Informazioni sui contenuti di sicurezza di watchOS 8

In questo documento vengono descritti i contenuti di sicurezza di watchOS 8.

Informazioni sugli aggiornamenti di sicurezza Apple

Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Puoi trovare un elenco delle versioni più recenti alla pagina Aggiornamenti di sicurezza Apple.

Quando possibile, i documenti di sicurezza Apple utilizzano gli ID CVE per indicare le vulnerabilità.

Per ulteriori informazioni sulla sicurezza, consulta questo articolo sulla sicurezza dei prodotti Apple.

watchOS 8

Accessory Manager

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.

Descrizione: un problema di consumo della memoria è stato risolto attraverso una migliore gestione della memoria.

CVE-2021-30837: Siddharth Aeri (@b1n4r1b01)

AppleMobileFileIntegrity

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: un utente malintenzionato locale può riuscire a leggere informazioni sensibili.

Descrizione: il problema è stato risolto attraverso migliori controlli.

CVE-2021-30811: un ricercatore anonimo in collaborazione con Compartir

bootp

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: un dispositivo può essere monitorato passivamente attraverso l'indirizzo MAC Wi-Fi.

Descrizione: un problema di privacy dell'utente è stato risolto rimuovendo l'indirizzo MAC broadcast.

CVE-2021-30866: Fabien Duchêne di UCLouvain (Belgio)

CoreAudio

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'elaborazione di un file audio dannoso può causare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.

Descrizione: un problema logico è stato risolto attraverso una migliore gestione dello stato.

CVE-2021-30834: JunDong Xie di Ant Security Light-Year Lab

CoreGraphics

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'elaborazione di un'immagine dannosa può causare l'esecuzione di codice arbitrario.

Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore convalida dell'input.

CVE-2021-30928: Mickey Jin (@patch1t) di Trend Micro

FaceTime

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: un'applicazione con l'autorizzazione al microfono potrebbe accedere inaspettatamente all'ingresso del microfono durante una chiamata FaceTime.

Descrizione: un problema logico è stato risolto attraverso una migliore convalida.

CVE-2021-30882: Adam Bellard e Spencer Reitman di Airtime

FontParser

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'elaborazione di un font dannoso può causare la divulgazione della memoria dei processi.

Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.

CVE-2021-30831: Xingwei Lin di Ant Security Light-Year Lab

FontParser

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'elaborazione di un file con estensione dfont dannoso può causare l'esecuzione di codice arbitrario.

Descrizione: il problema è stato risolto attraverso migliori controlli.

CVE-2021-30840: Xingwei Lin di Ant Security Light-Year Lab

FontParser

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'elaborazione di un file con estensione dfont dannoso può causare l'esecuzione di codice arbitrario.

Descrizione: il problema è stato risolto attraverso migliori controlli.

CVE-2021-30841: Xingwei Lin di Ant Security Light-Year Lab

CVE-2021-30842: Xingwei Lin di Ant Security Light-Year Lab

CVE-2021-30843: Xingwei Lin di Ant Security Light-Year Lab

Foundation

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'elaborazione di contenuti web dannosi può causare l'esecuzione di codice arbitrario.

Descrizione: un problema di confusione dei tipi è stato risolto attraverso una migliore gestione della memoria.

CVE-2021-30852: Yinyi Wu (@3ndy1) di Ant Security Light-Year Lab

ImageIO

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'elaborazione di un'immagine dannosa può causare l'esecuzione di codice arbitrario.

Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore convalida dell'input.

CVE-2021-30814: hjy79425575

ImageIO

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'elaborazione di un'immagine dannosa può causare l'esecuzione di codice arbitrario.

Descrizione: il problema è stato risolto attraverso migliori controlli.

CVE-2021-30835: Ye Zhang di Baidu Security

CVE-2021-30847: Mike Zhang di Pangu Lab

Kernel

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: un'applicazione dannosa può eseguire codice arbitrario con privilegi kernel.

Descrizione: una race condition è stata risolta attraverso un blocco migliore.

CVE-2021-30857: Manish Bhatt di Red Team X @Meta, Zweig di Kunlun Lab

libexpat

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: un malintenzionato collegato in remoto può causare una negazione del servizio.

Descrizione: questo problema è stato risolto attraverso l'aggiornamento di expat alla versione 2.4.1.

CVE-2013-0340: un ricercatore anonimo

Preferences

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: un'applicazione può accedere a file con restrizioni.

Descrizione: si verificava un problema di convalida nella gestione dei link simbolici. Questo problema è stato risolto attraverso una migliore convalida dei link simbolici.

CVE-2021-30855: Zhipeng Huo (@R3dF09) e Yuebin Sun (@yuebinsun2020) di Tencent Security Xuanwu Lab (xlab.tencent.com)

Preferences

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: un processo sandbox può essere in grado di eludere le restrizioni della sandbox.

Descrizione: un problema logico è stato risolto attraverso una migliore gestione dello stato.

CVE-2021-30854: Zhipeng Huo (@R3dF09) e Yuebin Sun (@yuebinsun2020) di Tencent Security Xuanwu Lab (xlab.tencent.com)

Sandbox

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: un'applicazione dannosa può essere in grado di bypassare le preferenze sulla privacy.

Descrizione: il problema è stato risolto attraverso una migliore logica delle autorizzazioni.

CVE-2021-30925: Csaba Fitzl (@theevilbit) di Offensive Security

Sandbox

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: un'applicazione dannosa può essere in grado di modificare parti protette del file system.

Descrizione: il problema è stato risolto attraverso migliori controlli.

CVE-2021-30808: Csaba Fitzl (@theevilbit) di Offensive Security

WebKit

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'accesso a un sito web pericoloso può mostrare la cronologia di navigazione di un utente.

Descrizione: il problema è stato risolto con restrizioni aggiuntive della composizione di CSS.

CVE-2021-30884: un ricercatore anonimo

WebKit

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'elaborazione di contenuti web dannosi può causare l'esecuzione di codice arbitrario.

Descrizione: un problema di confusione dei tipi è stato risolto attraverso una migliore gestione dello stato.

CVE-2021-30818: Amar Menezes (@amarekano) di Zon8Research

WebKit

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: un utente malintenzionato in una posizione privilegiata nella rete potrebbe riuscire a bypassare il protocollo HSTS.

Descrizione: un problema logico è stato risolto attraverso migliori limitazioni.

CVE-2021-30823: David Gullasch di Recurity Labs

WebKit

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'elaborazione di un file audio pericoloso può divulgare la memoria con restrizioni.

Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.

CVE-2021-30836: Peter Nguyen Vu Hoang di STAR Labs

WebKit

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'elaborazione di contenuti web dannosi può causare l'esecuzione di codice arbitrario.

Descrizione: un problema di tipo use-after-free è stato risolto attraverso una migliore gestione della memoria.

CVE-2021-30809: un ricercatore anonimo

WebKit

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'elaborazione di contenuti web dannosi può causare l'esecuzione di codice arbitrario.

Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore gestione della memoria.

CVE-2021-30846: Sergei Glazunov di Google Project Zero

WebKit

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'elaborazione di contenuti web dannosi può causare l'esecuzione di codice arbitrario.

Descrizione: diversi problemi di danneggiamento della memoria sono stati risolti attraverso una migliore gestione della memoria.

CVE-2021-30849: Sergei Glazunov di Google Project Zero

WebKit

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: l'elaborazione di contenuti web dannosi può causare l'esecuzione di codice.

Descrizione: una vulnerabilità al danneggiamento della memoria è stata risolta attraverso un blocco migliore.

CVE-2021-30851: Samuel Groß di Google Project Zero

Wi-Fi

Disponibile per: Apple Watch Series 3 e modelli successivi

Impatto: un utente malintenzionato in prossimità fisica può riuscire a forzare la connessione di un utente a una rete Wi-Fi dannosa durante l'impostazione del dispositivo.

Descrizione: un problema di autorizzazione è stato risolto attraverso una migliore gestione dello stato.

CVE-2021-30810: Peter Scott

Altri riconoscimenti

bootp

Ringraziamo Alexander Burke di alexburke.ca per l'assistenza.

FaceTime

Ringraziamo Mohammed Waqqas Kakangarai per l'assistenza.

Kernel

Ringraziamo Joshua Baums di Informatik Baums per l'assistenza.

Sandbox

Ringraziamo Csaba Fitzl (@theevilbit) di Offensive Security per l'assistenza.

UIKit

Ringraziamo Jason Rendel di Diligent per l'assistenza.

UIKit

Ringraziamo Jason Rendel di Diligent per l'assistenza.

WebKit

Ringraziamo Nikhil Mittal (@c0d3G33k) per l'assistenza.

Wi-Fi

Ringraziamo Peter Scott per l'assistenza.