Over de beveiligingsinhoud van watchOS 9.1

In dit document wordt de beveiligingsinhoud van watchOS 9.1 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

watchOS 9.1

AppleMobileFileIntegrity

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan beveiligde onderdelen van het bestandssysteem wijzigen

Beschrijving: dit probleem is verholpen door aanvullende rechten te verwijderen.

CVE-2022-42825: Mickey Jin (@patch1t)

Apple Neural Engine

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2022-32932: Mohamed Ghannam (@_simo36)

Audio

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: het parseren van een kwaadwillig vervaardigd audiobestand kan leiden tot het vrijgeven van gebruikersinformatie

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2022-42798: anoniem in samenwerking met het Zero Day Initiative van Trend Micro

AVEVideoEncoder

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde bereikcontroles.

CVE-2022-32940: ABC Research s.r.o.

CFNetwork

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigd certificaat kan leiden tot het uitvoeren van willekeurige code

Beschrijving: er was een probleem met de validatie van de certificaatketen bij de verwerking van WKWebView. Dit probleem is verholpen door een verbeterde validatie.

CVE-2022-42813: Jonathan Zhang van Open Computing Facility (ocf.berkeley.edu)

GPU Drivers

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2022-32947: Asahi Lina (@LinaAsahi)

Kernel

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan het onverwacht beëindigen van het systeem veroorzaken of mogelijk code uitvoeren met kernelbevoegdheden

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2022-46712: Tommy Muir (@Muirey03)

Kernel

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2022-32924: Ian Beer van Google Project Zero

Kernel

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een externe gebruiker kan het uitvoeren van kernelcode veroorzaken

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde bereikcontrole.

CVE-2022-42808: Zweig van Kunlun Lab

Kernel

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2022-32944: Tim Michaud (@TimGMichaud) van Moveworks.ai

Kernel

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een racevoorwaarde is verholpen door verbeterde vergrendeling.

CVE-2022-42803: Xinru Chi van Pangu Lab, John Aakerblom (@jaakerblom)

Kernel

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app met rootbevoegdheden kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde bereikcontroles.

CVE-2022-32926: Tim Michaud (@TimGMichaud) van Moveworks.ai

Kernel

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een logicaprobleem is verholpen door verbeterde controles.

CVE-2022-42801: Ian Beer van Google Project Zero

Safari

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een bezoek aan een kwaadwillig vervaardigde website kan leiden tot het lekken van gevoelige gegevens

Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.

CVE-2022-42817: Mir Masood Ali, PhD-student, University of Illinois in Chicago; Binoy Chitale, MS-student, Stony Brook University; Mohammad Ghasemisharif, PhD-kandidaat, University of Illinois in Chicago; Chris Kanich, universitair hoofddocent, University of Illinois in Chicago

Sandbox

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een toegangsprobleem is verholpen door aanvullende sandboxbeperkingen.

CVE-2022-42811: Justin Bui (@slyd0g) van Snowflake

WebKit

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een bezoek aan een schadelijke website kan leiden tot vervalsing van de gebruikersinterface

Beschrijving: het probleem is verholpen door een verbeterde verwerking in de gebruikersinterface.

CVE-2022-42799: Jihwan Kim (@gPayl0ad), Dohyun Lee (@l33d0hyun)

WebKit

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een type confusion-probleem is verholpen door een verbeterde verwerking van het geheugen.

CVE-2022-42823: Dohyun Lee (@l33d0hyun) van SSD Labs

WebKit

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan gevoelige gebruikersgegevens openbaar maken

Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.

CVE-2022-42824: Abdulrahman Alqabandi van Microsoft Browser Vulnerability Research, Ryan Shin van IAAI SecLab van de Universiteit van Korea, Dohyun Lee (@l33d0hyun) van DNSLab van Universiteit van Korea

WebKit

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan interne statussen van de app vrijgeven

Beschrijving: een correctheidsprobleem in JIT is verholpen door verbeterde controles.

CVE-2022-32923: Wonyoung Jung (@nonetype_pwn) van KAIST Hacking Lab

zlib

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een gebruiker kan het onverwacht beëindigen van een app of het uitvoeren van willekeurige code veroorzaken

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2022-37434: Evgeny Legerov

CVE-2022-42800: Evgeny Legerov

Aanvullende erkenning

iCloud

Met dank aan Tim Michaud (@TimGMichaud) van Moveworks.ai voor de hulp.

Kernel

Met dank aan Peter Nguyen van STAR Labs, Tim Michaud (@TimGMichaud) van Moveworks.ai en Tommy Muir (@Muirey03) voor de hulp.

WebKit

Met dank aan Maddie Stone van Google Project Zero, Narendra Bhati (@imnarendrabhati) van Suma Soft Pvt. Ltd. en een anonieme onderzoeker voor de hulp.