A watchOS 6.1.2 biztonsági változásjegyzéke
Ez a dokumentum a watchOS 6.1.2 biztonsági változásjegyzékét ismerteti.
Tudnivalók az Apple biztonsági frissítéseiről
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.
Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.
A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
watchOS 6.1.2
AnnotationKit
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A távoli támadók váratlan alkalmazásleállást tudtak előidézni, illetve tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.
CVE-2020-3877: anonim kutató, a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként
Audio
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2020-3857: Zhuo Liang (Qihoo 360 Vulcan Team)
files
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A rosszindulatú alkalmazások felül tudtak írni tetszőleges fájlokat.
Leírás: Hatékonyabb hozzáférés-korlátozással hárítottunk el egy hozzáférési problémát.
CVE-2020-3855: Fitzl Csaba (@theevilbit)
ImageIO
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.
CVE-2020-3826: Samuel Groß (Google Project Zero)
CVE-2020-3870
CVE-2020-3878: Samuel Groß (Google Project Zero)
CVE-2020-3880: Samuel Groß (Google Project Zero)
IOAcceleratorFamily
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2020-3837: Brandon Azad (Google Project Zero)
IOUSBDeviceFamily
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2019-8836: Xiaolong Bai és Min (Spark) Zheng (Alibaba Inc.) és Luyi Xing (Indiana University Bloomington)
Bejegyzés hozzáadva: 2020. június 22.
Kernel
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Az alkalmazások olvasni tudták a korlátozott memóriát.
Leírás: Beviteltisztítással elhárítottunk egy érvényesítési hibát.
CVE-2020-3875: Brandon Azad (Google Project Zero)
Kernel
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A rosszindulatú alkalmazások meg tudták állapítani a kernelmemória felépítését.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy hozzáférési problémát.
CVE-2020-3836: Brandon Azad (Google Project Zero)
Kernel
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Az alkalmazások olvasni tudták a korlátozott memóriát.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriainicializálási hibát.
CVE-2020-3872: Haakon Garseg Mørk (Cognite) és Cim Stordal (Cognite)
Kernel
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2020-3842: Ned Williamson, a Google Project Zero közreműködőjeként
Kernel
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2020-3834: Xiaolong Bai és Min (Spark) Zheng (Alibaba Inc.), Luyi Xing (Indiana University Bloomington)
Kernel
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy memóriasérülési hibát.
CVE-2020-3860: Proteas (Qihoo 360 Nirvan Team)
Kernel
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A rendszerszintű jogosultsággal rendelkező rosszindulatú alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy típustévesztési hibát.
CVE-2020-3853: Brandon Azad (Google Project Zero)
libxml2
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott XML-fájlok feldolgozásakor váratlan alkalmazásleállásra került sor, vagy tetszőleges programkód végrehajtására nyílt lehetőség.
Leírás: Hatékonyabb méretellenőrzéssel kiküszöböltünk egy puffertúlcsordulást okozó problémát.
CVE-2020-3846: Ranier Vilela
libxpc
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott karakterláncok feldolgozásakor sérült a halommemória.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy memóriasérülési hibát.
CVE-2020-3856: Ian Beer (Google Project Zero)
libxpc
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli olvasási hibát.
CVE-2020-3829: Ian Beer (Google Project Zero)
wifivelocityd
A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek
Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb engedélyezési logikával küszöböltük ki a problémát.
CVE-2020-3838: Dayton Pidhirney (@_watbulb)
További köszönetnyilvánítás
IOSurface
Köszönjük Liang Chen (@chenliang0817) segítségét.
A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.