Over Apple beveiligingsupdates
Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.
Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.
Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.
watchOS 9
Releasedatum: 12 september 2022
Accelerate Framework
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugengebruik is verholpen door een verbeterde verwerking van het geheugen.
CVE-2022-42795: ryuzaki
AppleAVD
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: dit probleem is verholpen door verbeterde controles.
CVE-2022-32907: Natalie Silvanovich van Google Project Zero, Antonio Zekic (@antoniozekic) en John Aakerblom (@jaakerblom), ABC Research s.r.o, Yinyi Wu, Tommaso Bianco (@cutesmilee__)
Apple Neural Engine
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app kan mogelijk gevoelige kernelstatus vrijgeven
Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.
CVE-2022-32858: Mohamed Ghannam (@_simo36)
Apple Neural Engine
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.
CVE-2022-32898: Mohamed Ghannam (@_simo36)
CVE-2022-32899: Mohamed Ghannam (@_simo36)
CVE-2022-32889: Mohamed Ghannam (@_simo36)
Contacts
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app kan mogelijk privacyvoorkeuren omzeilen
Beschrijving: dit probleem is verholpen door middel van verbeterde controles.
CVE-2022-32854: Holger Fuhrmannek van Deutsche Telekom Security
Exchange
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een gebruiker in een geprivilegieerde netwerkpositie kan Mail-inloggegevens onderscheppen
Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.
CVE-2022-32928: Jiří Vinopal (@vinopaljiri) van Check Point Research
Bijgewerkt op donderdag 8 juni 2023
GPU Drivers
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2022-32903: een anonieme onderzoeker
ImageIO
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: het verwerken van een afbeelding kan leiden tot een denial-of-service
Beschrijving: een probleem met denial-of-service is verholpen door verbeterde validatie.
CVE-2022-1622
Image Processing
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app in de sandbox kan achterhalen welke app momenteel de camera gebruikt
Beschrijving: het probleem is verholpen door aanvullende beperkingen voor de waarneembaarheid van appstatussen.
CVE-2022-32913: Yiğit Can YILMAZ (@yilmazcanyigit)
Kernel
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app kan mogelijk het kernelgeheugen vrijgeven
Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.
CVE-2022-32864: Linus Henze van Pinauten GmbH (pinauten.de)
Kernel
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.
CVE-2022-32866: Linus Henze van Pinauten GmbH (pinauten.de)
CVE-2022-32911: Zweig van Kunlun Lab
Kernel
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2022-32914: Zweig van Kunlun Lab
Kernel
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden. Apple is op de hoogte van een melding dat er mogelijk actief misbruik is gemaakt van dit probleem.
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde bereikcontrole.
CVE-2022-32894: een anonieme onderzoeker
Maps
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app kan vertrouwelijke locatiegegevens lezen
Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.
CVE-2022-32883: Ron Masas van breakpointhq.com
MediaLibrary
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een gebruiker kan de bevoegdheden verhogen
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2022-32908: een anonieme onderzoeker
Notifications
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een gebruiker met fysieke toegang tot een apparaat heeft toegang tot contacten vanaf het toegangsscherm
Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.
CVE-2022-32879: Ubeydullah Sümer
Sandbox
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app kan beveiligde onderdelen van het bestandssysteem wijzigen
Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.
CVE-2022-32881: Csaba Fitzl (@theevilbit) van Offensive Security
Siri
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een gebruiker met fysieke toegang tot een apparaat kan Siri gebruiken om belgeschiedenisinformatie te achterhalen
Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.
CVE-2022-32870: Andrew Goldberg van The McCombs School of Business, The University of Texas at Austin (linkedin.com/in/andrew-goldberg-/)
SQLite
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een externe gebruiker kan een denial-of-service veroorzaken
Beschrijving: dit probleem is verholpen door middel van verbeterde controles.
CVE-2021-36690
Watch app
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app kan een permanente apparaat-ID lezen
Beschrijving: dit probleem is verholpen door middel van verbeterde rechten.
CVE-2022-32835: Guilherme Rambo van Best Buddy Apps (rambo.codes)
Weather
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app kan vertrouwelijke locatiegegevens lezen
Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.
CVE-2022-32875: een anonieme onderzoeker
WebKit
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met bufferoverloop is verholpen door een verbeterde verwerking van het geheugen.
WebKit Bugzilla: 241969
CVE-2022-32886: P1umer(@p1umer), afang(@afang5472), xmzyshypnc(@xmzyshypnc1)
WebKit
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde bereikcontrole.
WebKit Bugzilla: 242047
CVE-2022-32888: P1umer (@p1umer)
WebKit
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.
WebKit Bugzilla: 242762
CVE-2022-32912: Jeonghoon Shin (@singi21a) bij Theori in samenwerking met het Zero Day Initiative van Trend Micro
WebKit
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een bezoek aan een website met kwaadaardige inhoud kan leiden tot het vervalsen van de gebruikersinterface
Beschrijving: het probleem is verholpen door een verbeterde verwerking in de gebruikersinterface.
WebKit Bugzilla: 243236
CVE-2022-32891: @real_as3617, een anonieme onderzoeker
WebKit
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot het uitvoeren van willekeurige code. Apple is op de hoogte van een melding dat er mogelijk actief misbruik is gemaakt van dit probleem.
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde bereikcontrole.
WebKit Bugzilla: 243557
CVE-2022-32893: een anonieme onderzoeker
Wi-Fi
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.
CVE-2022-46709: Wang Yu van Cyberserval
Toegevoegd op donderdag 8 juni 2023
Wi-Fi
Beschikbaar voor: Apple Watch Series 4 en nieuwer
Impact: een app kan zorgen voor het onverwacht beëindigen van het systeem of het schrijven van kernelgeheugen
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde bereikcontrole.
CVE-2022-32925: Wang Yu van Cyberserval
Aanvullende erkenning
AppleCredentialManager
Met dank aan @jonathandata1 voor de hulp.
FaceTime
Met dank aan een anonieme onderzoeker voor de hulp.
Kernel
Met dank aan een anonieme onderzoeker voor de hulp.
Met dank aan een anonieme onderzoeker voor de hulp.
Safari
Met dank aan Scott Hatfield van Sub-Zero Group voor de hulp.
Toegevoegd op donderdag 8 juni 2023
Sandbox
Met dank aan Csaba Fitzl (@theevilbit) van Offensive Security voor de hulp.
UIKit
Met dank aan Aleczander Ewing voor de hulp.
WebKit
Met dank aan een anonieme onderzoeker voor de hulp.
WebRTC
Met dank aan een anonieme onderzoeker voor de hulp.