Informazioni sui contenuti di sicurezza di watchOS 7.0
In questo documento vengono descritti i contenuti di sicurezza di watchOS 7.0.
Informazioni sugli aggiornamenti di sicurezza Apple
Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Puoi trovare un elenco delle versioni più recenti alla pagina Aggiornamenti di sicurezza Apple.
Quando possibile, i documenti di sicurezza Apple utilizzano gli ID CVE per indicare le vulnerabilità.
Per ulteriori informazioni sulla sicurezza, consulta questo articolo sulla sicurezza dei prodotti Apple.
watchOS 7.0
Audio
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un'applicazione dannosa può essere in grado di leggere la memoria con restrizioni.
Descrizione: un problema di lettura non nei limiti è stato risolto con un migliore controllo dei limiti.
CVE-2020-9943: JunDong Xie di Ant Group Light-Year Security Lab
Audio
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un'applicazione può essere in grado di leggere la memoria con restrizioni.
Descrizione: un problema di lettura non nei limiti è stato risolto con un migliore controllo dei limiti.
CVE-2020-9944: JunDong Xie di Ant Group Light-Year Security Lab
CoreAudio
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'elaborazione di un file audio dannoso può causare l'esecuzione di codice arbitrario.
Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.
CVE-2020-9960: JunDong Xie e Xingwei Lin di Ant Security Light-Year Lab
CoreAudio
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: la riproduzione di un file audio dannoso può causare l'esecuzione di codice arbitrario.
Descrizione: un problema di overflow del buffer è stato risolto attraverso una migliore gestione della memoria.
CVE-2020-9954: Francis in collaborazione con Zero Day Initiative di Trend Micro, JunDong Xie di Ant Group Light-Year Security Lab
CoreCapture
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.
Descrizione: un problema di tipo use-after-free è stato risolto attraverso una migliore gestione della memoria.
CVE-2020-9949: Proteas
CoreText
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'elaborazione di un file di testo dannoso può causare l'esecuzione di codice arbitrario.
Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore gestione dello stato.
CVE-2020-9999: Apple
Disk Images
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.
Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.
CVE-2020-9965: Proteas
CVE-2020-9966: Proteas
FontParser
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un'applicazione dannosa può essere in grado di leggere la memoria con restrizioni.
Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.
CVE-2020-29629: un ricercatore anonimo
FontParser
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'elaborazione di un file di font dannoso può causare l'esecuzione di codice arbitrario.
Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.
CVE-2020-9956: Mickey Jin e Junzhi Lu di Trend Micro Mobile Security Research Team in collaborazione con Zero Day Initiative di Trend Micro
FontParser
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'elaborazione di un'immagine dannosa può causare l'esecuzione di codice arbitrario.
Descrizione: un overflow del buffer è stato risolto attraverso una migliore convalida delle dimensioni.
CVE-2020-9962: Yiğit Can YILMAZ (@yilmazcanyigit)
FontParser
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'elaborazione di un file di font dannoso può causare l'esecuzione di codice arbitrario.
Descrizione: si verifica un problema di danneggiamento della memoria nell'elaborazione dei file di font. Il problema è stato risolto attraverso una migliore convalida dell'input.
CVE-2020-27931: Apple
FontParser
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'elaborazione di un font dannoso può causare la divulgazione della memoria dei processi.
Descrizione: un problema di lettura non nei limiti è stato risolto con un migliore controllo dei limiti.
CVE-2020-29639: Mickey Jin e Qi Sun di Trend Micro in collaborazione con Zero Day Initiative di Trend Micro
HomeKit
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un utente malintenzionato in una posizione privilegiata sulla rete potrebbe alterare inaspettatamente lo stato dell'applicazione.
Descrizione: questo problema è stato risolto attraverso una migliore propagazione delle impostazioni.
CVE-2020-9978: Luyi Xing, Dongfang Zhao e Xiaofeng Wang dell'Indiana University Bloomington, Yan Jia della Xidian University e della University of Chinese Academy of Sciences e Bin Yuan della HuaZhong University of Science and Technology
ImageIO
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'elaborazione di un file tiff dannoso può causare l'interruzione del servizio o la divulgazione di contenuti presenti in memoria.
Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.
CVE-2020-36521: Xingwei Lin di Ant-Financial Light-Year Security Lab
ImageIO
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'elaborazione di un'immagine dannosa può causare l'esecuzione di codice arbitrario.
Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.
CVE-2020-9961: Xingwei Lin di Ant Security Light-Year Lab
ImageIO
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'apertura di un file PDF dannoso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: un problema di scrittura non nei limiti è stato risolto con un migliore controllo dei limiti.
CVE-2020-9876: Mickey Jin di Trend Micro
ImageIO
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'elaborazione di un'immagine dannosa può causare l'esecuzione di codice arbitrario.
Descrizione: un problema di scrittura non nei limiti è stato risolto con un migliore controllo dei limiti.
CVE-2020-9955: Mickey Jin di Trend Micro, Xingwei Lin di Ant Security Light-Year Lab
Kernel
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un utente malintenzionato collegato in remoto può causare l'arresto imprevisto del sistema o danneggiare la memoria del kernel.
Descrizione: diversi problemi di danneggiamento della memoria sono stati risolti attraverso una migliore convalida dell'input.
CVE-2020-9967: Alex Plaskett (@alexjplaskett)
Kernel
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.
Descrizione: un problema di tipo use-after-free è stato risolto attraverso una migliore gestione della memoria.
CVE-2020-9975: Tielei Wang di Pangu Lab
Keyboard
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un'applicazione dannosa può essere in grado di divulgare informazioni sensibili degli utenti.
Descrizione: un problema logico è stato risolto attraverso una migliore gestione dello stato.
CVE-2020-9976: Rias A. Sherzad di JAIDE GmbH ad Amburgo, Germania
libxml2
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'elaborazione di un file pericoloso può causare l'esecuzione di codice arbitrario.
Descrizione: un problema di tipo use-after-free è stato risolto attraverso una migliore gestione della memoria.
CVE-2020-9981: rilevato da OSS-Fuzz
libxpc
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un'applicazione dannosa può essere in grado di elevare i privilegi.
Descrizione: un problema logico è stato risolto attraverso una migliore convalida.
CVE-2020-9971: Zhipeng Huo (@R3dF09) di Tencent Security Xuanwu Lab
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un utente malintenzionato collegato da remoto potrebbe alterare inaspettatamente lo stato dell'applicazione.
Descrizione: il problema è stato risolto attraverso migliori controlli.
CVE-2020-9941: Fabian Ising della FH Münster University of Applied Sciences e Damian Poddebniak della FH Münster University of Applied Sciences
Messages
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un utente locale può essere in grado di scoprire i messaggi eliminati di un utente.
Descrizione: il problema è stato risolto con una migliore eliminazione.
CVE-2020-9989: von Brunn Media
Phone
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: lo schermo può non bloccarsi dopo il periodo di tempo specificato.
Descrizione: il problema è stato risolto attraverso migliori controlli.
CVE-2020-9946: Daniel Larsson di iolight AB
Safari
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'accesso a un sito web dannoso può causare lo spoofing della barra degli indirizzi.
Descrizione: il problema è stato risolto attraverso una migliore gestione dell'interfaccia utente.
CVE-2020-9993: Masato Sugiyama (@smasato) della University of Tsukuba, Piotr Duszynski
Sandbox
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un utente locale può essere in grado di visualizzare informazioni sensibili degli utenti.
Descrizione: un problema di accesso è stato risolto attraverso ulteriori restrizioni della sandbox.
CVE-2020-9969: Wojciech Reguła di SecuRing (wojciechregula.blog)
Sandbox
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un'applicazione dannosa può accedere a file con restrizioni.
Descrizione: un problema logico è stato risolto attraverso migliori limitazioni.
CVE-2020-9968: Adam Chester (@_xpn_) di TrustedSec
SQLite
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un malintenzionato collegato in remoto può causare una negazione del servizio.
Descrizione: il problema è stato risolto attraverso migliori controlli.
CVE-2020-13434
CVE-2020-13435
CVE-2020-9991
SQLite
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: diversi problemi presenti in SQLite.
Descrizione: diversi problemi sono stati risolti con l'aggiornamento di SQLite alla versione 3.32.3.
CVE-2020-15358
SQLite
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un utente malintenzionato collegato in remoto può causare una perdita di memoria.
Descrizione: un problema di divulgazione delle informazioni è stato risolto attraverso una migliore gestione dello stato.
CVE-2020-9849
SQLite
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: una query SQL dannosa può causare un danneggiamento dei dati.
Descrizione: il problema è stato risolto attraverso migliori controlli.
CVE-2020-13631
SQLite
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: un utente malintenzionato collegato in remoto può causare l'esecuzione di codice arbitrario.
Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore gestione dello stato.
CVE-2020-13630
WebKit
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'elaborazione di contenuti web dannosi può causare l'esecuzione di codice arbitrario.
Descrizione: un problema di tipo use-after-free è stato risolto attraverso una migliore gestione della memoria.
CVE-2020-9947: cc in collaborazione con Zero Day Initiative di Trend Micro
CVE-2020-9950: cc in collaborazione con Zero Day Initiative di Trend Micro
CVE-2020-9951: Marcin “Icewall” Noga di Cisco Talos
WebKit
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'elaborazione di contenuti web dannosi può causare l'esecuzione di codice.
Descrizione: un problema di scrittura non nei limiti è stato risolto con un migliore controllo dei limiti.
CVE-2020-9983: zhunki
WebKit
Disponibile per: Apple Watch Series 3 e modelli successivi
Impatto: l'elaborazione di contenuti web dannosi può causare un attacco di scripting cross-site.
Descrizione: un problema di convalida dell'input è stato risolto attraverso una migliore convalida dell'input.
CVE-2020-9952: Ryan Pickren (ryanpickren.com)
Altri riconoscimenti
Audio
Ringraziamo JunDong Xie e Xingwei Lin di Ant-Financial Light-Year Security Lab per l'assistenza.
Audio
Ringraziamo JunDong Xie e Xingwei Lin di Ant-Financial Light-Year Security Lab per l'assistenza.
Bluetooth
Ringraziamo Andy Davis di NCC Group per l'assistenza.
Clang
Ringraziamo Brandon Azad di Google Project Zero per l'assistenza.
Core Location
Ringraziamo Yiğit Can YILMAZ (@yilmazcanyigit) per l'assistenza.
Crash Reporter
Ringraziamo Artur Byszko di AFINE per l'assistenza.
iAP
Ringraziamo Andy Davis di NCC Group per l'assistenza.
Kernel
Ringraziamo Brandon Azad di Google Project Zero e Stephen Röttger di Google per l'assistenza.
libxml2
Ringraziamo un ricercatore anonimo per l'assistenza.
Location Framework
Ringraziamo Nicolas Brunner (linkedin.com/in/nicolas-brunner-651bb4128) per l'assistenza.
Mail Drafts
Ringraziamo Jon Bottarini di HackerOne per l'assistenza.
Safari
Ringraziamo Andreas Gutmann (@KryptoAndI) dell'Innovation Centre di OneSpan (onespan.com) e della University College London, Steven J. Murdoch (@SJMurdoch) dell'Innovation Centre di OneSpan (onespan.com) e della University College London, Jack Cable di Lightning Security, Ryan Pickren (ryanpickren.com) e Yair Amit per l'assistenza.
WebKit
Ringraziamo Pawel Wylecial di REDTEAM.PL e Ryan Pickren (ryanpickren.com) per l'assistenza.
Le informazioni su prodotti non fabbricati da Apple, o su siti web indipendenti non controllati o testati da Apple, non implicano alcuna raccomandazione o approvazione. Apple non si assume alcuna responsabilità in merito alla scelta, alle prestazioni o all'utilizzo di prodotti o siti web di terze parti. Apple non esprime alcuna opinione in merito alla precisione o all'affidabilità dei siti web di terze parti. Per ulteriori informazioni contatta il fornitore.