Om sikkerhetsinnholdet i watchOS 5.2

Dette dokumentet beskriver sikkerhetsinnholdet i watchOS 5.2.

Om sikkerhetsoppdateringer fra Apple

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Nylige utgivelser er oppført på siden for Sikkerhetsoppdateringer fra Apple.

Apple-sikkerhetsdokumenter refererer til sårbarheter etter CVE-ID når det er mulig.

For mer informasjon om sikkerhet kan du gå til siden for Apple-produktsikkerhet.

watchOS 5.2

Utgitt 27. mars 2019

Kontoer

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Behandling av en skadelig vcf-fil kan føre til tjenestenekt

Beskrivelse: Et problem med tjenestenekt ble løst gjennom forbedret validering.

CVE-2019-8538: Trevor Spiniolas (@TrevorSpiniolas)

Oppføring lagt til 3. april 2019

CFString

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Behandling av en skadelig streng kan føre til tjenestenekt

Beskrivelse: Et valideringsproblem ble løst gjennom forbedret logikk.

CVE-2019-8516: SWIPS Team fra Frifee Inc.

configd

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Et skadelig program kan heve rettigheter

Beskrivelse: Et problem med initialisering av minne ble løst gjennom forbedret minnehåndtering.

CVE-2019-8552: Mohamed Ghannam (@_simo36)

Kontakter

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Et skadelig program kan heve rettigheter

Beskrivelse: Et problem med bufferoverflyt ble løst gjennom forbedret minnehåndtering.

CVE-2019-8511: en anonym forsker

CoreCrypto

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Et skadelig program kan heve rettigheter

Beskrivelse: Bufferoverflyt ble løst gjennom forbedret grensekontroll.

CVE-2019-8542: en anonym forsker

file

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Behandling av en skadelig fil kan avsløre brukerinformasjon

Beskrivelse: Et problem med lesing utenfor grensene ble løst gjennom forbedret grensekontroll.

CVE-2019-8906: Francisco Alonso

Oppføring oppdatert 15. april 2019

Foundation

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Et program kan være i stand til å få utvidede rettigheter

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering av inndata.

CVE-2019-7286: en anonym forsker, Clement Lecigne fra Google Threat Analysis Group, Ian Beer fra Google Project Zero og Samuel Groß fra Google Project Zero

GeoServices

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Bruk av en skadelig SMS-kobling kan føre til utføring av vilkårlig kode

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering.

CVE-2019-8553: en anonym forsker

iAP

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Et skadelig program kan heve rettigheter

Beskrivelse: Bufferoverflyt ble løst gjennom forbedret grensekontroll.

CVE-2019-8542: en anonym forsker

IOHIDFamily

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Et lokal bruker kan være i stand til å forårsake uventet systemavslutning eller lesing av kjerneminne

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret tilstandshåndtering.

CVE-2019-8545: Adam Donenfeld (@doadam) fra Zimperium zLabs Team

Kjerne

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: En ekstern angriper kan forårsake uventet systemavslutning eller skadet kjerneminne

Beskrivelse: En bufferoverflyt ble løst gjennom forbedret størrelsesvalidering.

CVE-2019-8527: Ned Williamson fra Google og derrek (@derrekr6)

Kjerne

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter

Beskrivelse: Et problem med fortsatt bruk etter frigjøring ble løst med forbedret minnestyring.

CVE-2019-8528: Fabiano Anemone (@anoane) og Zhao Qixun (@S0rryMybad) fra Qihoo 360 Vulcan Team

Oppføring lagt til 3. april 2019

Kjerne

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Et skadelig program kan være i stand til å fastslå layouten til kjerneminnet

Beskrivelse: Et problem med initialisering av minne ble løst gjennom forbedret minnehåndtering.

CVE-2019-8540: Weibo Wang (@ma1fan) fra Qihoo 360 Nirvan Team

Kjerne

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Et program kan være i stand til å få utvidede rettigheter

Beskrivelse: Et logisk problem ble løst gjennom forbedret tilstandshåndtering.

CVE-2019-8514: Samuel Groß fra Google Project Zero

Kjerne

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Et skadelig program kan være i stand til å fastslå layouten til kjerneminnet

Beskrivelse: Det var et problem med lesing utenfor området som førte til avdekking av kjerneminnet. Dette ble løst gjennom forbedret validering av inndata.

CVE-2019-6207: Weibo Wang fra Qihoo 360 Nirvan Team (@ma1fan)

CVE-2019-8510: Stefan Esser fra Antid0te UG

Kjerne

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: En lokal bruker kan være i stand til å lese kjerneminne

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.

CVE-2019-7293: Ned Williamson fra Google

Meldinger

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: En lokal bruker kan være i stand til å se sensitiv brukerinformasjon

Beskrivelse: Et problem med tilgang ble løst gjennom ekstra sandkasserestriksjoner.

CVE-2019-8546: ChiYuan Chang

Kode

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: En delvis innskrevet sikkerhetskode ble kanskje ikke fjernet når enheten gikk i dvalemodus

Beskrivelse: Det var et problem der delvis innskrevne sikkerhetskoder ikke alltid ble fjernet når enheten gikk i dvalemodus. Problemet ble løst ved å fjerne sikkerhetskoden når en låst enhet går i dvale.

CVE-2019-8548: Tobias Sachs

Strømstyring

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Et skadelig program kan kanskje utføre vilkårlig kode med systemrettigheter

Beskrivelse: Det var flere problemer med validering av inndata i MIG-generert kode. Problemene ble løst gjennom forbedret validering.

CVE-2019-8549: Mohamed Ghannam (@_simo36) fra SSD Secure Disclosure (ssd-disclosure.com)

Personvern

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: En skadelig app kan være i stand til å spore brukere mellom installeringer

Beskrivelse: Det var et problem med personvern i kalibrering av bevegelsessensoren. Problemet ble løst gjennom forbedret behandling i bevegelsessensoren.

CVE-2019-8541: Stan (Jiexin) Zhang og Alastair R. Beresford ved University of Cambridge og Ian Sheret ved Polymath Insight Limited

Siri

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Et skadelig program kan starte en dikteringsforespørsel uten brukerens tillatelse

Beskrivelse: Det var et API-problem med behandlingen av dikteringsforespørsler. Problemet ble løst gjennom forbedret validering.

CVE-2019-8502: Luke Deshotels ved North Carolina State University, Jordan Beichler ved North Carolina State University, William Enck ved North Carolina State University, Costin Carabaș ved Universitatea Politehnica din București og Răzvan Deaconescu ved Universitatea Politehnica din București

TrueTypeScaler

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Behandling av en skadelig font kan føre til at prosessminne avsløres

Beskrivelse: Et problem med lesing utenfor grensene ble løst gjennom forbedret grensekontroll.

CVE-2019-8517: riusksk fra VulWar Corp i samarbeid med Trend Micro Zero Day Initiative

WebKit

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Behandling av skadelig nettinnhold kan føre til utføring av vilkårlig kode

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.

CVE-2019-8536: Apple

CVE-2019-8544: en anonym forsker

WebKit

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Behandling av skadelig nettinnhold kan føre til utføring av vilkårlig kode

Beskrivelse: Et problem med typeforveksling ble løst gjennom forbedret minnehåndtering.

CVE-2019-8506: Samuel Groß fra Google Project Zero

WebKit

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Behandling av skadelig nettinnhold kan føre til utføring av vilkårlig kode

Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret minnehåndtering.

CVE-2019-8518: Samuel Groß fra Google Project Zero

CVE-2019-8558: Samuel Groß fra Google Project Zero

CVE-2019-8559: Apple

CVE-2019-8563: Apple

WebKit

Tilgjengelig for: Apple Watch Series 1 og nyere

Virkning: Behandling av skadelig nettinnhold kan føre til at prosessminne avsløres

Beskrivelse: Et valideringsproblem ble løst gjennom forbedret logikk.

CVE-2019-7292: Zhunki og Zhiyi Zhang fra 360 ESG Codesafe Team

Ytterligere anerkjennelse

Kjerne

Vi takker Brandon Azad fra Google Project Zero for hjelpen.

Informasjon om produkter som ikke produseres av Apple, eller om uavhengige nettsteder som ikke styres eller testes av Apple, gis uten anbefalinger eller bifall. Apple påtar seg ikke noe ansvar med hensyn til utvalg, ytelse eller bruk av tredjeparts nettsteder eller produkter. Apple har ingen forestillinger angående nøyaktigheten eller påliteligheten til tredjeparts nettsteder. Det finnes en iboende risiko ved bruk av Internett. Ta kontakt med leverandøren for å få mer informasjon. Andre firma- og produktnavn kan være varemerker for de respektive innehaverne.

Publiseringsdato: