watchOS 11.5のセキュリティコンテンツについて

watchOS 11.5のセキュリティコンテンツについて説明します。

Appleセキュリティアップデートについて

Appleでは、ユーザ保護の観点から、調査が終了してパッチやリリースが公開されるまでは、セキュリティ上の問題を公開、説明、または是認いたしません。最新のリリースについては、「Appleのセキュリティリリース」ページに一覧形式でまとめています。

Appleのセキュリティ関連の文書では、可能な場合、脆弱性のCVE-IDに言及しています。

セキュリティについて詳しくは、Apple製品のセキュリティに関するページを参照してください。

watchOS 11.5

AppleJPEG

対象：Apple Watch Series 6以降

影響：悪意を持って作成されたメディアファイルを処理すると、アプリが予期せず終了したり、プロセスメモリが破損したりする可能性がある。

説明：入力のサニタイズ処理を強化することで、この問題に対処しました。

CVE-2025-31251：Trend Micro Zero Day InitiativeのHossein Lotfi氏（@hosselot）

Core Bluetooth

対象：Apple Watch Series 6以降

影響：アプリが機微なユーザデータにアクセスできる可能性がある。

説明：ステート管理を改善し、この問題に対処しました。

CVE-2025-31212：Best Buddy AppsのGuilherme Rambo氏（rambo.codes）

CoreAudio

対象：Apple Watch Series 6以降

影響：悪意を持って作成されたメディアファイルでオーディオストリームを処理すると、コードが実行される可能性がある。Appleは、iOS 18.4.1以前のバージョンで、標的となった特定の個人に対するきわめて巧妙な攻撃でこの脆弱性が悪用された可能性があるという報告を把握しています。

説明：配列境界チェック機能を改善することで、メモリ破損の脆弱性に対処しました。

CVE-2025-31200：AppleおよびGoogleのThreat Analysis Group

CoreAudio

対象：Apple Watch Series 6以降

影響：ファイルを解析すると、アプリが予期せず終了する可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2025-31208：Trend Micro Zero Day InitiativeのHossein Lotfi氏（@hosselot）

CoreGraphics

対象：Apple Watch Series 6以降

影響：ファイルを解析すると、ユーザ情報が漏洩する可能性がある。

説明：配列境界チェック機能を改善することで、領域外読み込みの脆弱性に対処しました。

CVE-2025-31209:：Trend Micro Zero Day InitiativeのHossein Lotfi氏（@hosselot）

CoreMedia

対象：Apple Watch Series 6以降

影響：ファイルを解析すると、アプリが予期せず終了する可能性がある。

説明：メモリ管理を強化し、解放済みメモリ使用（use-after-free）の脆弱性に対処しました。

CVE-2025-31239：Trend Micro Zero Day InitiativeのHossein Lotfi氏（@hosselot）

CoreMedia

対象：Apple Watch Series 6以降

影響：悪意を持って作成されたビデオファイルを処理すると、アプリが予期せず終了したり、プロセスメモリが破損したりする可能性がある。

説明：入力のサニタイズ処理を強化することで、この問題に対処しました。

CVE-2025-31233：Trend Micro Zero Day InitiativeのHossein Lotfi氏（@hosselot）

ImageIO

対象：Apple Watch Series 6以降

影響：悪意を持って作成された画像を処理すると、サービス運用妨害を受ける可能性がある。

説明：チェックを強化し、ロジックの脆弱性に対処しました。

CVE-2025-31226：Saagar Jha氏

Kernel

対象：Apple Watch Series 6以降

影響：リモートの攻撃者がシステムを予期せず終了させる可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2025-24224：Tony Iskow氏（@Tybbow）

Kernel

対象：Apple Watch Series 6以降

影響：攻撃者によって突然システムが終了されたり、カーネルメモリが破損される可能性がある。

説明：メモリ処理を改善することで、この問題に対処しました。

CVE-2025-31219：Trend Micro Zero Day InitiativeのMichael DePlante氏（@izobashi）およびLucas Leong氏（@_wmliang_）

Kernel

対象：Apple Watch Series 6以降

影響：リモート攻撃者によってアプリが突然終了される可能性がある。

説明：メモリ管理を強化し、ダブルフリー（二重解放）の脆弱性に対処しました。

CVE-2025-31241：Christian Kohlschütter氏

libexpat

対象：Apple Watch Series 6以降

影響：libexpatの複数の脆弱性が原因で、アプリを突然終了されたり、任意のコードを実行されたりする可能性がある。

説明：これはオープンソースコードにおける脆弱性であり、この脆弱性の影響を受けるプロジェクトにはAppleソフトウェアも含まれます。CVE-IDはサードパーティによって割り当てられました。この問題やCVE-IDについて詳しくは、cve.orgを参照してください。

CVE-2024-8176

mDNSResponder

対象：Apple Watch Series 6以降

影響：ユーザが権限を昇格できる場合がある。

説明：チェックを改善して、精度の問題に対処しました。

CVE-2025-31222：Paweł Płatek氏（Trail of Bits）

Security

対象：Apple Watch Series 6以降

影響：リモートの攻撃者が、メモリを漏洩させる可能性がある。

説明：入力検証を強化することで、整数オーバーフローに対処しました。

CVE-2025-31221：Dave G.氏

WebKit

対象：Apple Watch Series 6以降

影響：型の取り違え（type confusion）の問題により、メモリが破損する可能性がある。

説明：浮動小数点の処理を改善することで、この問題に対処しました。

CVE-2025-24213：Google V8 Security Team

WebKit

対象：Apple Watch Series 6以降

影響：悪意を持って作成されたWebコンテンツを処理すると、メモリ破損が起こる可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2025-31223：Nosebeard LabsのAndreas Jaegersberger氏およびRo Achterberg氏

CVE-2025-31238：Trend Micro Zero Day Initiativeに協力するwac氏

WebKit

対象：Apple Watch Series 6以降

影響：悪意を持って作成されたWebコンテンツを処理すると、メモリ破損が起こる可能性がある。

説明：メモリ処理を改善することで、この問題に対処しました。

CVE-2025-24223：rheza氏（@ginggilBesel）および匿名の研究者

CVE-2025-31204：Nan Wang氏（@eternalsakura13）

WebKit

対象：Apple Watch Series 6以降

影響：悪意を持って作成されたWebコンテンツを処理すると、Safariが予期せずクラッシュする可能性がある。

説明：入力検証を強化することで、この問題に対処しました。

CVE-2025-31217：Ignacio Sanmillan氏（@ulexec）

WebKit

対象：Apple Watch Series 6以降

影響：悪意を持って作成されたWebコンテンツを処理すると、プロセスが予期せずクラッシュする可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2025-31215：Jiming Wang氏、Jikai Ren氏

WebKit

対象：Apple Watch Series 6以降

影響：悪意を持って作成されたWebコンテンツを処理すると、Safariが予期せずクラッシュする可能性がある。

説明：ステート処理を強化し、型の取り違え（type confusion）の脆弱性に対処しました。

CVE-2025-31206：匿名の研究者

WebKit

対象：Apple Watch Series 6以降

影響：悪意のあるWebサイトに、データをクロスオリジンで取得される可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2025-31205：Google Project ZeroのIvan Fratric氏

WebKit

対象：Apple Watch Series 6以降

影響：悪意を持って作成されたWebコンテンツを処理すると、Safariが予期せずクラッシュする可能性がある。

説明：メモリ処理を改善することで、この問題に対処しました。

CVE-2025-31257：Lynck GmbHのJuergen Schmied氏

ご協力いただいたその他の方々

AirDrop

Dalibor Milanovic氏のご協力に感謝いたします。

Kernel

匿名の研究者のご協力に感謝いたします。

MobileGestalt

iisBuri氏のご協力に感謝いたします。

NetworkExtension

Andrei-Alexandru Bleorțu氏のご協力に感謝いたします。

Shortcuts

KandjiのCandace Jensen氏、ZUSO ARTおよびtaikosoupのChi Yuan Chang氏、Egor Filatov氏（Positive Technologies）のご協力に感謝いたします。

WebKit

Google ChromeのMike Dougherty氏およびDaniel White氏、匿名の研究者のご協力に感謝いたします。