Zawartość związana z zabezpieczeniami w systemie watchOS 3

Ten dokument zawiera informacje o zawartości związanej z zabezpieczeniami w systemie watchOS 3.

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.

Więcej informacji na temat zabezpieczeń można znaleźć na stronie Bezpieczeństwo produktów Apple. Komunikację z Apple można szyfrować za pomocą klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

watchOS 3

Dźwięk

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: osoba atakująca zdalnie może być w stanie wykonać dowolny kod.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2016-4702: YoungJin Yoon, MinSik Shin, HoJae Han, Sunghyun Park i Taekyoung Kwon z wydziału Information Security Lab uczelni Yonsei University

CFNetwork

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: przetwarzanie złośliwie spreparowanej zawartości internetowej może doprowadzić do naruszenia bezpieczeństwa informacji użytkownika.

Opis: w procedurze analizowania składni nagłówka set-cookie występował błąd sprawdzania poprawności danych wejściowych. Ten błąd naprawiono przez poprawienie mechanizmu sprawdzania poprawności.

CVE-2016-4708: Dawid Czagan z Silesia Security Lab

CoreCrypto

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod.

Opis: naprawiono błąd zapisu poza dozwolonym zakresem przez usunięcie kodu związanego z luką w zabezpieczeniach.

CVE-2016-4712: Gergo Koteles

FontParser

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: przetwarzanie złośliwie spreparowanej czcionki może spowodować ujawnienie pamięci procesowej.

Opis: w procedurze obsługi plików czcionek występowało przepełnienie buforu. Ten błąd naprawiono przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2016-4718: Apple

GeoServices

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: aplikacja może być w stanie odczytać poufne informacje o lokalizacji.

Opis: w danych dotyczących miejsca występował błąd uprawnień. Ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności uprawnień.

CVE-2016-4719: Razvan Deaconescu, Mihai Chiroiu (University POLITEHNICA of Bucharest); Luke Deshotels, William Enck (North Carolina State University); Lucas Vincenzo Davi, Ahmad-Reza Sadeghi (TU Darmstadt)

IOAcceleratorFamily

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: przetwarzanie złośliwie spreparowanej zawartości internetowej może doprowadzić do ujawnienia pamięci procesowej.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury walidacji danych wejściowych.

CVE-2016-4725: Rodger Combs z firmy Plex, Inc.

IOAcceleratorFamily

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2016-4726: anonimowy badacz

Jądro

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: osoba atakująca zdalnie może spowodować atak typu „odmowa usługi”.

Opis: naprawiono błąd obsługi blokady przez poprawienie mechanizmu obsługi blokady.

CVE-2016-4772: Marc Heuse z mh-sec

Jądro

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: aplikacja może być w stanie określić rozkład pamięci jądra.

Opis: występowało kilka błędów odczytu spoza zakresu, które mogły doprowadzić do ujawnienia rozkładu pamięci jądra. Te błędy naprawiono przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2016-4773: Brandon Azad

CVE-2016-4774: Brandon Azad

CVE-2016-4776: Brandon Azad

Jądro

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: użytkownik lokalny może wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2016-4775: Brandon Azad

Jądro

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd dereferencji niezaufanego wskaźnika przez usunięcie kodu związanego z luką w zabezpieczeniach.

CVE-2016-4777: Lufeng Li z Qihoo 360 Vulcan Team

Jądro

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2016-4778: CESG

libxml2

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: w bibliotece libxml2 występowało wiele błędów, z których najpoważniejsze mogą spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2016-4658: Nick Wellnhofer

CVE-2016-5131: Nick Wellnhofer

libxslt

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2016-4738: Nick Wellnhofer

Zabezpieczenia

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: w podpisanych obrazach dysków występował błąd sprawdzania poprawności. Ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności rozmiaru.

CVE-2016-4753: Mark Mentovai z Google Inc.

WebKit

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2016-4737: Apple

Menedżer Wi-Fi

Dostępne dla: wszystkich modeli zegarka Apple Watch

Zagrożenie: rozszerzenia aplikacji mogą uzyskać dostęp do Internetu.

Opis: podczas udostępniania sieci Wi-Fi wystąpiło wiele problemów dotyczących procedur wymuszania zasad. Te błędy rozwiązano przez poprawienie mechanizmu sprawdzania uprawnień.

CVE-2016-7699: Proteas z Qihoo 360 Nirvan Team