Zawartość związana z zabezpieczeniami w systemie watchOS 8.5

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemie watchOS 8.5.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.

watchOS 8.5

Wydano 14 marca 2022 r.

Accelerate Framework

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: otwarcie złośliwie spreparowanego pliku PDF może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury zarządzania stanem.

CVE-2022-22633: ryuzaki

Wpis uaktualniono 25 maja 2022 r.

AppleAVD

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu mogło doprowadzić do uszkodzenia sterty.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności.

CVE-2022-22666: Marc Schoenefeld, Dr. rer. nat.

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.

Opis: usunięto błąd odczytu spoza zakresu przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2022-22611: Xingyu Jin z Google

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu mogło doprowadzić do uszkodzenia sterty.

Opis: naprawiono błąd powodujący zużycie pamięci przez poprawienie procedury obsługi pamięci.

CVE-2022-22612: Xingyu Jin z Google

Kernel

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności.

CVE-2022-22596: anonimowy badacz

CVE-2022-22640: sqrtpwn

Kernel

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: usunięto błąd zapisu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2022-22613: Alex, anonimowy badacz

Kernel

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.

CVE-2022-22614: anonimowy badacz

CVE-2022-22615: anonimowy badacz

Kernel

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwa aplikacja może zdobyć podwyższone uprawnienia.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

CVE-2022-22632: Keegan Saunders

Kernel

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: osoba atakująca z uprzywilejowanym dostępem do sieci może wykonać atak typu „odmowa usługi”.

Opis: naprawiono błąd dereferencji wskaźnika null przez poprawienie procedury sprawdzania poprawności.

CVE-2022-22638: derrek (@derrekr6)

LaunchServices

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: aplikacja może być w stanie ominąć niektóre preferencje dotyczące prywatności.

Opis: naprawiono błąd logiczny przez poprawienie ograniczeń.

CVE-2021-30946: @gorelics i Ron Masas z BreakPoint.sh

Wpis dodano 6 czerwca 2023 r.

libarchive

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: wiele błędów w bibliotece libarchive.

Opis: w bibliotece libarchive występowało wiele błędów powodujących uszkodzenie zawartości pamięci. Te błędy naprawiono przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2021-36976

LLVM

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: aplikacja może móc usunąć pliki, do których nie ma uprawnień.

Opis: usunięto sytuację wyścigu przez wprowadzenie dodatkowego sprawdzania poprawności.

CVE-2022-21658: Florian Weimer (@fweimer)

Wpis dodano 25 maja 2022 r.

MediaRemote

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwa aplikacja może być w stanie określić, jakie inne aplikacje zostały zainstalowane przez użytkownika.

Opis: usunięto błąd dostępu przez poprawienie ograniczeń dostępu.

CVE-2022-22670: Brandon Azad

Phone

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: użytkownik może być w stanie obejść monit o kod funkcji Alarmowe SOS.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2022-22618: Yicong Ding (@AntonioDing)

Preferences

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwa aplikacja może być w stanie odczytać ustawienia innych aplikacji.

Opis: błąd naprawiono przez wprowadzenie dodatkowych procedur sprawdzania uprawnień.

CVE-2022-22609: Mickey Jin (@patch1t), Zhipeng Huo (@R3dF09) i Yuebin Sun (@yuebinsun2020) z Tencent Security Xuanwu Lab (xlab.tencent.com)

Wpis uaktualniono 6 czerwca 2023 r.

Safari

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: odwiedzenie złośliwej witryny internetowej może doprowadzić do sfałszowania paska adresu.

Opis: usunięto błąd dotyczący interfejsu użytkownika.

CVE-2022-22654: Abdullah Md Shaleh z take0ver

Sandbox

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwa aplikacja może obejść określone preferencje prywatności.

Opis: błąd naprawiono przez poprawienie procedur obsługi procesów logicznych uprawnień.

CVE-2022-22600: Sudhakar Muthumani (@sudhakarmuthu04) z Primefort Private Limited, Khiem Tran

Wpis uaktualniono 25 maja 2022 r.

Siri

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: osoba z fizycznym dostępem do urządzenia może być w stanie użyć Siri w celu uzyskania niektórych informacji o położeniu z poziomu zablokowanego ekranu.

Opis: usunięto błąd uprawnień przez poprawienie procedury sprawdzania poprawności.

CVE-2022-22599: Andrew Goldberg z University of Texas at Austin, McCombs School of Business (linkedin.com/andrew-goldberg-/)

Wpis uaktualniono 25 maja 2022 r.

UIKit

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: osoba z fizycznym dostępem do urządzenia z systemem iOS może być w stanie zobaczyć poufne informacje za pomocą sugestii klawiatury.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2022-22621: Joey Hewitt

WebKit

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetwarzanie złośliwie spreparowanej zawartości www może ujawnić poufne informacje użytkownika.

Opis: naprawiono błąd zarządzania plikami cookie przez poprawienie procedur zarządzania stanem.

WebKit Bugzilla: 232748

CVE-2022-22662: Prakash (@1lastBr3ath) z Threat Nix

WebKit

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do wykonania kodu.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury zarządzania stanem.

WebKit Bugzilla: 232812

CVE-2022-22610: Quan Yin z Bigo Technology Live Client Team

WebKit

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.

WebKit Bugzilla: 233172

CVE-2022-22624: Kirin (@Pwnrin) z Tencent Security Xuanwu Lab

WebKit Bugzilla: 234147

CVE-2022-22628: Kirin (@Pwnrin) z Tencent Security Xuanwu Lab

WebKit

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do wykonania dowolnego kodu.

Opis: usunięto błąd przepełnienia buforu przez poprawienie procedury obsługi pamięci.

WebKit Bugzilla: 234966

CVE-2022-22629: Jeonghoon Shin z Theori w ramach programu Zero Day Initiative firmy Trend Micro

WebKit

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwie spreparowana witryna internetowa może powodować nieoczekiwane działanie związane z obsługą zewnętrznych źródeł.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

WebKit Bugzilla: 235294

CVE-2022-22637: Tom McKee z Google

Dodatkowe podziękowania

AirDrop

Dziękujemy za udzieloną pomoc: Omar Espino (omespino.com), Ron Masas z BreakPoint.sh.

Bluetooth

Dziękujemy anonimowemu badaczowi za pomoc.

Face Gallery

Dziękujemy za udzieloną pomoc: Tian Zhang (@KhaosT).

Safari

Dziękujemy za udzieloną pomoc: Konstantin Darutkin z FingerprintJS (fingerprintjs.com).

Shortcuts

Dziękujemy za udzieloną pomoc: Baibhav Anand Jha z Streamers Land.

Siri

Dziękujemy anonimowemu badaczowi za pomoc.

syslog

Dziękujemy za udzieloną pomoc: Yonghwi Jin (@jinmo123) z Theori.

UIKit

Dziękujemy za udzieloną pomoc: Tim Shadel z Day Logger, Inc.

Wallet

Dziękujemy anonimowemu badaczowi za pomoc.

WebKit

Dziękujemy za udzieloną pomoc: Abdullah Md Shaleh.

WebKit Storage

Dziękujemy za udzieloną pomoc: Martin Bajanik z FingerprintJS.

Przedstawione informacje dotyczące produktów, które nie zostały wyprodukowane przez firmę Apple, bądź niezależnych witryn internetowych, które nie są kontrolowane ani testowane przez firmę Apple, nie mają charakteru rekomendacji. Firma Apple nie ponosi odpowiedzialności za wybór, działanie lub wykorzystanie witryn bądź produktów innych firm. Firma Apple nie składa żadnych oświadczeń dotyczących dokładności ani wiarygodności witryn internetowych innych firm. Skontaktuj się z dostawcą, aby uzyskać dodatkowe informacje.

Data publikacji: