Zawartość związana z zabezpieczeniami w systemie watchOS 6.1.1
W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemie watchOS 6.1.1.
Uaktualnienia zabezpieczeń Apple
W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.
Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.
Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.
watchOS 6.1.1
CallKit
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: połączenia wykonywane za pomocą Siri mogą być inicjowane z użyciem niewłaściwego planu sieci komórkowej na urządzeniach z dwoma aktywnymi planami.
Opis: w mechanizmie obsługi wychodzących połączeń telefonicznych inicjowanych za pomocą Siri występował błąd interfejsu API. Ten błąd naprawiono przez poprawienie procedur obsługi stanu.
CVE-2019-8856: Fabrice TERRANCLE z TERRANCLE SARL
CFNetwork
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: soba atakująca z uprzywilejowanym dostępem do sieci może być w stanie ominąć zabezpieczenia HSTS dla ograniczonej liczby określonych domen najwyższego poziomu, które wcześniej nie znajdowały się na liście wstępnego wczytywania HSTS.
Opis: naprawiono błąd z konfiguracją przez wprowadzenie dodatkowych ograniczeń.
CVE-2019-8834: Rob Sayre (@sayrer)
Serwery proxy środowiska CFNetwork
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: aplikacja może uzyskać podwyższony poziom uprawnień.
Opis: ten błąd naprawiono przez poprawienie sprawdzania.
CVE-2019-8848: Zhuo Liang z Qihoo 360 Vulcan Team
FaceTime
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: przetworzenie złośliwie spreparowanej zawartości wideo przy użyciu usługi FaceTime może doprowadzić do wykonania dowolnego kodu.
Opis: usunięto błąd odczytu spoza zakresu przez poprawienie procedury sprawdzania poprawności danych wejściowych.
CVE-2019-8830: natashenka z Google Project Zero
Jądro
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.
Opis: naprawiono błąd powodujący uszkodzenie pamięci przez usunięcie kodu związanego z luką w zabezpieczeniach.
CVE-2019-8833: Ian Beer z Google Project Zero
Jądro
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2019-8828: Cim Stordal z Cognite
CVE-2019-8838: Dr Silvio Cesare z InfoSect
libexpat
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: przeprowadzenie analizowania złośliwie spreparowanego pliku XML może doprowadzić do ujawnienia informacji o użytkowniku.
Opis: ten problem rozwiązano przez uaktualnienie do wersji expat 2.2.8.
CVE-2019-15903: Joonun Jang
libpcap
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: liczne błędy w bibliotece libpcap.
Opis: naprawiono liczne błędy przez uaktualnienie biblioteki libpcap do wersji 1.9.1.
CVE-2019-15161
CVE-2019-15162
CVE-2019-15163
CVE-2019-15164
CVE-2019-15165
Zabezpieczenia
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2019-8832: Insu Yun z SSLab w Georgia Tech
WebKit
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.
Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2019-8844: William Bowling (@wcbowling)
Dodatkowe podziękowania
Konta
Dziękujemy za pomoc następującym osobom: Allison Husain z UC Berkeley, Kishan Bagaria (KishanBagaria.com), Tom Snelling z Loughborough University.
Podstawowe dane
Dziękujemy za udzieloną pomoc: natashenka z Google Project Zero.
Przedstawione informacje dotyczące produktów, które nie zostały wyprodukowane przez firmę Apple, bądź niezależnych witryn internetowych, które nie są kontrolowane ani testowane przez firmę Apple, nie mają charakteru rekomendacji. Firma Apple nie ponosi odpowiedzialności za wybór, działanie lub wykorzystanie witryn bądź produktów innych firm. Firma Apple nie składa żadnych oświadczeń dotyczących dokładności ani wiarygodności witryn internetowych innych firm. Skontaktuj się z dostawcą, aby uzyskać dodatkowe informacje.