Informazioni sugli aggiornamenti di sicurezza Apple
Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Puoi trovare un elenco delle versioni più recenti alla pagina Aggiornamenti di sicurezza Apple.
Quando possibile, i documenti di sicurezza Apple utilizzano gli ID CVE per indicare le vulnerabilità.
Per ulteriori informazioni sulla sicurezza, consulta questo articolo sulla sicurezza dei prodotti Apple.
watchOS 9.5
Data di rilascio; 18 maggio 2023
Accessibility
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe bypassare le preferenze sulla privacy.
Descrizione: un problema di privacy è stato risolto migliorando la redazione dei dati privati per i log.
CVE-2023-32388: Kirin (@Pwnrin)
Accessibility
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: autorizzazioni e permessi di privacy concessi all'app possono essere utilizzati da un'app dannosa.
Descrizione: il problema è stato risolto attraverso migliori controlli.
CVE-2023-32400: Mickey Jin (@patch1t)
Accounts
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un utente malintenzionato potrebbe essere in grado di divulgare le email di account utente
Descrizione: un problema di permessi è stato risolto migliorando la redazione delle informazioni sensibili.
CVE-2023-34352: Sergii Kryvoblotskyi di MacPaw Inc.
Voce aggiunta il 5 settembre 2023
Apple Neural Engine
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe riuscire ad acquisire privilegi elevati
Descrizione: il problema è stato risolto con una migliore gestione della memoria.
CVE-2023-32425: Mohamed GHANNAM (@_simo36)
Voce aggiunta il 5 settembre 2023
Core Location
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'applicazione può leggere informazioni sensibili sulla posizione.
Descrizione: il problema è stato risolto attraverso una migliore gestione delle cache.
CVE-2023-32399: Adam M.
Voce aggiornata il 5 settembre 2023
CoreServices
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe bypassare le preferenze sulla privacy.
Descrizione: il problema è stato risolto migliorando la redazione delle informazioni sensibili.
CVE-2023-28191: Mickey Jin (@patch1t)
Face Gallery
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un utente malintenzionato con accesso fisico a un Apple Watch bloccato potrebbe essere in grado di visualizzare le foto o i contatti degli utenti tramite le funzioni di accessibilità.
Descrizione: il problema è stato risolto limitando le opzioni offerte su un dispositivo bloccato.
CVE-2023-32417: Zitong Wu (吴梓桐) della Zhuhai No.1 High School (珠海市第一中学)
GeoServices
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'applicazione può leggere informazioni sensibili sulla posizione.
Descrizione: un problema di privacy è stato risolto migliorando la redazione dei dati privati per i log.
CVE-2023-32392: Adam M.
Voce aggiornata il 5 settembre 2023
ImageIO
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: l'elaborazione di un'immagine potrebbe causare la divulgazione dei contenuti della memoria dei processi.
Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.
CVE-2023-32372: Meysam Firouzi @R00tkitSMM di Mbition Mercedes-Benz Innovation Lab in collaborazione con Zero Day Initiative di Trend Micro
Voce aggiornata il 5 settembre 2023
ImageIO
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: l'elaborazione di un'immagine può causare l'esecuzione di un codice arbitrario.
Descrizione: un overflow del buffer è stato risolto attraverso un migliore controllo dei limiti.
CVE-2023-32384: Meysam Firouzi di @R00tkitsmm in collaborazione con Zero Day Initiative di Trend Micro
IOSurfaceAccelerator
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe rivelare la memoria kernel.
Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.
CVE-2023-32354: Linus Henze di Pinauten GmbH (pinauten.de)
IOSurfaceAccelerator
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe causare l'arresto improvviso del sistema o leggere sulla memoria del kernel.
Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.
CVE-2023-32420: Certik Skyfall Team e Linus Henze di Pinauten GmbH (pinauten.de)
Voce aggiornata il 5 settembre 2023
Kernel
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe eseguire codice arbitrario con privilegi kernel.
Descrizione: un problema di confusione dei tipi è stato risolto con migliori controlli.
CVE-2023-27930: 08Tc3wBB di Jamf
Kernel
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe eseguire codice arbitrario con privilegi kernel.
Descrizione: un problema di vulnerabilità use-after-free è stato risolto attraverso una migliore gestione della memoria.
CVE-2023-32398: Adam Doupé di ASU SEFCOM
Kernel
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe ottenere privilegi root
Descrizione: una race condition è stata risolta attraverso una migliore gestione dello stato.
CVE-2023-32413: Eloi Benoist-Vanderbeken (@elvanderb) di Synacktiv (@Synacktiv) in collaborazione con Zero Day Initiative di Trend Micro
LaunchServices
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app può bypassare i controlli di Gatekeeper.
Descrizione: un problema logico è stato risolto attraverso migliori controlli.
CVE-2023-32352: Wojciech Reguła (@_r3ggi) di SecuRing (wojciechregula.blog)
MallocStackLogging
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe ottenere privilegi root
Descrizione: questo problema è stato risolto con una migliore gestione dei file.
CVE-2023-32428: Gergely Kalman (@gergely_kalman)
Voce aggiunta il 5 settembre 2023
Metal
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe bypassare le preferenze sulla privacy.
Descrizione: un problema logico è stato risolto attraverso una migliore gestione dello stato.
CVE-2023-32407: Gergely Kalman (@gergely_kalman)
Model I/O
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: l'elaborazione di un modello 3D potrebbe causare la divulgazione dei contenuti della memoria dei processi.
Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.
CVE-2023-32368: Mickey Jin (@patch1t)
NetworkExtension
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'applicazione può leggere informazioni sensibili sulla posizione.
Descrizione: il problema è stato risolto migliorando la redazione delle informazioni sensibili.
CVE-2023-32403: Adam M.
Voce aggiornata il 5 settembre 2023
NSURLSession
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe essere in grado di uscire dalla sandbox
Descrizione: il problema è stato risolto con miglioramenti al protocollo di gestione dei file.
CVE-2023-32437: Thijs Alkemade di Computest Sector 7
Voce aggiunta il 5 settembre 2023
Photos
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: le foto appartenenti all'album delle foto nascoste potrebbero essere visualizzate senza autenticazione con Ricerca visiva.
Descrizione: il problema è stato risolto con controlli migliori.
CVE-2023-32390: Julian Szulc
Sandbox
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app può essere in grado di mantenere l'accesso ai file di configurazione del sistema anche dopo la revoca dell'autorizzazione.
Descrizione: un problema di autorizzazione è stato risolto attraverso una migliore gestione dello stato.
CVE-2023-32357: Yiğit Can YILMAZ (@yilmazcanyigit), Koh M. Nakagawa di FFRI Security, Inc., Kirin (@Pwnrin), Jeff Johnson (underpassapp.com) e Csaba Fitzl (@theevilbit) di Offensive Security
Share Sheet
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe essere in grado di accedere ai dati sensibili dell'utente.
Descrizione: un problema di privacy è stato risolto attraverso una migliore gestione dei file temporanei.
CVE-2023-32432: Kirin (@Pwnrin)
Voce aggiunta il 5 settembre 2023
Shortcuts
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un comando rapido può essere in grado di utilizzare dati sensibili con determinate azioni senza richiedere l'autorizzazione dell'utente.
Descrizione: il problema è stato risolto con controlli migliori.
CVE-2023-32391: Wenchao Li e Xiaolong Bai di Alibaba Group
Shortcuts
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe bypassare le preferenze sulla privacy.
Descrizione: questo problema è stato risolto attraverso migliori autorizzazioni.
CVE-2023-32404: Mickey Jin (@patch1t), Zhipeng Huo (@R3dF09) di Tencent Security Xuanwu Lab (xlab.tencent.com) e un ricercatore anonimo
Siri
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: una persona con accesso fisico a un dispositivo può essere in grado di visualizzare le informazioni di contatto dalla schermata di blocco.
Descrizione: il problema è stato risolto con controlli migliori.
CVE-2023-32394: Khiem Tran
SQLite
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe bypassare le preferenze sulla privacy.
Descrizione: il problema è stato risolto aggiungendo ulteriori restrizioni di registrazione di SQLite.
CVE-2023-32422: Gergely Kalman (@gergely_kalman) e Wojciech Reguła di SecuRing (wojciechregula.blog)
Voce aggiunta il 5 settembre 2023
StorageKit
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe modificare parti protette del file system.
Descrizione: questo problema è stato risolto attraverso migliori autorizzazioni.
CVE-2023-32376: Yiğit Can YILMAZ (@yilmazcanyigit)
System Settings
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'impostazione relativa al firewall dell'app potrebbe non avere effetto dopo l'uscita dall'app Impostazioni.
Descrizione: il problema è stato risolto attraverso una migliore gestione dello stato.
CVE-2023-28202: Satish Panduranga e un ricercatore anonimo
Telephony
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: una persona malintenzionata collegata in remoto può causare la chiusura improvvisa dell'app o l'esecuzione di codice arbitrario.
Descrizione: un problema di tipo use-after-free è stato risolto attraverso una migliore gestione della memoria.
CVE-2023-32412: Ivan Fratric di Google Project Zero
TV App
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'applicazione può leggere informazioni sensibili sulla posizione.
Descrizione: il problema è stato risolto attraverso una migliore gestione delle cache.
CVE-2023-32408: Adam M.
WebKit
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: l'elaborazione di contenuti web potrebbe divulgare informazioni sensibili.
Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.
WebKit Bugzilla: 255075
CVE-2023-32402: un ricercatore anonimo
WebKit
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: l'elaborazione di contenuti web potrebbe divulgare informazioni sensibili.
Descrizione: un problema di overflow del buffer è stato risolto attraverso una migliore gestione della memoria.
WebKit Bugzilla: 254781
CVE-2023-32423: Ignacio Sanmillan (@ulexec)
WebKit
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: una persona malintenzionata collegata in remoto può uscire dalla sandbox dei contenuti web. Apple è a conoscenza di un report secondo cui questo problema potrebbe essere stato sfruttato attivamente.
Descrizione: il problema è stato risolto con migliori controlli dei limiti.
WebKit Bugzilla: 255350
CVE-2023-32409: Clément Lecigne del Threat Analysis Group di Google e Donncha Ó Cearbhaill del Security Lab di Amnesty International
WebKit
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: l'elaborazione di contenuti web potrebbe divulgare informazioni sensibili. Apple è a conoscenza di un report secondo cui questo problema potrebbe essere stato sfruttato attivamente.
Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.
WebKit Bugzilla: 254930
CVE-2023-28204: un ricercatore anonimo
WebKit
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: l'elaborazione di un contenuto web pericoloso potrebbe causare l'esecuzione di codice arbitrario. Apple è a conoscenza di un report secondo cui questo problema potrebbe essere stato sfruttato attivamente.
Descrizione: un problema di vulnerabilità use-after-free è stato risolto attraverso una migliore gestione della memoria.
WebKit Bugzilla: 254840
CVE-2023-32373: un ricercatore anonimo
Wi-Fi
Disponibile per: Apple Watch Series 4 e modelli successivi
Impatto: un'app potrebbe rivelare la memoria kernel.
Descrizione: il problema è stato risolto migliorando la redazione delle informazioni sensibili.
CVE-2023-32389: Pan ZhenPeng (@Peterpan0927) di STAR Labs SG Pte. Ltd.
Altri riconoscimenti
Accounts
Ringraziamo Sergii Kryvoblotskyi di MacPaw Inc. per l'assistenza.
CFNetwork
Ringraziamo Gabriel Geraldino de Souza per l'assistenza.
Voce aggiunta il 16 luglio 2024
CloudKit
Ringraziamo Iconic per l'assistenza.
libxml2
Ringraziamo OSS-Fuzz e Ned Williamson di Google Project Zero per l'assistenza.
Reminders
Ringraziamo Kirin (@Pwnrin) per l'assistenza.
Security
Ringraziamo Brandon Toms per l'assistenza.
Share Sheet
Ringraziamo Kirin (@Pwnrin) per l'assistenza.
Wallet
Ringraziamo James Duffy (mangoSecure) per l'assistenza.