki a problémát.
CVE-2019-8574: Dayton Pidhirney (@_watbulb; Seekintoo, @seekintoo)
WebKit
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor lehetővé vált a folyamatmemória közzététele.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.
CVE-2019-8607: Junho Jang és Hanul Choi (LINE Security Team)
WebKit
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb memóriakezeléssel elhárítottak több, memóriasérüléssel kapcsolatos problémát.
CVE-2019-8583: sakura (Tencent Xuanwu Lab), jessica (@babyjess1ca_; Tencent Keen Lab) és dwfault, a Venustech ADLab közreműködőjeként
CVE-2019-8601: Fluoroacetate, a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként
CVE-2019-8622: Samuel Groß (Google Project Zero)
CVE-2019-8623: Samuel Groß (Google Project Zero)
Wi-Fi
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A magas hálózati jogosultságú támadók módosítani tudták a meghajtóállapotot.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2019-8612: Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)
Wi-Fi
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A készülékek passzív módon nyomon követhetők voltak a Wi-Fi MAC-címük alapján.
Leírás: Egy felhasználói adatvédelmi probléma hárult el a szórási MAC-cím eltávolításával.
CVE-2019-8620: David Kreitschmann és Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)
További köszönetnyilvánítás
Clang
Köszönjük Brandon Azad (Google Project Zero) segítségét.
CoreAudio
Köszönjük riusksk (VulWar Corp, a Trend Micro Zero Day Initiative kezdeményezésének közreműködője) segítségét.
CoreFoundation
Köszönjük a következők segítségét: Vozzie, Rami és m4bln, Xiangqian Zhang, Huiming Liu (Tencent; Xuanwu Lab).
Kernel
Köszönjük Brandon Azad (Google Project Zero) és egy anonim kutató segítségét.
MediaLibrary
Köszönjük Angel Ramirez és Min (Spark) Zheng, valamint Xiaolong Bai (Alibaba Inc.) segítségét.
MobileInstallation
Köszönjük Yiğit Can YILMAZ (@yilmazcanyigit) segítségét.
A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.