Om sikkerhetsinnholdet i watchOS 7.2

Dette dokumentet beskriver sikkerhetsinnholdet i watchOS 7.2.

Om sikkerhetsoppdateringer fra Apple

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Nylige utgivelser er oppført på siden Sikkerhetsoppdateringer fra Apple.

Apple-sikkerhetsdokumenter refererer til sårbarheter etter CVE-ID når det er mulig.

For mer informasjon om sikkerhet kan du gå til siden for Apple-produktsikkerhet.

watchOS 7.2

Audio

Tilgjengelig for: Apple Watch Series 3 og nyere

Virkning: Behandling av en skadelig lydfil kan avdekke begrenset minne

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret validering av inndata.

CVE-2020-29610: anonym i samarbeid med Trend Micro Zero Day Initiative

CoreAudio

Tilgjengelig for: Apple Watch Series 3 og nyere

Virkning: Behandling av en skadelig lydfil kan føre til kjøring av vilkårlig kode

Beskrivelse: Et problem med skriving utenfor området ble løst gjennom forbedret grenseverdikontroll.

CVE-2020-27948: JunDong Xie fra Ant Security Light-Year Lab

FontParser

Tilgjengelig for: Apple Watch Series 3 og nyere

Virkning: En ekstern angriper kan lekke minne

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret grenseverdikontroll.

CVE-2020-29608: Xingwei Lin fra Ant Security Light-Year Lab

FontParser

Tilgjengelig for: Apple Watch Series 3 og nyere

Virkning: Behandling av en skadelig font kan føre til at prosessminne avsløres

Beskrivelse: Et problem med informasjonsavsløring ble løst med forbedret tilstandshåndtering.

CVE-2020-27946: Mateusz Jurczyk fra Google Project Zero

FontParser

Tilgjengelig for: Apple Watch Series 3 og nyere

Virkning: Behandling av en skadelig fontfil kan føre til utføring av vilkårlig kode

Beskrivelse: Det var et problem med skadet minne i håndteringen av fontfiler. Problemet ble løst gjennom forbedret validering av inndata.

CVE-2020-27943: Mateusz Jurczyk fra Google Project Zero

CVE-2020-27944: Mateusz Jurczyk fra Google Project Zero

CVE-2020-29624: Mateusz Jurczyk fra Google Project Zero

ImageIO

Tilgjengelig for: Apple Watch Series 3 og nyere

Virkning: Behandling av et skadelig bilde kan føre til tjenestenekt

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret validering av inndata.

CVE-2020-29615: Xingwei Lin fra Ant Security Light-Year Lab

ImageIO

Tilgjengelig for: Apple Watch Series 3 og nyere

Virkning: Behandling av et skadelig bilde kan føre til skade i heapen

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret validering av inndata.

CVE-2020-29617: Xingwei Lin fra Ant Security Light-Year Lab

CVE-2020-29619: Xingwei Lin fra Ant Security Light-Year Lab

ImageIO

Tilgjengelig for: Apple Watch Series 3 og nyere

Virkning: Behandling av et skadelig bilde kan føre til kjøring av vilkårlig kode

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret validering av inndata.

CVE-2020-29618: Xingwei Lin fra Ant Security Light-Year Lab

ImageIO

Tilgjengelig for: Apple Watch Series 3 og nyere

Virkning: Behandling av et skadelig bilde kan føre til kjøring av vilkårlig kode

Beskrivelse: Et problem med skriving utenfor området ble løst gjennom forbedret grenseverdikontroll.

CVE-2020-29611: Alexandru-Vlad Niculae i samarbeid med Google Project Zero

Security

Tilgjengelig for: Apple Watch Series 3 og nyere

Virkning: Uautorisert kjøring av kode kan føre til brudd på retningslinjer for autentisering

Beskrivelse: Problemet ble løst gjennom bedre kontroller.

CVE-2020-27951: Apple

WebRTC

Tilgjengelig for: Apple Watch Series 3 og nyere

Virkning: Behandling av skadelig nettinnhold kan føre til utføring av vilkårlig kode

Beskrivelse: Et problem med fortsatt bruk etter frigjøring ble løst med forbedret minnestyring.

CVE-2020-15969: en anonym forsker

Wi-Fi

Tilgjengelig for: Apple Watch Series 3 og nyere

Virkning: Et skadelig program kan kanskje kjøre vilkårlig kode med kjernerettigheter

Beskrivelse: En bufferoverflyt ble løst gjennom forbedret størrelsesvalidering.

CVE-2021-31077: Lee fra CompSec@SNU

Ytterligere anerkjennelser

CoreAudio

Vi vil gjerne takke JunDong Xie og Xingwei Lin fra Ant Security Light-Year Lab for hjelpen.