A watchOS 9.3 biztonsági változásjegyzéke

Ez a dokumentum a watchOS 9.3 biztonsági változásjegyzékét ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

watchOS 9.3

Kiadási dátum: 2023. január 23.

AppleMobileFileIntegrity

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: Egyes alkalmazások meg tudták kerülni az adatvédelmi beállításokat

Leírás: Úgy hárítottuk el a problémát, hogy hatékonyabb ellenőrzéseket vezettünk be a jogosulatlan műveletek megakadályozására.

CVE-2023-32438: Fitzl Csaba (@theevilbit, Offensive Security) és Mickey Jin (@patch1t)

Bejegyzés hozzáadva 2023. szeptember 5-én.

AppleMobileFileIntegrity

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni

Leírás: Megerősített futtatási idővel hárítottuk el a problémát.

CVE-2023-23499: Wojciech Regula (SecuRing; wojciechregula.blog)

Crash Reporter

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: A felhasználók root felhasználóként olvasni tudtak tetszőleges fájlokat.

Leírás: További hitelesítéssel hárítottunk el egy versenyhelyzeti problémát.

CVE-2023-23520: Cees Elzinga

Bejegyzés hozzáadva: 2023. június 6.

FontParser

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: A betűtípusfájlok feldolgozásakor tetszőleges programkód végrehajtására nyílt lehetőség. Az Apple tisztában van vele, hogy a problémát aktívan kihasználták az iOS 15.7.1 előtt kiadott iOS-verziókban.

Leírás: A gyorsítótárak hatékonyabb kezelésével hárítottuk el a problémát.

CVE-2023-41990: Apple

Bejegyzés hozzáadva 2023. szeptember 8-án.

ImageIO

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: A képek feldolgozása szolgáltatásmegtagadáshoz vezethetett

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2023-23519: Meysam Firouzi @R00tkitSMM (Mbition Mercedes-Benz Innovation Lab), Yiğit Can YILMAZ (@yilmazcanyigit) és jzhu, a Trend Micro Zero Day kezdeményezés keretében

Bejegyzés frissítve: 2023. szeptember 5.

Kernel

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: Egyes alkalmazások képesek voltak bizalmas kernelállapotokat kiszivárogtatni

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2023-23500: Pan ZhenPeng (@Peterpan0927, STAR Labs SG Pte. Ltd., @starlabs_sg)

Kernel

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: Az alkalmazások meg tudták állapítani a kernelmemória kiosztását.

Leírás: Elhárítottunk egy információfelfedéssel kapcsolatos problémát a sebezhető kód eltávolításával.

CVE-2023-23502: Pan ZhenPeng (@Peterpan0927, STAR Labs SG Pte. Ltd., @starlabs_sg)

Kernel

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2023-23504: Adam Doupé (ASU SEFCOM)

Maps

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: Egyes alkalmazások meg tudták kerülni az adatvédelmi beállításokat

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2023-23503: anonim kutató

Safari

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: Egy webhely felkeresése szolgáltatásmegtagadásos támadásnak tehette ki az alkalmazásokat.

Leírás: A gyorsítótárak hatékonyabb kezelésével hárítottuk el a problémát.

CVE-2023-23512: Adriatik Raci

Screen Time

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: Az alkalmazások hozzá tudtak férni a felhasználó kontaktjaival kapcsolatos információkhoz.

Leírás: A naplóbejegyzéseknél alkalmazott adatvédelmi redakció fejlesztésével megoldottuk az adatvédelemmel kapcsolatos problémát.

CVE-2023-23505: Wojciech Regula (SecuRing, wojciechregula.blog) és Fitzl Csaba (@theevilbit, Offensive Security)

Bejegyzés frissítve: 2023. június 6.

Weather

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: Egyes alkalmazások meg tudták kerülni az adatvédelmi beállításokat

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2023-23511: Wojciech Regula (SecuRing; wojciechregula.blog), egy anonim kutató

WebKit

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: Előfordult, hogy a webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

WebKit Bugzilla: 248885

CVE-2023-32393: Francisco Alonso (@revskills)

Bejegyzés hozzáadva: 2023. június 28.

WebKit

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: Előfordult, hogy a HTML-dokumentumok felfedtek bizalmas jellegű felhasználói információkat tartalmazó iframe-kereteket.

Leírás: Az iframe-ek sandboxban való futtatásának hatékonyabb kikényszerítésével hárítottuk el a problémát.

WebKit Bugzilla: 241753

CVE-2022-0108: Luan Herrera (@lbherrera_)

Bejegyzés hozzáadva: 2023. június 6.

WebKit

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

WebKit Bugzilla: 245464

CVE-2023-23496: ChengGang Wu, Yan Kang, YuHao Hu, Yue Sun, Jiming Wang, JiKai Ren és Hang Shu (Institute of Computing Technology, Chinese Academy of Sciences)

WebKit

A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

WebKit Bugzilla: 248268

CVE-2023-23518: YeongHyeon Choi (@hyeon101010), Hyeon Park (@tree_segment), SeOk JEON (@_seokjeon), YoungSung Ahn (@_ZeroSung), JunSeo Bae (@snakebjs0107) és Dohyun Lee (@l33d0hyun; mindannyian: Team ApplePIE)

WebKit Bugzilla: 248268

CVE-2023-23517: YeongHyeon Choi (@hyeon101010), Hyeon Park (@tree_segment), SeOk JEON (@_seokjeon), YoungSung Ahn (@_ZeroSung), JunSeo Bae (@snakebjs0107) és Dohyun Lee (@l33d0hyun; mindannyian: Team ApplePIE)

További köszönetnyilvánítás

AppleMobileFileIntegrity

Köszönjük Fitzl Csaba (@theevilbit; Offensive Security) segítségét.

Bejegyzés hozzáadva: 2023. június 6.

Core Data

Köszönjük Austin Emmitt (@alkalinesec), a Trellix Advanced Research Center senior biztonsági kutatójának segítségét.

Bejegyzés hozzáadva 2023. szeptember 8-án.

Kernel

Köszönjük Nick Stenning (Replicate) segítségét.

WebKit

Köszönjük Eliya Stein (Confiant) segítségét.

A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.

Közzététel dátuma: