Zawartość związana z zabezpieczeniami w systemie watchOS 2.1
Ten dokument zawiera informacje o zawartości związanej z zabezpieczeniami w systemie watchOS 2.1.
W celu ochrony swoich klientów firma Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń zabezpieczeń przed ich pełnym zbadaniem i udostępnieniem wszelkich niezbędnych poprawek lub wersji oprogramowania. Więcej informacji o bezpieczeństwie produktów firmy Apple można znaleźć w witrynie Bezpieczeństwo produktów firmy Apple.
Informacje o kluczu PGP serwisu Bezpieczeństwo produktów firmy Apple zawiera artykuł Używanie klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.
Tam, gdzie jest to możliwe, w odniesieniu do luk w zabezpieczeniach są używane identyfikatory CVE, aby ułatwić uzyskanie dalszych informacji.
Informacje o innych uaktualnieniach zabezpieczeń zawiera artykuł Uaktualnienia zabezpieczeń firmy Apple.
watchOS 2.1
Piaskownica aplikacji
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: złośliwa aplikacja może zachować dostęp do kontaktów po cofnięciu tego dostępu.
Opis: w procedurze obsługi łączy stałych przez piaskownicę aplikacji występował błąd. Ten problem rozwiązano przez dodatkowe zabezpieczenie piaskownicy aplikacji.
Identyfikator CVE
CVE-2015-7001: Razvan Deaconescu i Mihai Bucicoiu z uczelni University POLITEHNICA of Bucharest; Luke Deshotels i William Enck z uczelni North Carolina State University; Lucas Vincenzo Davi i Ahmad-Reza Sadeghi z uczelni TU Darmstadt
Kompresja
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może doprowadzić do wykonania dowolnego kodu
Opis: w bibliotece zlib występował błąd dostępu do niezainicjowanej pamięci. Ten problem rozwiązano przez poprawienie mechanizmu inicjowania pamięci i zastosowanie dodatkowego sprawdzania poprawności strumieni zlib.
Identyfikator CVE
CVE-2015-7054: j00ru
CoreGraphics
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: przetworzenie złośliwie spreparowanego pliku czcionki może doprowadzić do wykonania dowolnego kodu.
Opis: w procedurze przetwarzania plików czcionek występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedury walidacji danych wejściowych.
Identyfikator CVE
CVE-2015-7105: John Villamil (@day6reak) z zespołu Yahoo Pentest Team
Odtwarzanie w aplikacji CoreMedia
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może doprowadzić do wykonania dowolnego kodu
Opis: w procedurze przetwarzania nieprawidłowych plików multimedialnych występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedur obsługi pamięci.
Identyfikator CVE
CVE-2015-7075
dyld
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi
Opis: w procesie dyld występował błąd sprawdzania poprawności segmentów. Ten błąd naprawiono przez poprawienie mechanizmu oczyszczania środowiska.
Identyfikator CVE
CVE-2015-7072: Apple
FontParser
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: przetworzenie złośliwie spreparowanego pliku czcionki może doprowadzić do wykonania dowolnego kodu.
Opis: w procedurze obsługi plików czcionek występowały liczne błędy powodujące uszkodzenie zawartości pamięci. Te błędy naprawiono przez poprawienie mechanizmu sprawdzania ograniczeń.
Identyfikator CVE
CVE-2015-6978: Jaanus Kp, Clarified Security, w ramach programu Zero Day Initiative firmy HP
GasGauge
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi
Opis: w jądrze występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedur obsługi pamięci.
Identyfikator CVE
CVE-2015-6979: PanguTeam
ImageIO
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.
Opis: w klasie ImageIO występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedur obsługi pamięci.
Identyfikator CVE
CVE-2015-7053: Apple
IOHIDFamily
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi
Opis: w rozszerzeniu IOHIDFamily występowały liczne błędy powodujące uszkodzenie zawartości pamięci. Te błędy naprawiono przez poprawienie obsługi pamięci.
Identyfikator CVE
CVE-2015-7111: użytkownicy beist i ABH z organizacji BoB
CVE-2015-7112: Ian Beer z grupy Google Project Zero
IOKit SCSI
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.
Opis: procedura obsługi niektórych typów klienta użytkownika zawierała dereferencję do wskaźnika null. Ten błąd naprawiono przez poprawienie procedury walidacji.
Identyfikator CVE
CVE-2015-7068: Ian Beer z grupy Google Project Zero
Jądro
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: aplikacja lokalna może spowodować atak typu „odmowa usługi”.
Opis: poprawiono obsługę pamięci w celu wyeliminowania wielu problemów mogących prowadzić do ataków typu „odmowa usługi”.
Identyfikator CVE
CVE-2015-7040: Lufeng Li z grupy Qihoo 360 Vulcan Team
CVE-2015-7041: Lufeng Li z grupy Qihoo 360 Vulcan Team
CVE-2015-7042: Lufeng Li z grupy Qihoo 360 Vulcan Team
CVE-2015-7043: Tarjei Mandt (@kernelpool)
Jądro
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: użytkownik lokalny może wykonać dowolny kod z uprawnieniami jądra.
Opis: w procedurze analizowania komunikatów mach występował błąd. Ten problem rozwiązano przez ulepszenie procedury sprawdzania poprawności komunikatów mach.
Identyfikator CVE
CVE-2015-7047: Ian Beer z grupy Google Project Zero
Jądro
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: użytkownik lokalny może wykonać dowolny kod z uprawnieniami jądra.
Opis: w jądrze występowały liczne błędy powodujące uszkodzenie zawartości pamięci. Te błędy naprawiono przez poprawienie obsługi pamięci.
Identyfikator CVE
CVE-2015-7083: Ian Beer z grupy Google Project Zero
CVE-2015-7084: Ian Beer z grupy Google Project Zero
Usługi uruchamiania
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi
Opis: w procedurze przetwarzania nieprawidłowych plików plist występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedur obsługi pamięci.
Identyfikator CVE
CVE-2015-7113: Olivier Goguel z organizacji Free Tools Association
libarchive
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może doprowadzić do wykonania dowolnego kodu
Opis: w procedurze przetwarzania archiwów występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedur obsługi pamięci.
Identyfikator CVE
CVE-2011-2895: @practicalswift
Biblioteka libc
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: przetworzenie złośliwie spreparowanego pakietu może doprowadzić do wykonania dowolnego kodu.
Opis: w bibliotece standardowej języka C występowało szereg błędów przepełnienia bufora. Te błędy naprawiono przez poprawienie mechanizmu sprawdzania ograniczeń.
Identyfikator CVE
CVE-2015-7038: Brian D. Wells z firmy E. W. Scripps, Narayan Subramanian z firmy Symantec Corporation/Veritas LLC
CVE-2015-7039 : Maksymilian Arciemowicz (CXSECURITY.COM)
Pozycja uaktualniona 3 marca 2017 r.
mDNSResponder
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: aplikacja lokalna może spowodować atak typu „odmowa usługi”.
Opis: błąd dereferencji wskaźnika null został naprawiony przez poprawienie procedury obsługi pamięci.
Identyfikator CVE
CVE-2015-7988: Alexandre Helie
OpenGL
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może doprowadzić do wykonania dowolnego kodu
Opis: w bibliotece OpenGL występowały liczne błędy powodujące uszkodzenie zawartości pamięci. Te błędy naprawiono przez poprawienie obsługi pamięci.
Identyfikator CVE
CVE-2015-7064: Apple
CVE-2015-7066: Tongbo Luo i Bo Qu z firmy Palo Alto Networks
Piaskownica
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: złośliwa aplikacja z uprawnieniami root może ominąć mechanizm losowego wybierania układu przestrzeni adresowej jądra.
Opis: w bibliotece xnu występował błąd niedostatecznego oddzielania uprawnień. Ten problem rozwiązano przez poprawienie procedury sprawdzania autoryzacji.
Identyfikator CVE
CVE-2015-7046: Apple
Zabezpieczenia
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: atakujący zdalnie może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu
Opis: w procedurze obsługi uzgadniania SSL występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedur obsługi pamięci.
Identyfikator CVE
CVE-2015-7073: Benoit Foucher z firmy ZeroC, Inc.
Zabezpieczenia
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: przetworzenie złośliwie spreparowanego certyfikatu może doprowadzić do wykonania dowolnego kodu.
Opis: w dekoderze ASN.1 występowały liczne błędy powodujące uszkodzenie zawartości pamięci. Te problemy rozwiązano przez poprawienie procedury sprawdzania poprawności danych wejściowych
Identyfikator CVE
CVE-2015-7059: David Keeler z firmy Mozilla
CVE-2015-7060: Tyson Smith z firmy Mozilla
CVE-2015-7061: Ryan Sleevi z firmy Google
Zabezpieczenia
Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès
Zagrożenie: ocena zaufania, którą skonfigurowano w celu sprawdzania odwołania, może zakończyć się powodzeniem nawet w przypadku niepowodzenia sprawdzania odwołania.
Opis: flaga kSecRevocationRequirePositiveResponse była określona, ale nie została zaimplementowana. Ten problem rozwiązano przez zaimplementowanie flagi.
Identyfikator CVE
CVE-2015-6997: Apple
Przedstawione informacje dotyczące produktów, które nie zostały wyprodukowane przez firmę Apple, bądź niezależnych witryn internetowych, które nie są kontrolowane ani testowane przez firmę Apple, nie mają charakteru rekomendacji. Firma Apple nie ponosi odpowiedzialności za wybór, działanie lub wykorzystanie witryn bądź produktów innych firm. Firma Apple nie składa żadnych oświadczeń dotyczących dokładności ani wiarygodności witryn internetowych innych firm. Skontaktuj się z dostawcą, aby uzyskać dodatkowe informacje.