Zawartość związana z zabezpieczeniami w systemie watchOS 7.3

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemie watchOS 7.3.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.

watchOS 7.3

Wydano 26 stycznia 2021 r.

Analizy

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: osoba atakująca zdalnie może spowodować atak typu „odmowa usługi”.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2021-1761: Cees Elzinga

Wpis dodano 1 lutego 2021 r.

APFS

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: użytkownik lokalny może być w stanie odczytywać dowolne pliki.

Opis: błąd naprawiono przez poprawienie procedur obsługi procesów logicznych uprawnień.

CVE-2021-1797: Thomas Tempelmann

Wpis dodano 1 lutego 2021 r.

CoreAnimation

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwie spreparowana aplikacja mogła wykonać dowolny kod i doprowadzić w ten sposób do ujawnienia informacji o użytkowniku.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury zarządzania stanem.

CVE-2021-1760: @S0rryMybad z 360 Vulcan Team

Wpis dodano 1 lutego 2021 r.

CoreAudio

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania kodu.

Opis: usunięto błąd zapisu poza zakresem przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2021-1747: JunDong Xie z Ant Security Light-Year Lab

Wpis dodano 1 lutego 2021 r.

CoreGraphics

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego pliku czcionki może doprowadzić do wykonania dowolnego kodu.

Opis: usunięto błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-1776: Ivan Fratric z Google Project Zero

Wpis dodano 1 lutego 2021 r.

CoreText

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego pliku tekstowego może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd przepełnienia stosu przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2021-1772: Mickey Jin z Trend Micro w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 1 lutego 2021 r., uaktualniono 16 marca 2021 r.

CoreText

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: osoba atakująca zdalnie może spowodować wykonanie dowolnego kodu.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-1792: Mickey Jin i Junzhi Lu z Trend Micro w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 1 lutego 2021 r., uaktualniono 16 marca 2021 r.

Crash Reporter

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: użytkownik lokalny może być w stanie tworzyć lub modyfikować pliki systemowe.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

CVE-2021-1786: Csaba Fitzl (@theevilbit) z Offensive Security

Wpis dodano 1 lutego 2021 r.

Crash Reporter

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: lokalny atakujący może być w stanie podwyższyć swój poziom uprawnień.

Opis: rozwiązano wiele problemów przez poprawienie logiki.

CVE-2021-1787: James Hutchins

Wpis dodano 1 lutego 2021 r.

FairPlay

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwa aplikacja może być w stanie ujawnić pamięć jądra

Opis: występował błąd odczytu spoza zakresu, który mógł doprowadzić do ujawnienia rozkładu pamięci jądra. Ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2021-1791: Junzhi Lu (@pwn0rz), Qi Sun i Mickey Jin z Trend Micro w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 1 lutego 2021 r., uaktualniono 16 marca 2021 r.

FontParser

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: osoba atakująca zdalnie może spowodować wykonanie dowolnego kodu.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-1758: Peter Nguyen ze STAR Labs

Wpis dodano 1 lutego 2021 r.

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: osoba atakująca zdalnie może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

CVE-2021-1818: Xingwei Lin (Ant-financial Light-Year Security Lab)

Wpis dodano 16 marca 2021 r.

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do ataku typu „odmowa usługi”.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

CVE-2021-1773: Xingwei Lin z Ant Security Light-Year Lab

Wpis dodano 1 lutego 2021 r.

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do ataku typu „odmowa usługi”.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2021-1766: Danny Rosseau z Carve Systems

Wpis dodano 1 lutego 2021 r.

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.

Opis: usunięto błąd odczytu spoza zakresu przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2021-1785: Xingwei Lin z Ant Security Light-Year Lab

Wpis dodano 1 lutego 2021 r.

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.

Opis: usunięto błąd zapisu poza zakresem przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2021-1744: Xingwei Lin z Ant Security Light-Year Lab

Wpis dodano 1 lutego 2021 r.

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: osoba atakująca zdalnie może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

CVE-2021-1818: Xingwei Lin (Ant-financial Light-Year Security Lab)

Wpis dodano 1 lutego 2021 r.

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2021-1742: Xingwei Lin z Ant Security Light-Year Lab

CVE-2021-1746: Jeonghoon Shin(@singi21a) z THEORI, Mickey Jin i Qi Sun z Trend Micro w ramach programu Zero Day Initiative firmy Trend Micro, Xingwei Lin z Ant Security Light-Year Lab

CVE-2021-1754: Xingwei Lin z Ant Security Light-Year Lab

CVE-2021-1774: Xingwei Lin z Ant Security Light-Year Lab

CVE-2021-1777: Xingwei Lin z Ant Security Light-Year Lab

CVE-2021-1793: Xingwei Lin z Ant Security Light-Year Lab

Wpis dodano 1 lutego 2021 r., uaktualniono 16 marca 2021 r.

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-1741: Xingwei Lin z Ant Security Light-Year Lab

CVE-2021-1743: Mickey Jin i Junzhi Lu z Trend Micro w ramach programu Zero Day Initiative firmy Trend Micro, Xingwei Lin z Ant Security Light-Year Lab

Wpis dodano 1 lutego 2021 r., uaktualniono 16 marca 2021 r.

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do ataku typu „odmowa usługi”.

Opis: w składnikach curl występował błąd odczytu spoza zakresu. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-1778: Xingwei Lin z Ant Security Light-Year Lab

Wpis dodano 1 lutego 2021 r.

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.

Opis: problem z dostępem rozwiązano przez poprawienie procedur zarządzania pamięcią.

CVE-2021-1783: Xingwei Lin z Ant Security Light-Year Lab

Wpis dodano 1 lutego 2021 r.

IOSkywalkFamily

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: lokalny atakujący może być w stanie podwyższyć swój poziom uprawnień.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-1757: Proteas i Pan ZhenPeng (@Peterpan0927) z Alibaba Security

Wpis dodano 1 lutego 2021 r.

iTunes Store

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego adresu URL może doprowadzić do wykonania dowolnego kodu javascript.

Opis: naprawiono błąd sprawdzania poprawności przez poprawienie mechanizmu oczyszczania danych wejściowych.

CVE-2021-1748: CodeColorist w ramach Ant Security Light-Year Labs

Wpis dodano 1 lutego 2021 r., uaktualniono 16 marca 2021 r.

Jądro

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: osoba atakująca zdalnie może spowodować atak typu „odmowa usługi”.

Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.

CVE-2021-1764: @m00nbsd

Wpis dodano 1 lutego 2021 r., uaktualniono 16 marca 2021 r.

Jądro

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: rozwiązano wiele problemów przez poprawienie logiki.

CVE-2021-1750: @0xalsr

Wpis dodano 1 lutego 2021 r.

Jądro

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwa aplikacja może zdobyć podwyższone uprawnienia.. Firma Apple ma świadomość, że problem mógł być aktywnie wykorzystywany.

Opis: usunięto sytuację wyścigu przez poprawienie mechanizmu blokowania.

CVE-2021-1782: anonimowy badacz

Swift

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwy atakujący mający możliwość dowolnego odczytu i zapisu może być w stanie ominąć identyfikację wskaźnika (Pointer Authentication).

Opis: usunięto błąd logiczny przez poprawienie procedury sprawdzania poprawności.

CVE-2021-1769: CodeColorist z Ant-Financial Light-Year Labs

Wpis dodano 1 lutego 2021 r.

WebKit

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.

CVE-2021-1788: Francisco Alonso (@revskills)

Wpis dodano 1 lutego 2021 r., uaktualniono 16 marca 2021 r.

WebKit

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd nieprawidłowego rozpoznawania pamięci przez poprawienie procedury obsługi pamięci.

CVE-2021-1789: @S0rryMybad z 360 Vulcan Team

Wpis dodano 1 lutego 2021 r.

WebKit

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwie spreparowana zawartość internetowa może naruszać zasady piaskownicy iframe.

Opis: ten błąd naprawiono przez poprawienie wymuszania piaskownicy iframe.

CVE-2021-1801: Eliya Stein z Confiant

Wpis dodano 1 lutego 2021 r.

WebRTC

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwa witryna może uzyskać dostęp do objętych ograniczeniami portów na dowolnych serwerach.

Opis: rozwiązano problem z przekierowywaniem portów przez wprowadzenie dodatkowego sprawdzania poprawności portów.

CVE-2021-1799: Gregory Vishnepolsky i Ben Seri z Armis Security oraz Samy Kamkar

Wpis dodano 1 lutego 2021 r.

Dodatkowe podziękowania

iTunes Store

Następujące osoby otrzymują podziękowania za udzieloną pomoc: CodeColorist z Ant-Financial Light-Year Labs.

Wpis dodano 1 lutego 2021 r.

Jądro

Dziękujemy za udzieloną pomoc: Junzhi Lu (@pwn0rz), Mickey Jin i Jesse Change z Trend Micro.

Wpis dodano 1 lutego 2021 r.

libpthread

Następujące osoby otrzymują podziękowania za udzieloną pomoc: CodeColorist z Ant-Financial Light-Year Labs.

Wpis dodano 1 lutego 2021 r.

Store Demo

Dziękujemy za udzieloną pomoc: @08Tc3wBB.

Wpis dodano 1 lutego 2021 r.

Przedstawione informacje dotyczące produktów, które nie zostały wyprodukowane przez firmę Apple, bądź niezależnych witryn internetowych, które nie są kontrolowane ani testowane przez firmę Apple, nie mają charakteru rekomendacji. Firma Apple nie ponosi odpowiedzialności za wybór, działanie lub wykorzystanie witryn bądź produktów innych firm. Firma Apple nie składa żadnych oświadczeń dotyczących dokładności ani wiarygodności witryn internetowych innych firm. Skontaktuj się z dostawcą, aby uzyskać dodatkowe informacje.

Data publikacji: