Uaktualnienia zabezpieczeń Apple
W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.
Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple. Komunikację z Apple można szyfrować za pomocą klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.
Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.
watchOS 5
Wydano 17 września 2018 r.
CFNetwork
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2018-4126: Bruno Keith (@bkth_) w ramach programu Zero Day Initiative firmy Trend Micro
Wpis dodano 30 października 2018 r.
CoreFoundation
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: złośliwa aplikacja może podwyższyć poziom uprawnień.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.
CVE-2018-4412: brytyjska organizacja National Cyber Security Centre (NCSC)
Wpis dodano 30 października 2018 r.
CoreFoundation
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: aplikacja może uzyskać podwyższony poziom uprawnień.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.
CVE-2018-4414: brytyjska organizacja National Cyber Security Centre (NCSC)
Wpis dodano 30 października 2018 r.
CoreText
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: przetworzenie złośliwie spreparowanego pliku tekstowego może doprowadzić do wykonania dowolnego kodu.
Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.
CVE-2018-4347: anonimowy badacz
Wpis dodano 30 października 2018 r.
dyld
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: złośliwa aplikacja może być w stanie zmodyfikować chronione części systemu plików.
Opis: naprawiono błąd z konfiguracją przez wprowadzenie dodatkowych ograniczeń.
CVE-2018-4433: Vitaly Cheptsov
Wpis dodano 22 stycznia 2019 r.
Grand Central Dispatch
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2018-4426: Brandon Azad
Wpis dodano 30 października 2018 r.
Heimdal
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2018-4331: Brandon Azad
CVE-2018-4332: Brandon Azad
CVE-2018-4343: Brandon Azad
Wpis dodano 30 października 2018 r.
IOHIDFamily
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.
CVE-2018-4408: Ian Beer z Google Project Zero
Wpis dodano 30 października 2018 r., uaktualniono 1 sierpnia 2019 r.
IOKit
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: złośliwa aplikacja może być w stanie wydostać się ze swojej piaskownicy.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2018-4341: Ian Beer z Google Project Zero
CVE-2018-4354: Ian Beer z Google Project Zero
Wpis dodano 30 października 2018 r.
IOKit
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury zarządzania stanem.
CVE-2018-4383: Apple
Wpis dodano 24 października 2018 r.
IOUserEthernet
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2018-4401: Apple
Wpis dodano 30 października 2018 r.
iTunes Store
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: osoba atakująca z uprzywilejowanym dostępem do sieci może być w stanie podrabiać monity haseł w sklepie iTunes Store.
Opis: usunięto błąd sprawdzania poprawności danych wejściowych przez poprawienie procedury sprawdzania poprawności danych wejściowych.
CVE-2018-4305: Jerry Decime
Jądro
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.
Opis: w jądrze występował błąd sprawdzania poprawności danych wejściowych. Ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności danych wejściowych.
CVE-2018-4363: Ian Beer z Google Project Zero
Jądro
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2018-4336: Brandon Azad
CVE-2018-4337: Ian Beer z Google Project Zero
CVE-2018-4340: Mohamed Ghannam (@_simo36)
CVE-2018-4344: brytyjska organizacja National Cyber Security Centre (NCSC)
CVE-2018-4425: cc w ramach programu Zero Day Initiative firmy Trend Micro, Juwei Lin (@panicaII) z Trend Micro w ramach programu Zero Day Initiative firmy Trend Micro
Wpis dodano 24 września 2018 r., uaktualniono 30 października 2018 r.
Jądro
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: złośliwa aplikacja może być w stanie ujawnić poufne informacje użytkownika.
Opis: w przypadku uprzywilejowanych odwołań do interfejsów API występował błąd dostępu. Ten błąd naprawiono przez wprowadzenie dodatkowych ograniczeń.
CVE-2018-4399: Fabiano Anemone (@anoane)
Wpis dodano 30 października 2018 r.
Jądro
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: atakująca osoba z uprzywilejowanym dostępem do sieci może być w stanie wykonać dowolny kod.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności.
CVE-2018-4407: Kevin Backhouse z Semmle Ltd.
Wpis dodano 30 października 2018 r.
Safari
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: lokalny użytkownik może być w stanie zobaczyć witryny odwiedzone przez użytkownika.
Opis: w procedurze obsługi migawek aplikacji występował problem ze spójnością. Ten problem rozwiązano przez poprawienie procedury obsługi migawek aplikacji.
CVE-2018-4313: 11 anonimowych badaczy, David Scott, Enes Mert Ulu z Abdullah Mürşide Özünenek Anadolu Lisesi — Ankara/Türkiye, Mehmet Ferit Daştan z Van Yüzüncü Yıl University, Metin Altug Karakaya z Kaliptus Medical Organization, Vinodh Swami z Western Governor's University (WGU)
Zabezpieczenia
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: osoba atakująca może być w stanie wykorzystać słabe punkty w algorytmie kryptograficznym RC4.
Opis: ten problem rozwiązano przez usunięcie algorytmu RC4.
CVE-2016-1777: Pepi Zawodsky
Zabezpieczenia
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: użytkownik lokalny może spowodować atak typu „odmowa usługi”.
Opis: ten błąd naprawiono przez poprawienie sprawdzania.
CVE-2018-4395: Patrick Wardle z Digita Security
Wpis dodano 30 października 2018 r.
Architektura objawów
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.
Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.
CVE-2018-4203: Bruno Keith (@bkth_) w ramach programu Zero Day Initiative firmy Trend Micro
Wpis dodano 30 października 2018 r.
Tekst
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: przetworzenie złośliwie spreparowanego pliku tekstowego mogło doprowadzić do ataku typu „odmowa usługi”.
Opis: rozwiązano problem z podatnością na atak typu „odmowa usługi” przez poprawienie procedury sprawdzania poprawności.
CVE-2018-4304: jianan.huang (@Sevck)
Wpis dodano 30 października 2018 r.
WebKit
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: złośliwie spreparowana witryna internetowa może powodować nieoczekiwane zachowanie związane z obsługą różnych źródeł.
Opis: w elementach iframe występował błąd obsługi różnych źródeł. Ten błąd rozwiązano przez poprawienie mechanizmu śledzenia źródeł informacji dotyczących zabezpieczeń.
CVE-2018-4319: John Pettitt z Google
Wpis dodano 24 września 2018 r.
WebKit
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.
Opis: naprawiono błąd powodujący zużycie pamięci przez poprawienie procedury obsługi pamięci.
CVE-2018-4361: wykryte przez OSS-Fuzz
CVE-2018-4474: wykryte przez OSS-Fuzz
Wpis dodano 24 września 2018 r., uaktualniono 22 stycznia 2019 r.
WebKit
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności.
CVE-2018-4191: wykryte przez OSS-Fuzz
Wpis dodano 24 września 2018 r.
WebKit
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: element SecurityErrors z różnych źródeł zawiera źródło ramki, do której uzyskano dostęp.
Opis: ten problem rozwiązano przez usunięcie informacji o źródle.
CVE-2018-4311: Erling Alf Ellingsen (@steike)
Wpis dodano 24 września 2018 r.
WebKit
Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli
Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.
Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2018-4299: Samuel Groβ (saelo) w ramach programu Zero Day Initiative firmy Trend Micro
CVE-2018-4359: Samuel Groß (@5aelo)
CVE-2018-4358: @phoenhex team (@bkth_ @5aelo @_niklasb) w ramach programu Zero Day Initiative firmy Trend Micro
Wpis dodano 24 września 2018 r.
Dodatkowe podziękowania
Podstawowe dane
Dziękujemy za udzieloną pomoc: Andreas Kurtz (@aykay) z NESO Security Labs GmbH.
Profile piaskownicy
Dziękujemy za udzieloną pomoc: Tencent Keen Security Lab w ramach programu Zero Day Initiative firmy Trend Micro.
SQLite
Dziękujemy za udzieloną pomoc: Andreas Kurtz (@aykay) z NESO Security Labs GmbH.
WebKit
Dziękujemy za udzieloną pomoc: Tencent Keen Security Lab w ramach programu Zero Day Initiative firmy Trend Micro.