Over de beveiligingsinhoud van watchOS 2.2.2

In dit document wordt de beveiligingsinhoud van watchOS 2.2.2 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging. U kunt communicatie met Apple coderen via de Apple Product Security PGP-sleutel.

Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.

watchOS 2.2.2

CoreGraphics

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: een externe aanvaller kan willekeurige code uitvoeren

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2016-4637: Tyler Bohan van Cisco Talos (talosintel.com/vulnerability-reports)

ImageIO

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: een externe aanvaller kan mogelijk zorgen voor een denial of service

Beschrijving: een probleem met geheugengebruik is verholpen door een verbeterde verwerking van het geheugen.

CVE-2016-4632: Evgeny Sidorov van Yandex

ImageIO

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: een externe aanvaller kan willekeurige code uitvoeren

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.

CVE-2016-4631: Tyler Bohan van Cisco Talos (talosintel.com/vulnerability-reports)

ImageIO

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2016-7705: Craig Young van Tripwire VERT

IOAcceleratorFamily

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: een lokale gebruiker kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een null pointer-dereferentieprobleem is verholpen door verbeterde validatie.

CVE-2016-4627: Ju Zhu van Trend Micro

IOAcceleratorFamily

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: een lokale gebruiker kan het kernelgeheugen lezen

Beschrijving: een probleem met lezen buiten het bereik is verholpen door middel van een verbeterde controle van de grenzen.

CVE-2016-4628: Ju Zhu van Trend Micro

IOHIDFamily

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: een lokale gebruiker kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een null pointer-dereferentieprobleem is verholpen door verbeterde invoervalidatie.

CVE-2016-4626: Stefan Esser van SektionEins

IOHIDFamily

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2016-4650: Peter Pi van Trend Micro in samenwerking met het Zero Day Initiative van HP

Kernel

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: een lokale gebruiker kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.

CVE-2016-1863: Ian Beer van Google Project Zero

CVE-2016-4653: Ju Zhu van Trend Micro

CVE-2016-4582: Shrek_wzw en Proteas van Qihoo 360 Nirvan Team

Kernel

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: een lokale gebruiker kan zorgen voor denial of service van het systeem

Beschrijving: een null pointer-dereferentieprobleem is verholpen door verbeterde invoervalidatie.

CVE-2016-1865: CESG, Marco Grassi (@marcograss) van KeenLab (@keen_lab), Tencent

Libc

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: een externe aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken

Beschrijving: er was een bufferoverloop in de functie 'link_ntoa()' in linkaddr.c. Dit probleem is opgelost door extra controle van de grenzen.

CVE-2016-6559: Apple

libxml2

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: meerdere kwetsbaarheden in libxml2

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.

CVE-2015-8317: Hanno Boeck

CVE-2016-1836: Wei Lei en Liu Yang van Nanyang Technological University

CVE-2016-4447: Wei Lei en Liu Yang van Nanyang Technological University

CVE-2016-4448: Apple

CVE-2016-4483: Gustavo Grieco

CVE-2016-4614: Nick Wellnhofer

CVE-2016-4615: Nick Wellnhofer

CVE-2016-4616: Michael Paddon

libxml2

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: het parseren van een kwaadwillig vervaardigd xml-document kan leiden tot het vrijgeven van gebruikersgegevens

Beschrijving: er was een toegangsprobleem bij het parseren van kwaadwillig vervaardigde XML-bestanden. Dit probleem is verholpen door een verbeterde invoervalidatie.

CVE-2016-4449: Kostya Serebryany

libxslt

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: meerdere kwetsbaarheden in libxslt

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.

CVE-2016-1683: Nicolas Grégoire

CVE-2016-1684: Nicolas Grégoire

CVE-2016-4607: Nick Wellnhofer

CVE-2016-4608: Nicolas Grégoire

CVE-2016-4609: Nick Wellnhofer

CVE-2016-4610: Nick Wellnhofer

Sandbox-profielen

Beschikbaar voor: Apple Watch Sport, Apple Watch, Apple Watch Edition en Apple Watch Hermès

Impact: een lokaal programma kan toegang hebben tot het procesoverzicht

Beschrijving: er was een toegangsprobleem met geprivilegieerde API-aanroepen. Dit probleem is verholpen door extra beperkingen.

CVE-2016-4594: Stefan Esser van SektionEins