A watchOS 6.2.8 biztonsági változásjegyzéke

Ez a dokumentum a watchOS 6.2.8 biztonsági változásjegyzékét ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

watchOS 6.2.8

Kiadás dátuma: 2020. július 15.

Hang

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértékírási hibát.

CVE-2020-9884: Yu Zhou(@yuzhou6666; 小鸡帮), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2020-9889: JunDong Xie és XingWei Li (Ant-financial Light-Year Security Lab)

Bejegyzés frissítve: 2020. július 28.

Hang

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határérték-olvasási hibát.

CVE-2020-9888: JunDong Xie és XingWei Li (Ant-financial Light-Year Security Lab)

CVE-2020-9890: JunDong Xie és XingWei Li (Ant-financial Light-Year Security Lab)

CVE-2020-9891: JunDong Xie és XingWei Li (Ant-financial Light-Year Security Lab)

CoreGraphics

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb memóriakezeléssel hárítottunk el egy puffertúlcsordulást okozó problémát.

CVE-2020-9883: Mickey Jin (Trend Micro)

Bejegyzés hozzáadva: 2020. július 28.

Crash Reporter

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: A rosszindulatú alkalmazások adott esetben ki tudtak törni a sandboxból.

Leírás: Elhárítottunk egy memóriasérülési hibát a sebezhető kód eltávolításával.

CVE-2020-9865: Zhuo Liang (Qihoo 360 Vulcan Team), a 360 BugCloud közreműködőjeként

GeoServices

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: A rosszindulatú alkalmazások be tudtak olvasni bizalmas jellegű helyadatokat.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy engedélyekkel kapcsolatos problémát.

CVE-2020-9933: Min (Spark) Zheng és Xiaolong Bai (Alibaba Inc.)

ImageIO

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértékírási hibát.

CVE-2020-9872: Xingwei Lin (Ant-financial Light-Year Security Lab)

CVE-2020-9936: Mickey Jin (Trend Micro)

Bejegyzés frissítve: 2020. július 28.

ImageIO

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb memóriakezeléssel hárítottunk el egy puffertúlcsordulást okozó problémát.

CVE-2020-9919:  Mickey Jin (Trend Micro)

Bejegyzés hozzáadva: 2020. július 28.

ImageIO

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott PDF-fájlok megnyitása esetén váratlan alkalmazásleállásra vagy tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértékírási hibát.

CVE-2020-9876: Mickey Jin (Trend Micro)

Bejegyzés hozzáadva: 2020. július 28.

ImageIO

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határérték-olvasási hibát.

CVE-2020-9873: Xingwei Lin (Ant-financial Light-Year Security Lab)

CVE-2020-9938: Xingwei Lin (Ant-financial Light-Year Security Lab)

Bejegyzés hozzáadva: 2020. július 28.

Kernel

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: A rendszerszintű jogosultsággal rendelkező rosszindulatú alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2020-9923: Proteas

Kernel

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: A már kernelszintű kódvégrehajtási jogosultságot szerzett támadók megkerülhették a kernelmemória használatára vonatkozó korlátozásokat.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határérték-olvasási hibát.

CVE-2020-9909: Brandon Azad (Google Project Zero)

Kernel

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2020-9904: Tielei Wang (Pangu Lab)

Bejegyzés hozzáadva: 2020. július 28.

Kernel

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriainicializálási hibát.

CVE-2020-9863: anonim kutató

Bejegyzés hozzáadva: 2020. július 28.

Mail

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: Egy rosszindulatú levelezési kiszolgáló felülírhatott tetszőleges levélfájlokat.

Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy útvonalkezelési hibát.

CVE-2020-9920: YongYue Wang AKA BigChan (Hillstone Networks AF Team)

Bejegyzés hozzáadva: 2020. július 28.

Üzenetek

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: Egy iMessage-csoportból eltávolított felhasználó ismét csatlakozni tudott a csoporthoz.

Leírás: Hiba lépett fel az iMessage tapback elemek kezelésekor. További ellenőrzésekkel küszöböltük ki a problémát.

CVE-2020-9885: anonim kutató, Suryansh Mansharamani (WWP High School North, medium.com/@suryanshmansha)

Biztonság

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: Egy támadó a rendszergazda által hozzáadott tanúsítvány megosztott kulcsával leutánozhatott egy megbízható webhelyet.

Leírás: Tanúsítvány-ellenőrzési probléma lépett fel a rendszergazda által hozzáadott tanúsítványok feldolgozása során. A problémát hatékonyabb tanúsítvány-ellenőrzéssel küszöböltük ki.

CVE-2020-9868: Brian Wolff (Asana)

Bejegyzés hozzáadva: 2020. július 28.

WebKit

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: A távoli támadók váratlan alkalmazásleállást tudtak előidézni, illetve tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2020-9894: 0011, a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

WebKit

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása megakadályozhatta a Tartalombiztonsági szabályzat érvényesítését.

Leírás: Egy hozzáférési hiba állt fenn a tartalombiztonsági irányelvek esetén.  Hatékonyabb hozzáférés-korlátozással hárítottuk el a problémát.

CVE-2020-9915: Ayoub AIT ELMOKHTAR (Noon)

Bejegyzés frissítve: 2020. július 28.

WebKit

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása univerzális, webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2020-9925: anonim kutató

WebKit

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: A távoli támadók váratlan alkalmazásleállást tudtak előidézni, illetve tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.

CVE-2020-9893: 0011, a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2020-9895: Wen Xu (SSLab, Georgia Tech)

WebKit

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: A rosszindulatú támadók tetszőleges olvasási és írási képesség birtokában megkerülhették a Mutatóhitelesítést.

Leírás: Továbbfejlesztett logikával hárítottunk el több problémát.

CVE-2020-9910: Samuel Groß (Google Project Zero)

WebKit-oldalbetöltés

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: A rosszindulatú támadók elrejthették az URL-ek célját.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy, az URL-címek Unicode-kódolásával kapcsolatos hibát.

CVE-2020-9916: Rakesh Mane (@RakeshMane10)

WebKit Web Inspector

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: Az URL-címek Webvizsgálóból való kimásolása parancsbeszúrásra adhatott lehetőséget.

Leírás: Parancsbeszúrásra lehetőséget adó hiba állt fenn a Web Inspector esetén. A különleges karakterek hatékonyabb elkerülésével hárítottuk el a problémát.

CVE-2020-9862: Ophir Lojkine (@lovasoa)

Wi-Fi

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: A távoli támadók váratlan rendszerleállást tudtak előidézni, illetve sérülést tudtak okozni a kernelmemóriában.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határérték-olvasási hibát.

CVE-2020-9918: Jianjun Dai (360 Alpha Lab), a 360 BugCloud (bugcloud.360.cn) közreműködőjeként

Wi-Fi

A következőkhöz érhető el: Apple Watch Series 1 és újabb modellek

Érintett terület: A távoli támadók váratlan rendszerleállást tudtak előidézni, illetve sérülést tudtak okozni a kernelmemóriában.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy memóriasérülési hibát.

CVE-2020-9906: Ian Beer (Google Project Zero)

Bejegyzés hozzáadva: 2020. július 28.

További köszönetnyilvánítás

Kernel

Köszönjük Brandon Azad (Google Project Zero) segítségét.

A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.

Közzététel dátuma: