Over de beveiligingsinhoud van watchOS 9.4

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

Releasedatum: 27 maart 2023

AppleMobileFileIntegrity

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een gebruiker kan mogelijk toegang verkrijgen tot beveiligde onderdelen van het bestandssysteem

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-23527: Mickey Jin (@patch1t)

Agenda

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: het importeren van een kwaadwillig vervaardigde agenda-uitnodiging kan gebruikersinformatie exfiltreren

Beschrijving: verscheidene validatieproblemen zijn verholpen door een verbeterde invoeropschoning.

CVE-2023-27961: Rıza Sabuncu (@rizasabuncu)

Camera

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app in de sandbox kan achterhalen welke app momenteel de camera gebruikt

Beschrijving: het probleem is verholpen door aanvullende beperkingen voor de waarneembaarheid van appstatussen.

CVE-2023-23543: Yiğit Can YILMAZ (@yilmazcanyigit)

Toegevoegd op 8 juni 2023

CoreCapture

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-28181: Tingting Yin van Tsinghua University

Find My

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan mogelijk vertrouwelijke locatiegegevens lezen

Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.

CVE-2023-23537: Adam M.

CVE-2023-28195: Adam M.

Bijgewerkt op 21 december 2023

FontParser

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot openbaarmaking van procesgeheugen

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-27956: Ye Zhang van Baidu Security

Foundation

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: het parseren van een kwaadwillig vervaardigd plist-bestand kan leiden tot het onverwacht beëindigen van de app of het uitvoeren van willekeurige code

Beschrijving: een probleem met overloop van gehele getallen is verholpen door verbeterde invoervalidatie.

CVE-2023-27937: een anonieme onderzoeker

Identity Services

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan toegang krijgen tot informatie over de contactpersonen van een gebruiker

Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.

CVE-2023-27928: Csaba Fitzl (@theevilbit) van Offensive Security

ImageIO

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot openbaarmaking van procesgeheugen

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-23535: ryuzaki

ImageIO

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot openbaarmaking van procesgeheugen

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2023-27929: Meysam Firouzi (@R00tkitSMM) van Mbition Mercedes-Benz Innovation Lab en jzhu in samenwerking met Trend Micro Zero Day Initiative

ImageIO

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: het verwerken van een afbeelding kan leiden tot openbaarmaking van procesgeheugen

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2023-42862: Meysam Firouzi @R00tkitSMM

CVE-2023-42865: jzhu in samenwerking met het Zero Day Initiative van Trend Micro en Meysam Firouzi (@R00tkitSMM) van Mbition Mercedes-Benz Innovation Lab

Toegevoegd op 21 december 2023

Kernel

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde bereikcontroles.

CVE-2023-23536: Félix Poulin-Bélanger en David Pan Ogea

Toegevoegd op 8 juni 2023, bijgewerkt op 21 december 2023

Kernel

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2023-27969: Adam Doupé van ASU SEFCOM

Kernel

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app met rootbevoegdheden kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-27933: sqrtpwn

Kernel

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan een denial-of-service veroorzaken

Beschrijving: een probleem met overloop van gehele getallen is verholpen door verbeterde invoervalidatie.

CVE-2023-28185: Pan ZhenPeng van STAR Labs SG Pte. Ltd.

Toegevoegd op 21 december 2023

Kernel

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een aanvaller die het uitvoeren van kernelcode al heeft bereikt, kan kernelgeheugenbeperkingen omzeilen

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-32424: Zechao Cai (@Zech4o) van Zhejiang University

Toegevoegd op 21 december 2023

Podcasts

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-27942: Mickey Jin (@patch1t)

Sandbox

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan mogelijk privacyvoorkeuren omzeilen

Beschrijving: een logicaprobleem is verholpen door verbeterde validatie.

CVE-2023-28178: Yiğit Can YILMAZ (@yilmazcanyigit)

Toegevoegd op 8 juni 2023

Shortcuts

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een opdracht kan bij bepaalde acties gebruikmaken van gevoelige gegevens zonder dat de gebruiker om toestemming wordt gevraagd

Beschrijving: het probleem is verholpen door aanvullende machtigingscontroles.

CVE-2023-27963: Jubaer Alnazi Jabin van TRS Group Of Companies en Wenchao Li en Xiaolong Bai van Alibaba Group

TCC

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: dit probleem is verholpen door de kwetsbare code te verwijderen.

CVE-2023-27931: Mickey Jin (@patch1t)

WebKit

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan het Same Origin-beleid omzeilen

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

WebKit Bugzilla: 248615
CVE-2023-27932: een anonieme onderzoeker

WebKit

Beschikbaar voor: Apple Watch Series 4 en nieuwer

Impact: een website kan vertrouwelijke gebruikersinformatie volgen

Beschrijving: het probleem is verholpen door informatie over de oorsprong te verwijderen.

WebKit Bugzilla: 250837
CVE-2023-27954: een anonieme onderzoeker

Activation Lock

Met dank aan Christian Mina voor de hulp.

CFNetwork

Met dank aan een anonieme onderzoeker voor de hulp.

CoreServices

Met dank aan Mickey Jin (@patch1t) voor de hulp.

ImageIO

Met dank aan Meysam Firouzi @R00tkitSMM voor de hulp.

Mail

Met dank aan Chen Zhang, Fabian Ising van FH Münster University of Applied Sciences, Damian Poddebniak van FH Münster University of Applied Sciences, Tobias Kappert van Münster University of Applied Sciences, Christoph Saatjohann van Münster University of Applied Sciences, Sebast en Merlin Chlosta van CISPA Helmholtz Center for Information Security voor de hulp.

Safari-downloads

Met dank aan Andrew Gonzalez voor de hulp.

WebKit

Met dank aan een anonieme onderzoeker voor de hulp.