Over de beveiligingsinhoud van watchOS 3.1.3
In dit document wordt de beveiligingsinhoud van watchOS 3.1.3 beschreven.
Over Apple beveiligingsupdates
Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat er onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.
Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging. U kunt communicatie met Apple coderen via de Apple Product Security PGP-sleutel.
Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.
watchOS 3.1.3
Accounts
Beschikbaar voor: alle Apple Watch-modellen
Impact: de autorisatie-instellingen werden niet opnieuw ingesteld bij verwijdering van een app
Beschrijving: er was een probleem waardoor de autorisatie-instellingen niet opnieuw werden ingesteld bij verwijdering van een app. Dit probleem is verholpen door een verbeterde opschoning.
CVE-2016-7651: Ju Zhu en Lilang Wu van Trend Micro
APNS Server
Beschikbaar voor: alle Apple Watch-modellen
Impact: een aanvaller in een geprivilegieerde netwerkpositie kan de activiteit van een gebruiker bijhouden
Beschrijving: een clientcertificaat is verstuurd in platte tekst. Dit probleem is verholpen door een verbeterde verwerking van certificaten.
CVE-2017-2383: Matthias Wachs en Quirin Scheitle van Technical University Munich (TUM)
Audio
Beschikbaar voor: alle Apple Watch-modellen
Impact: het verwerken van een kwaadwillig vervaardigd bestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2016-7658: Haohao Kong van het Keen Lab (@keen_lab) van Tencent
CVE-2016-7659: Haohao Kong van het Keen Lab (@keen_lab) van Tencent
CoreFoundation
Beschikbaar voor: alle Apple Watch-modellen
Impact: het verwerken van kwaadwillig vervaardigde tekenreeksen kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code
Beschrijving: er was een probleem met geheugenbeschadiging tijdens de verwerking van tekenreeksen. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.
CVE-2016-7663: een anonieme onderzoeker
CoreGraphics
Beschikbaar voor: alle Apple Watch-modellen
Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het onverwacht beëindigen van het programma
Beschrijving: een null pointer-dereferentieprobleem is verholpen door verbeterde invoervalidatie.
CVE-2016-7627: TRAPMINE Inc. en Meysam Firouzi @R00tkitSMM
CoreMedia afspelen
Beschikbaar voor: alle Apple Watch-modellen
Impact: het verwerken van een kwaadwillig vervaardigd .mp4-bestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-7588: dragonltx van Huawei 2012 Laboratories
CoreText
Beschikbaar voor: alle Apple Watch-modellen
Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: er waren meerdere problemen met geheugenbeschadiging bij de verwerking van lettertypebestanden. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.
CVE-2016-7595: riusksk (泉哥) van Tencent Security Platform Department
Schijfkopieën
Beschikbaar voor: alle Apple Watch-modellen
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2016-7616: daybreaker@Minionz in samenwerking met het Zero Day Initiative van Trend Micro
FontParser
Beschikbaar voor: alle Apple Watch-modellen
Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: er waren meerdere problemen met geheugenbeschadiging bij de verwerking van lettertypebestanden. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.
CVE-2016-4691: riusksk (泉哥) van Tencent Security Platform Department
FontParser
Beschikbaar voor: alle Apple Watch-modellen
Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: er was een bufferoverloop bij de verwerking van lettertypebestanden. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.
CVE-2016-4688: Simon Huang van Alipay, thelongestusernameofall@gmail.com
ICU
Beschikbaar voor: alle Apple Watch-modellen
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-7594: André Bargull
ImageIO
Beschikbaar voor: alle Apple Watch-modellen
Impact: een externe aanvaller kan geheugen vrijgeven
Beschrijving: een probleem met lezen buiten het bereik is verholpen door middel van een verbeterde controle van de grenzen.
CVE-2016-7643: Yangkang (@dnpushme) van Qihoo360 Qex Team
IOHIDFamily
Beschikbaar voor: alle Apple Watch-modellen
Impact: een lokaal programma met systeembevoegdheden kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2016-7591: daybreaker van Minionz
IOKit
Beschikbaar voor: alle Apple Watch-modellen
Impact: een programma kan mogelijk het kernelgeheugen lezen
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2016-7657: Keen Lab in samenwerking met het Zero Day Initiative van Trend Micro
IOKit
Beschikbaar voor: alle Apple Watch-modellen
Impact: een lokale gebruiker kan de indeling van het kernelgeheugen bepalen
Beschrijving: een probleem met gedeeld geheugen is verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-7714: Qidan He (@flanker_hqd) van KeenLab in samenwerking met het Zero Day Initiative van Trend Micro
Kernel
Beschikbaar voor: alle Apple Watch-modellen
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde invoervalidatie.
CVE-2016-7606: Chen Qin van Topsec Alpha Team (topsec.com), @cocoahuke
CVE-2016-7612: Ian Beer van Google Project Zero
Kernel
Beschikbaar voor: alle Apple Watch-modellen
Impact: een programma kan mogelijk het kernelgeheugen lezen
Beschrijving: een probleem met onvoldoende initialisatie is verholpen door de juiste initialisatie van het geheugen dat wordt geretourneerd aan gebruikersruimte.
CVE-2016-7607: Brandon Azad
Kernel
Beschikbaar voor: alle Apple Watch-modellen
Impact: een lokale gebruiker kan zorgen voor denial of service van het systeem
Beschrijving: een probleem met denial of service is verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-7615: het National Cyber Security Centre (NCSC) van het Verenigd Koninkrijk
Kernel
Beschikbaar voor: alle Apple Watch-modellen
Impact: een lokale gebruiker kan zorgen voor het onverwacht beëindigen van het systeem of het uitvoeren van willekeurige code in de kernel
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2016-7621: Ian Beer van Google Project Zero
Kernel
Beschikbaar voor: alle Apple Watch-modellen
Impact: een lokale gebruiker kan mogelijk rootbevoegdheden verkrijgen
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2016-7637: Ian Beer van Google Project Zero
Kernel
Beschikbaar voor: alle Apple Watch-modellen
Impact: een lokaal programma met systeembevoegdheden kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2016-7644: Ian Beer van Google Project Zero
Kernel
Beschikbaar voor: alle Apple Watch-modellen
Impact: een programma zorgt mogelijk voor een denial of service
Beschrijving: een probleem met denial of service is verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-7647: Lufeng Li van Qihoo 360 Vulcan Team
Kernel
Beschikbaar voor: alle Apple Watch-modellen
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met bufferoverloop is verholpen door een verbeterde verwerking van het geheugen.
CVE-2017-2370: Ian Beer van Google Project Zero
Kernel
Beschikbaar voor: alle Apple Watch-modellen
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2017-2360: Ian Beer van Google Project Zero
libarchive
Beschikbaar voor: alle Apple Watch-modellen
Impact: een lokale aanvaller kan bestaande bestanden overschrijven
Beschrijving: er was een validatieprobleem bij de verwerking van symlinks. Dit probleem is verholpen door een verbeterde validatie van symlinks.
CVE-2016-7619: een anonieme onderzoeker
libarchive
Beschikbaar voor: alle Apple Watch-modellen
Impact: het uitpakken van een kwaadwillig vervaardigd archief kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met bufferoverloop is verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-8687: Agostino Sarubbo van Gentoo
Profielen
Beschikbaar voor: alle Apple Watch-modellen
Impact: het openen van een kwaadwillig vervaardigd certificaat kan leiden tot het uitvoeren van willekeurige code
Beschrijving: er was een probleem met geheugenbeschadiging bij de verwerking van certificaatprofielen. Dit probleem is verholpen door een verbeterde invoervalidatie.
CVE-2016-7626: Maksymilian Arciemowicz (cxsecurity.com)
Beveiliging
Beschikbaar voor: alle Apple Watch-modellen
Impact: een aanvaller kan mogelijk gebruikmaken van de kwetsbaarheden in het cryptografische 3DES-algoritme
Beschrijving: 3DES is verwijderd als een standaardcodering.
CVE-2016-4693: Gaëtan Leurent en Karthikeyan Bhargavan van INRIA Paris
Beveiliging
Beschikbaar voor: alle Apple Watch-modellen
Impact: een aanvaller in een geprivilegieerde netwerkpositie kan een denial of service veroorzaken
Beschrijving: er was een validatieprobleem bij de verwerking van OCSP-responder-URL's. Dit probleem is verholpen door de controle van de OCSP-intrekkingsstatus na CA-validatie en het beperken van het aantal OCSP-verzoeken per certificaat.
CVE-2016-7636: Maksymilian Arciemowicz (cxsecurity.com)
Beveiliging
Beschikbaar voor: alle Apple Watch-modellen
Impact: certificaten kunnen onverwacht worden beoordeeld als vertrouwd
Beschrijving: er was een probleem met certificaatevaluatie bij certificaatvalidatie. Dit probleem is verholpen door een extra validatie van certificaten.
CVE-2016-7662: Apple
syslog
Beschikbaar voor: alle Apple Watch-modellen
Impact: een lokale gebruiker kan mogelijk rootbevoegdheden verkrijgen
Beschrijving: een probleem met mach port-naamreferenties is verholpen door een verbeterde validatie.
CVE-2016-7660: Ian Beer van Google Project Zero
Ontgrendel met iPhone
Beschikbaar voor: alle Apple Watch-modellen
Impact: de Apple Watch kan ontgrendelen wanneer de gebruiker deze niet om de pols draagt
Beschrijving: een logisch probleem is verholpen door een verbeterde verwerking van het statusbeheer.
CVE-2017-2352: Ashley Fernandez van raptAware Pty Ltd
WebKit
Beschikbaar voor: alle Apple Watch-modellen
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterd statusbeheer.
CVE-2016-7589: Apple
WebKit
Beschikbaar voor: alle Apple Watch-modellen
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het 'cross-origin' exfiltreren van gegevens
Beschrijving: er waren meerdere validatieproblemen bij het verwerken van het laden van pagina's. Dit probleem is verholpen door een verbeterde logica.
CVE-2017-2363: lokihardt van Google Project Zero
Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Neem contact op met de leverancier voor meer informatie.