watchOS 10.2 のセキュリティコンテンツについて
watchOS 10.2 のセキュリティコンテンツについて説明します。
Apple セキュリティアップデートについて
Apple では、ユーザ保護の観点から、調査が終了してパッチやリリースが公開されるまでは、セキュリティ上の問題を公開、説明、または是認いたしません。最新のリリースについては、「Apple のセキュリティリリース」ページに一覧形式でまとめています。
Apple のセキュリティ関連の文書では、可能な場合、脆弱性の CVE-ID に言及しています。
セキュリティについて詳しくは、Apple 製品のセキュリティに関するページを参照してください。
watchOS 10.2
2023 年 12 月 11 日リリース
Accessibility
対象:Apple Watch Series 4 以降
影響:アプリがユーザの機微データにアクセスできる可能性がある。
説明:ログエントリに対するプライバシーデータの墨消しを改善することで、プライバシーの問題に対処しました。
CVE-2023-42937:Noah Roskin-Frazee 氏および Prof. J. 氏 (ZeroClicks.ai Lab)
2024 年 1 月 22 日に追加
Accounts
対象:Apple Watch Series 4 以降
影響:アプリがユーザの機微データにアクセスできる可能性がある。
説明:ログエントリに対するプライバシーデータの墨消しを改善することで、プライバシーの問題に対処しました。
CVE-2023-42919:Kirin 氏 (@Pwnrin)
ImageIO
対象:Apple Watch Series 4 以降
影響:画像を処理すると、任意のコードが実行される可能性がある。
説明:メモリ処理を改善することで、この問題に対処しました。
CVE-2023-42898:Qianxin の Pangu Team の Zhenjiang Zhao 氏、Junsung Lee 氏
CVE-2023-42899:Meysam Firouzi 氏 (@R00tkitSMM) および Junsung Lee 氏
2024 年 3 月 22 日に更新
ImageIO
対象:Apple Watch Series 4 以降
影響:悪意を持って作成された画像を処理すると、プロセスメモリが漏洩する可能性がある。
説明:チェックを強化することで、この問題に対処しました。
CVE-2023-42888:Trend Micro Zero Day Initiative の Michael DePlante 氏 (@izobashi)
2024 年 1 月 22 日に追加
Kernel
対象:Apple Watch Series 4 以降
影響:アプリがサンドボックスを破って外部で実行される可能性がある。
説明:メモリ処理を改善することで、この問題に対処しました。
CVE-2023-42914:Synacktiv (@Synacktiv) の Eloi Benoist-Vanderbeken 氏 (@elvanderb)
Libsystem
対象:Apple Watch Series 4 以降
影響:アプリが保護されたユーザデータにアクセスできる可能性がある。
説明:脆弱なコードを削除し、追加のチェックを設けることで、アクセス許可の問題に対処しました。
CVE-2023-42893
2024 年 3 月 22 日に追加
Sandbox
対象:Apple Watch Series 4 以降
影響:アプリがユーザの機微データにアクセスできる可能性がある。
説明:機微情報の墨消しを改善することで、この問題に対処しました。
CVE-2023-42936:OffSec の Csaba Fitzl 氏 (@theevilbit)
2024 年 3 月 22 日に追加、2024 年 7 月 16 日に更新
TCC
対象:Apple Watch Series 4 以降
影響:アプリがサンドボックスを破って外部で実行される可能性がある。
説明:検証を強化して、パスの処理における脆弱性に対処しました。
CVE-2023-42947:JingDong の Dawn Security Lab の Zhongquan Li 氏 (@Guluisacat)
2024 年 3 月 22 日に追加
Transparency
対象:Apple Watch Series 4 以降
影響:アプリがユーザの機微データにアクセスできる可能性がある。
説明:この問題は、データコンテナへのアクセス制限を改善することで解決しました。
CVE-2023-40389:Offensive Security の Csaba Fitzl 氏 (@theevilbit)、および Joshua Jewett 氏 (@JoshJewett33)
2024 年 7 月 16 日に追加
WebKit
対象:Apple Watch Series 4 以降
影響:Web コンテンツを処理すると、任意のコードを実行される可能性がある。
説明:メモリ処理を改善することで、この問題に対処しました。
WebKit Bugzilla:259830
CVE-2023-42890:Pwn2car
WebKit
対象:Apple Watch Series 4 以降
影響:画像を処理すると、サービス運用妨害を受ける可能性がある。
説明:メモリ処理を改善することで、この問題に対処しました。
WebKit Bugzilla:263349
CVE-2023-42883:Zoom Offensive Security Team
WebKit
対象:Apple Watch Series 4 以降
影響:Web コンテンツを処理すると、機微情報が漏洩する可能性がある。Apple では、iOS 16.7.1 より前にリリースされたバージョンの iOS で、この脆弱性が悪用された可能性があるという報告を把握しています。
説明:入力検証を強化することで、領域外読み込みに対処しました。
WebKit Bugzilla:265041
CVE-2023-42916:Google の Threat Analysis Group の Clément Lecigne 氏
WebKit
対象:Apple Watch Series 4 以降
影響:Web コンテンツを処理すると、任意のコードを実行される可能性がある。Apple では、iOS 16.7.1 より前にリリースされたバージョンの iOS で、この脆弱性が悪用された可能性があるという報告を把握しています。
説明:ロック処理を強化し、メモリ破損の脆弱性に対処しました。
WebKit Bugzilla:265067
CVE-2023-42917:Google の Threat Analysis Group の Clément Lecigne 氏
WebKit
対象:Apple Watch Series 4 以降
影響:悪意を持って作成された Web コンテンツを処理すると、任意のコードを実行される可能性がある。
説明:メモリ管理を強化し、解放済みメモリ使用 (use-after-free) の脆弱性に対処しました。
WebKit Bugzilla:263682
CVE-2023-42950:360 Vulnerability Research Institute の Nan Wang 氏 (@eternalsakura13)、rushikesh nandedkar 氏
2024 年 3 月 22 日に追加
ご協力いただいたその他の方々
Wi-Fi
Noah Roskin-Frazee 氏と Prof. J. 氏 (ZeroClicks.ai Lab) のご協力に感謝いたします。
Apple が製造していない製品に関する情報や、Apple が管理または検証していない個々の Web サイトについては、推奨や承認なしで提供されています。Apple は他社の Web サイトや製品の選択、性能、使用に関しては一切責任を負いません。Apple は他社の Web サイトの正確性や信頼性についてはいかなる表明もいたしません。詳しくは各メーカーや開発元にお問い合わせください。