Zawartość związana z zabezpieczeniami w systemie watchOS 5

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemie watchOS 5.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple. Komunikację z Apple można szyfrować za pomocą klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

watchOS 5

Wydano 17 września 2018 r.

CFNetwork

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4126: Bruno Keith (@bkth_) w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 30 października 2018 r.

CoreFoundation

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: złośliwa aplikacja może podwyższyć poziom uprawnień.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2018-4412: brytyjska organizacja National Cyber Security Centre (NCSC)

Wpis dodano 30 października 2018 r.

CoreFoundation

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: aplikacja może uzyskać podwyższony poziom uprawnień.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2018-4414: brytyjska organizacja National Cyber Security Centre (NCSC)

Wpis dodano 30 października 2018 r.

CoreText

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego pliku tekstowego może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.

CVE-2018-4347: anonimowy badacz

Wpis dodano 30 października 2018 r.

dyld

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: lokalny użytkownik może być w stanie zmodyfikować chronione części systemu plików.

Opis: naprawiono błąd z konfiguracją przez wprowadzenie dodatkowych ograniczeń.

CVE-2018-4433: Vitaly Cheptsov

Wpis dodano 22 stycznia 2019 r.

Grand Central Dispatch

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4426: Brandon Azad

Wpis dodano 30 października 2018 r.

Heimdal

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4331: Brandon Azad

CVE-2018-4332: Brandon Azad

CVE-2018-4343: Brandon Azad

Wpis dodano 30 października 2018 r.

IOHIDFamily

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych

CVE-2018-4408: Ian Beer z Google Project Zero

Wpis dodano 30 października 2018 r.

IOKit

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: złośliwa aplikacja może być w stanie wydostać się ze swojej piaskownicy.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4341: Ian Beer z Google Project Zero

CVE-2018-4354: Ian Beer z Google Project Zero

Wpis dodano 30 października 2018 r.

IOKit

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury zarządzania stanem.

CVE-2018-4383: Apple

Wpis dodano 24 października 2018 r.

IOUserEthernet    

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4401: Apple

Wpis dodano 30 października 2018 r.

iTunes Store

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: osoba atakująca z uprzywilejowanym dostępem do sieci może być w stanie podrabiać monity haseł w sklepie iTunes Store.

Opis: usunięto błąd sprawdzania poprawności danych wejściowych przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2018-4305: Jerry Decime

Jądro

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.

Opis: w jądrze występował błąd sprawdzania poprawności danych wejściowych. Ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2018-4363: Ian Beer z Google Project Zero

Jądro

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4336: Brandon Azad

CVE-2018-4337: Ian Beer z Google Project Zero

CVE-2018-4340: Mohamed Ghannam (@_simo36)

CVE-2018-4344: brytyjska organizacja National Cyber Security Centre (NCSC)

CVE-2018-4425: cc w ramach programu Zero Day Initiative firmy Trend Micro, Juwei Lin (@panicaII) z Trend Micro w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 24 września 2018 r., uaktualniono 30 października 2018 r.

Jądro

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: złośliwa aplikacja może być w stanie ujawnić poufne informacje użytkownika.

Opis: w przypadku uprzywilejowanych odwołań do interfejsów API występował błąd dostępu. Ten błąd naprawiono przez wprowadzenie dodatkowych ograniczeń.

CVE-2018-4399: Fabiano Anemone (@anoane)

Wpis dodano 30 października 2018 r.

Jądro

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: atakująca osoba z uprzywilejowanym dostępem do sieci może być w stanie wykonać dowolny kod.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności.

CVE-2018-4407: Kevin Backhouse z Semmle Ltd.

Wpis dodano 30 października 2018 r.

Safari

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: lokalny użytkownik może być w stanie zobaczyć witryny odwiedzone przez użytkownika.

Opis: w procedurze obsługi migawek aplikacji występował problem ze spójnością. Ten problem rozwiązano przez poprawienie procedury obsługi migawek aplikacji.

CVE-2018-4313: 11 anonimowych badaczy, David Scott, Enes Mert Ulu z Abdullah Mürşide Özünenek Anadolu Lisesi — Ankara/Türkiye, Mehmet Ferit Daştan z Van Yüzüncü Yıl University, Metin Altug Karakaya z Kaliptus Medical Organization, Vinodh Swami z Western Governor's University (WGU)

Zabezpieczenia

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: osoba atakująca może być w stanie wykorzystać słabe punkty w algorytmie kryptograficznym RC4.

Opis: ten problem rozwiązano przez usunięcie algorytmu RC4.

CVE-2016-1777: Pepi Zawodsky

Zabezpieczenia

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: użytkownik lokalny może spowodować atak typu „odmowa usługi”.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2018-4395: Patrick Wardle z Digita Security

Wpis dodano 30 października 2018 r.

Architektura objawów

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2018-4203: Bruno Keith (@bkth_) w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 30 października 2018 r.

Tekst

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego pliku tekstowego mogło doprowadzić do ataku typu „odmowa usługi”.

Opis: rozwiązano problem z podatnością na atak typu „odmowa usługi” przez poprawienie procedury sprawdzania poprawności.

CVE-2018-4304: jianan.huang (@Sevck)

Wpis dodano 30 października 2018 r.

WebKit

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: złośliwie spreparowana witryna internetowa może powodować nieoczekiwane zachowanie związane z obsługą różnych źródeł.

Opis: w elementach iframe występował błąd obsługi różnych źródeł. Ten błąd rozwiązano przez poprawienie mechanizmu śledzenia źródeł informacji dotyczących zabezpieczeń.

CVE-2018-4319: John Pettitt z Google

Wpis dodano 24 września 2018 r.

WebKit

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.

Opis: naprawiono błąd powodujący zużycie pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4361: wykryte przez OSS-Fuzz

CVE-2018-4474: wykryte przez OSS-Fuzz

Wpis dodano 24 września 2018 r., uaktualniono 22 stycznia 2019 r.

WebKit

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności.

CVE-2018-4191: wykryte przez OSS-Fuzz

Wpis dodano 24 września 2018 r.

WebKit

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: element SecurityErrors z różnych źródeł zawiera źródło ramki, do której uzyskano dostęp.

Opis: ten problem rozwiązano przez usunięcie informacji o źródle.

CVE-2018-4311: Erling Alf Ellingsen (@steike)

Wpis dodano 24 września 2018 r.

WebKit

Dostępne dla: zegarka Apple Watch Series 1 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4299: Samuel Groβ (saelo) w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2018-4359: Samuel Groß (@5aelo)

CVE-2018-4358: @phoenhex team (@bkth_ @5aelo @_niklasb) w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 24 września 2018 r.

Dodatkowe podziękowania

Podstawowe dane

Dziękujemy za udzieloną pomoc: Andreas Kurtz (@aykay) z NESO Security Labs GmbH.

Profile piaskownicy

Dziękujemy za udzieloną pomoc: Tencent Keen Security Lab w ramach programu Zero Day Initiative firmy Trend Micro.

SQLite

Dziękujemy za udzieloną pomoc: Andreas Kurtz (@aykay) z NESO Security Labs GmbH.

WebKit

Dziękujemy za udzieloną pomoc: Tencent Keen Security Lab w ramach programu Zero Day Initiative firmy Trend Micro.

Informacje o produktach niewytworzonych przez Apple lub o niezależnych witrynach internetowych, których Apple nie kontroluje ani nie testuje, są udostępniane bez żadnej rekomendacji ani poparcia. Apple nie ponosi żadnej odpowiedzialności za wybór, działanie lub wykorzystanie takich witryn lub produktów innych firm. Apple nie składa żadnych oświadczeń dotyczących dokładności lub wiarygodności witryn internetowych innych firm. Ryzyko jest wpisane w korzystanie z Internetu. Skontaktuj się z dostawcą, aby uzyskać więcej informacji. Pozostałe nazwy firm i produktów mogą być znakami towarowymi odpowiednich podmiotów.

Data publikacji: