Tudnivalók az Apple biztonsági frissítéseiről
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.
Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.
A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
watchOS 10.1
Kiadási dátum: 2023. október 25.
Core Recents
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni
Leírás: A naplózás megtisztításával orvosoltuk a problémát.
CVE-2023-42823
Bejegyzés hozzáadva 2024. január 16-án.
Find My
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: Az appok be tudtak olvasni bizalmas jellegű helyadatokat.
Leírás: A gyorsítótárak hatékonyabb kezelésével hárítottuk el a problémát.
CVE-2023-40413: Adam M.
Find My
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.
Leírás: A fájlok hatékonyabb kezelésével elhárítottunk egy adatvédelmi problémát.
CVE-2023-42834: Fitzl Csaba (@theevilbit; Offensive Security)
Bejegyzés hozzáadva 2024. január 16-án.
Game Center
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.
Leírás: További korlátozásokkal elhárítottunk egy engedélyekkel kapcsolatos hibát.
CVE-2023-42953: Michael (Biscuit) Thomas – @biscuit@social.lol
Bejegyzés hozzáadva 2024. január 16-án.
ImageIO
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott képek feldolgozásakor sérült a halommemória.
Leírás: Hatékonyabb határérték-ellenőrzésekkel kiküszöböltük a problémát.
CVE-2023-42848: JZ
Bejegyzés hozzáadva 2024. január 16-án.
Kernel
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: A már kernelszintű kódvégrehajtási jogosultságot szerzett támadók megkerülhették a kernelmemória használatára vonatkozó korlátozásokat.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2023-42849: Linus Henze (Pinauten GmbH, pinauten.de)
libxpc
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: A rosszindulatú appok gyökérszintű jogosultságokat tudtak szerezni
Leírás: A szimbolikus hivatkozások hatékonyabb kezelésével hárítottuk el a problémát.
CVE-2023-42942: Mickey Jin (@patch1t)
Bejegyzés hozzáadva 2024. január 16-án.
Mail Drafts
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: Az E-mail-cím elrejtése funkció váratlanul kikapcsolódhat.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy inkonzisztens felhasználói felülettel kapcsolatos problémát.
CVE-2023-40408: Grzegorz Riegel
mDNSResponder
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: A készülékek passzív módon nyomon követhetők voltak a Wi-Fi MAC-címük alapján.
Leírás: A veszélynek kitett kód eltávolításával hárítottuk el a problémát.
CVE-2023-42846: Talal Haj Bakry és Tommy Mysk (Mysk Inc. @mysk_co)
Sandbox
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.
Leírás: Hatékonyabb állapotkezeléssel küszöbölték ki a problémát.
CVE-2023-42839: Yiğit Can YILMAZ (@yilmazcanyigit)
Bejegyzés hozzáadva 2024. január 16-án.
Share Sheet
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.
Leírás: A naplóbejegyzéseknél alkalmazott adatvédelmi redakció fejlesztésével megoldottuk az adatvédelemmel kapcsolatos problémát.
CVE-2023-42878: Kirin (@Pwnrin), Wojciech Regula (SecuRing, wojciechregula.blog) és Cristian Dinca („Tudor Vianu” National High School of Computer Science, Románia)
Bejegyzés hozzáadva 2024. január 16-án.
Siri
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Hatás: Egy fizikai hozzáféréssel rendelkező támadó a Siri segítségével hozzáférhet bizalmas felhasználói adatokhoz
Leírás: Úgy hárítottuk el a problémát, hogy korlátoztuk a zárolt készüléken felajánlott lehetőségek körét.
CVE-2023-41982: Bistrit Dahal
CVE-2023-41997: Bistrit Dahal
CVE-2023-41988: Bistrit Dahal
Bejegyzés frissítve: 2024. február 16.
Siri
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói információkat kiszivárogtatni
Leírás: A bizalmas információk hatékonyabb kivonatolásával megoldottuk a problémát.
CVE-2023-42946
Bejegyzés hozzáadva 2024. január 16-án.
Weather
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.
Leírás: A naplóbejegyzéseknél alkalmazott adatvédelmi redakció fejlesztésével megoldottuk az adatvédelemmel kapcsolatos problémát.
CVE-2023-41254: Cristian Dinca (Tudor Vianu Országos Beiskolázású Informatikai Középiskola, Románia)
WebKit
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: Előfordult, hogy a webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
WebKit Bugzilla: 259836
CVE-2023-40447: 이준성 (Junsung Lee, Cross Republic)
WebKit
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: Előfordult, hogy a webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy kétszeres felszabadítást előidéző hibát.
WebKit Bugzilla: 259890
CVE-2023-41976: 이준성(Junsung Lee)
WebKit
A következőkhöz érhető el: Apple Watch Series 4 és újabb modellek.
Érintett terület: Előfordult, hogy a webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor
Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.
WebKit Bugzilla: 260173
CVE-2023-42852: Pedro Ribeiro (@pedrib1337) és Vitor Pedreira (@0xvhp_, Agile Information Security)
Bejegyzés frissítve: 2024. február 16.
További köszönetnyilvánítás
VoiceOver
Köszönjük Abhay Kailasia (@abhay_kailasia) (Lakshmi Narain College Of Technology Bhopal India) segítségét.
WebKit
Köszönjük egy anonim kutató segítségét.