Mengenai konten keamanan Watch OS 1.0.1

Dokumen ini menjelaskan konten keamanan Watch OS 1.0.1.

Demi melindungi pelanggan kami, Apple tidak mengungkapkan, membahas, atau mengonfirmasi masalah keamanan hingga investigasi menyeluruh telah dilakukan dan perbaikan program atau rilis yang diperlukan telah tersedia. Untuk mempelajari Keamanan Produk Apple lebih lanjut, kunjungi situs web Keamanan Produk Apple.

Untuk informasi mengenai Kunci PGP Keamanan Produk Apple, baca Cara menggunakan Kunci PGP Keamanan Produk Apple.

Jika memungkinkan, ID CVE digunakan sebagai referensi untuk mengetahui informasi lebih lanjut mengenai kerentanan.

Untuk mempelajari mengenai Pembaruan Keamanan lainnya, baca Pembaruan Keamanan Apple.

Watch OS 1.0.1

• Kebijakan Kepercayaan Sertifikat

  Tersedia untuk: Apple Watch Sport, Apple Watch, dan Apple Watch Edition

  Dampak: Pembaruan kebijakan kepercayaan sertifikat

  Deskripsi: Kebijakan kepercayaan sertifikat sudah diperbarui. Daftar lengkap sertifikat dapat dilihat di https://support.apple.com/id-id/HT204873

• FontParser

  Tersedia untuk: Apple Watch Sport, Apple Watch, dan Apple Watch Edition

  Dampak: Memproses file fon perusak yang berbahaya dapat mengakibatkan eksekusi kode arbitrer

  Deskripsi: Masalah kerusakan memori yang terjadi saat memproses file fon. Masalah ini telah diatasi dengan peningkatan pemeriksaan batas.

  CVE-ID

  CVE-2015-1093 : Marc Schoenefeld

• Foundation

  Tersedia untuk: Apple Watch Sport, Apple Watch, dan Apple Watch Edition

  Dampak: Aplikasi yang menggunakan NSXMLParser dapat disalahgunakan untuk mengungkapkan informasi

  Deskripsi: Masalah Entitas Eksternal XML muncul saat NSXMLParser menangani XML. Masalah ini telah diatasi dengan tidak memuat entitas eksternal di sumber.

  CVE-ID

  CVE-2015-1092 : Ikuya Fukumoto

• IOHIDFamily

  Tersedia untuk: Apple Watch Sport, Apple Watch, dan Apple Watch Edition

  Dampak: Aplikasi jahat dapat menentukan tata letak memori kernel

  Deskripsi: Masalah muncul di IOHIDFamily yang mengarah pada terbukanya konten memori kernel. Masalah ini telah diatasi dengan peningkatan pemeriksaan batas.

  CVE-ID

  CVE-2015-1096 : Ilja van Sprundel dari IOActive

• IOAcceleratorFamily

  Tersedia untuk: Apple Watch Sport, Apple Watch, dan Apple Watch Edition

  Dampak: Aplikasi jahat dapat menentukan tata letak memori kernel

  Deskripsi: Masalah muncul dalam IOAcceleratorFamily yang mengarah pada terbukanya konten memori kernel. Masalah ini telah diatasi dengan menghapus kode yang tidak diperlukan.

  CVE-ID

  CVE-2015-1094 : Cererdlong dari Tim Keamanan Alibaba Mobile

• Kernel

  Tersedia untuk: Apple Watch Sport, Apple Watch, dan Apple Watch Edition

  Dampak: Aplikasi jahat mungkin dapat menyebabkan penolakan sistem atas suatu layanan

  Deskripsi: Suatu kondisi yang jarang terjadi muncul di panggilan sistem setreuid di kernel Masalah ini telah diatasi dengan pengelolaan kondisi yang ditingkatkan.

  CVE-ID

  CVE-2015-1099 : Mark Mentovai dari Google Inc.

• Kernel

  Tersedia untuk: Apple Watch Sport, Apple Watch, dan Apple Watch Edition

  Dampak: Penyerang dengan posisi jaringan ber-hak istimewa mungkin dapat mengarahkan lalu lintas pengguna ke host mana saja

  Deskripsi: Pengalihan ICMP diaktifkan secara default. Masalah ini diatasi dengan menonaktifkan pengalihan ICMP.

  CVE-ID

  CVE-2015-1103 : Zimperium Mobile Security Labs

• Kernel

  Tersedia untuk: Apple Watch Sport, Apple Watch, dan Apple Watch Edition

  Dampak: Penyerang dari jarak jauh dapat mengakibatkan penolakan layanan

  Deskripsi: Masalah kondisi yang tidak konsisten muncul dalam penanganan TCP keluar pita data. Masalah ini telah diatasi dengan pengelolaan kondisi yang ditingkatkan.

  CVE-ID

  CVE-2015-1105 : Kenton Varda dari Sandstorm.io

• Kernel

  Tersedia untuk: Apple Watch Sport, Apple Watch, dan Apple Watch Edition

  Dampak: Aplikasi jahat dapat meningkatkan hak istimewa menggunakan layanan yang telah dikuasai yang ditujukan untuk berjalan dengan pengurangan hak istimewa

  Deskripsi: panggilan sistem setreuid dan setregid gagal untuk menurunkan hak istimewa secara permanen. Masalah ini diatasi dengan penurunan hak istimewa secara benar.

  CVE-ID

  CVE-2015-1117 : Mark Mentovai dari Google Inc.

• Kernel

  Tersedia untuk: Apple Watch Sport, Apple Watch, dan Apple Watch Edition

  Dampak: Penyerang dari jauh mungkin dapat melewati filter jaringan

  Deskripsi: Sistem akan menganggap paket IPv6 dari antarmuka jaringan jauh sebagai paket lokal. Masalah ini diatasi dengan menolak paket-paket tersebut.

  CVE-ID

  CVE-2015-1104 : Stephen Roettger dari Tim Keamanan Google

• Kernel

  Tersedia untuk: Apple Watch Sport, Apple Watch, dan Apple Watch Edition

  Dampak: Penyerang dengan posisi jaringan hak istimewa mungkin dapat menyebabkan penolakan suatu layanan

  Deskripsi: Adanya kondisi tidak konsisten dalam pemrosesan header TCP. Masalah ini telah diatasi melalui peningkatan penanganan kondisi.

  CVE-ID

  CVE-2015-1102 : Andrey Khudyakov dan Maxim Zhuravlev dari Kaspersky Lab

• Kernel

  Tersedia untuk: Apple Watch Sport, Apple Watch, dan Apple Watch Edition

  Dampak: Aplikasi jahat mungkin dapat mengakibatkan penghentian sistem secara tidak terduga atau membaca memori kernel

  Deskripsi: Masalah akses memori di luar batas terjadi di kernel. Masalah ini telah diatasi melalui penanganan memori yang ditingkatkan.

  CVE-ID

  CVE-2015-1100 : Maxime Villard dari m00nbsd

• Kernel

  Tersedia untuk: Apple Watch Sport, Apple Watch, dan Apple Watch Edition

  Dampak: Aplikasi perusak yang berbahaya dapat mengeksekusi kode arbitrer dengan hak istimewa sistem

  Deskripsi: Masalah korupsi memori muncul di kernel. Masalah ini telah diatasi melalui penanganan memori yang ditingkatkan.

  CVE-ID

  CVE-2015-1101 : lokihardt@ASRT bekerja sama dengan Zero Day Initiative dari HP

• Transpor Aman

  Tersedia untuk: Apple Watch Sport, Apple Watch, dan Apple Watch Edition

  Dampak: Penyerang dengan posisi jaringan yang memiliki hak istimewa dapat mengganggu koneksi SSL/TLS

  Deskripsi: Transpor Aman menerima kunci RS pendek sementara, yang biasanya hanya digunakan di rangkaian chiper RSA berkemampuan ekspor, di koneksi yang menggunakan rangkaian chiper RSA berkemampuan penuh. Masalah ini, juga dikenal sebagai FREAK, hanya memengaruhi koneksi ke server yang mendukung rangkaian chiper RSA berkemampuan ekspor, dan telah diatasi dengan meniadakan dukungan untuk kunci RSA sementara.

  CVE-ID

  CVE-2015-1067 : Benjamin Beurdouche, Karthikeyan Bhargavan, Antoine Delignat-Lavaud, Alfredo Pironti, dan Jean Karim Zinzindohoue dari Prosecco di Inria Paris