Zawartość związana z zabezpieczeniami w systemie watchOS 7.4

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemie watchOS 7.4.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.

watchOS 7.4

Wydano 26 kwietnia 2021 r.

AppleMobileFileIntegrity

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwa aplikacja może obejść preferencje prywatności.

Opis: usunięto błąd sprawdzania poprawności podpisu kodu przez poprawienie sprawdzania.

CVE-2021-1849: Siguza

Audio

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności.

CVE-2021-1808: JunDong Xie z Ant Security Light-Year Lab

CFNetwork

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetwarzanie złośliwie spreparowanej zawartości internetowej może ujawnić poufne informacje użytkownika.

Opis: naprawiono błąd inicjowania pamięci przez poprawienie procedury obsługi pamięci.

CVE-2021-1857: anonimowy badacz

Compression

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: usunięto błąd odczytu spoza zakresu przez poprawienie procedury sprawdzania poprawności danych wejściowych

Opis: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.

CVE-2021-30752: Ye Zhang (@co0py_Cat) z firmy Baidu Security

Wpis dodano 21 lipca 2021 r.

CoreAudio

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego pliku może doprowadzić do wykonania dowolnego kodu.

Opis: usunięto błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-30664: JunDong Xie z Ant Security Light-Year Lab

Wpis dodano 6 maja 2021 r.

CoreAudio

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego pliku audio może spowodować ujawnienie zastrzeżonej pamięci.

Opis: usunięto błąd odczytu spoza zakresu przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2021-1846: JunDong Xie z Ant Security Light-Year Lab

CoreAudio

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwa aplikacja może odczytać pamięć zastrzeżoną.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności.

CVE-2021-1809: JunDong Xie z Ant Security Light-Year Lab

CoreFoundation

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwa aplikacja może być w stanie ujawnić poufne informacje użytkownika.

Opis: usunięto błąd sprawdzania poprawności przez poprawienie logiki sprawdzania.

CVE-2021-30659: Thijs Alkemade z Computest

CoreText

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetwarzanie złośliwie spreparowanej czcionki może spowodować ujawnienie pamięci procesowej.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

CVE-2021-1811: Xingwei Lin z Ant Security Light-Year Lab

FaceTime

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: wyciszenie połączenia CallKit podczas dzwonienia może nie skutkować włączeniem wyciszenia

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

CVE-2021-1872: Siraj Zaneer z Facebooka

FontParser

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego pliku czcionki może doprowadzić do wykonania dowolnego kodu.

Opis: usunięto błąd odczytu spoza zakresu przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2021-1881: anonimowy badacz, Xingwei Lin z Ant Security Light-Year Lab, Mickey Jin z Trend Micro i Hou JingYi (@hjy79425575) z Qihoo 360

Foundation

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: aplikacja może uzyskać podwyższony poziom uprawnień.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności.

CVE-2021-1882: Gabe Kirkpatrick (@gabe_k)

Foundation

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie uzyskać uprawnienia użytkownika root.

Opis: usunięto błąd sprawdzania poprawności przez poprawienie logiki sprawdzania.

CVE-2021-1813: Cees Elzinga

Heimdal

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetwarzanie złośliwie spreparowanych wiadomości serwera mogło doprowadzić do uszkodzenia sterty.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2021-1883: Gabe Kirkpatrick (@gabe_k)

Heimdal

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: osoba atakująca zdalnie może spowodować atak typu „odmowa usługi”.

Opis: usunięto sytuację wyścigu przez poprawienie mechanizmu blokowania.

CVE-2021-1884: Gabe Kirkpatrick (@gabe_k)

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2021-1880: Xingwei Lin z Ant Security Light-Year Lab

CVE-2021-30653: Ye Zhang z Baidu Security

CVE-2021-1814: Ye Zhang z Baidu Security, Mickey Jin i Qi Sun z Trend Micro oraz Xingwei Lin z Ant Security Light-Year Lab

CVE-2021-1843: Ye Zhang z Baidu Security

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-1885: CFF z Topsec Alpha Team

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.

Opis: usunięto błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-1858: Mickey Jin z Trend Micro

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: usunięto błąd zapisu poza zakresem przez poprawienie procedury sprawdzania poprawności danych wejściowych

Opis: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.

CVE-2021-30743: Ye Zhang (@co0py_Cat) z Baidu Security, Jzhu w ramach programu Zero Day Initiative firmy Trend Micro, Xingwei Lin z Ant Security Light-Year Lab, CFF z Topsec Alpha Team, Jeonghoon Shin (@singi21a) z THEORI w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 21 lipca 2021 r.

ImageIO

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: ten błąd naprawiono przez poprawienie sprawdzania

Opis: przetworzenie złośliwie spreparowanego pliku może doprowadzić do wykonania dowolnego kodu.

CVE-2021-30764: anonimowy użytkownik w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 21 lipca 2021 r.

iTunes Store

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: osoba atakująca za pomocą wykonania JavaScript może być w stanie wykonać dowolny kod.

Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.

CVE-2021-1864: CodeColorist z Ant-Financial LightYear Labs

Kernel

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwa aplikacja może być w stanie ujawnić pamięć jądra

Opis: naprawiono błąd inicjowania pamięci przez poprawienie procedury obsługi pamięci.

CVE-2021-1860: @0xalsr

Kernel

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: usunięto błąd przepełnienia buforu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-1816: Tielei Wang z Pangu Lab

Kernel

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

CVE-2021-1851: @0xalsr

Kernel

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: skopiowane pliki mogą nie mieć oczekiwanych uprawnień.

Opis: błąd naprawiono przez poprawienie procedur obsługi procesów logicznych uprawnień.

CVE-2021-1832: anonimowy badacz

Kernel

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwa aplikacja może być w stanie ujawnić pamięć jądra

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-30660: Alex Plaskett

libxpc

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie uzyskać uprawnienia użytkownika root.

Opis: usunięto sytuację wyścigu przez wprowadzenie dodatkowego sprawdzania poprawności.

CVE-2021-30652: James Hutchins

libxslt

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego pliku mogło doprowadzić do uszkodzenia sterty.

Opis: naprawiono błąd dwukrotnego zwolnienia pamięci przez poprawienie procedury zarządzania pamięcią.

CVE-2021-1875: wykryte przez OSS-Fuzz

MobileInstallation

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: lokalny użytkownik może być w stanie zmodyfikować chronione części systemu plików.

Opis: naprawiono błąd logiczny przez poprawienie ograniczeń.

CVE-2021-1822: Bruno Virlet z The Grizzly Labs

Preferences

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: lokalny użytkownik może być w stanie zmodyfikować chronione części systemu plików.

Opis: poprawiono mechanizm sprawdzania poprawności ścieżek w celu naprawiono błędu analizy składniowej w obsłudze ścieżek katalogowych.

CVE-2021-1815: Zhipeng Huo (@R3dF09) i Yuebin Sun (@yuebinsun2020) z Tencent Security Xuanwu Lab (xlab.tencent.com)

CVE-2021-1739: Zhipeng Huo (@R3dF09) i Yuebin Sun (@yuebinsun2020) z Tencent Security Xuanwu Lab (xlab.tencent.com)

CVE-2021-1740: Zhipeng Huo (@R3dF09) i Yuebin Sun (@yuebinsun2020) z Tencent Security Xuanwu Lab (xlab.tencent.com)

Safari

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: użytkownik lokalny może być w stanie zapisywać dowolne pliki.

Opis: naprawiono błąd sprawdzania poprawności przez poprawienie mechanizmu oczyszczania danych wejściowych.

CVE-2021-1807: David Schütz (@xdavidhu)

Tailspin

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: lokalny atakujący może być w stanie podwyższyć swój poziom uprawnień.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

CVE-2021-1868: Tim Michaud z Zoom Communications

WebKit

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może spowodować atak XSS (cross-site-scripting).

Opis: usunięto błąd sprawdzania poprawności danych wejściowych przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2021-1825: Alex Camboe z Aon’s Cyber Solutions

WebKit

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury zarządzania stanem.

CVE-2021-1817: zhunki

Wpis uaktualniono 6 maja 2021 r.

WebKit

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może spowodować atak UXSS (universal cross site scripting).

Opis: naprawiono błąd logiczny przez poprawienie ograniczeń.

CVE-2021-1826: anonimowy badacz

WebKit

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetwarzanie złośliwie spreparowanej zawartości internetowej może doprowadzić do ujawnienia pamięci procesowej.

Opis: naprawiono błąd inicjowania pamięci przez poprawienie procedury obsługi pamięci.

CVE-2021-1820: André Bargull

Wpis uaktualniono 6 maja 2021 r.

WebKit Storage

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu. Apple ma świadomość, że problem mógł być aktywnie wykorzystywany.

Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.

CVE-2021-30661: yangkang(@dnpushme) z 360 ATA

WebRTC

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią

Opis: osoba atakująca zdalnie może być w stanie spowodować nieoczekiwane zamknięcie systemu lub uszkodzenie zawartości pamięci jądra.

CVE-2020-7463: Megan2013678

Wpis dodano 21 lipca 2021 r.

Wi-Fi

Dostępne dla: zegarka Apple Watch Series 3 i nowszych modeli

Zagrożenie: naprawiono błąd logiczny przez poprawienie zarządzania stanem

Opis: przepełnienie buforu może spowodować wykonanie dowolnego kodu.

CVE-2021-1770: Jiska Classen (@naehrdine) z Secure Mobile Networking Lab, TU Darmstadt

Wpis dodano 21 lipca 2021 r.

Dodatkowe podziękowania

AirDrop

Dziękujemy za udzieloną pomoc: @maxzks.

CoreAudio

Dziękujemy anonimowemu badaczowi za pomoc.

CoreCrypto

Dziękujemy za udzieloną pomoc: Andy Russon z Orange Group.

File Bookmark

Dziękujemy anonimowemu badaczowi za pomoc.

Foundation

Następujące osoby otrzymują podziękowania za udzieloną pomoc: CodeColorist z Ant-Financial LightYear Labs.

Kernel

Dziękujemy za udzieloną pomoc: Antonio Frighetto z Politechniki Mediolańskiej, GRIMM, Keyu Man, Zhiyun Qian, Zhongjie Wang, Xiaofeng Zheng, Youjun Huang, Haixin Duan, Mikko Kenttälä (@Turmio_) z SensorFu, Proteas, a także Tielei Wang z Pangu Lab.

Security

Dziękujemy za udzieloną pomoc: Xingwei Lin z Ant Security Light-Year Lab oraz john (@nyan_satan).

sysdiagnose

Dziękujemy za udzieloną pomoc: Tim Michaud (@TimGMichaud) z Leviathan.

WebKit

Dziękujemy za udzieloną pomoc: Emilio Cobos Álvarez z Mozilla.

Przedstawione informacje dotyczące produktów, które nie zostały wyprodukowane przez firmę Apple, bądź niezależnych witryn internetowych, które nie są kontrolowane ani testowane przez firmę Apple, nie mają charakteru rekomendacji. Firma Apple nie ponosi odpowiedzialności za wybór, działanie lub wykorzystanie witryn bądź produktów innych firm. Firma Apple nie składa żadnych oświadczeń dotyczących dokładności ani wiarygodności witryn internetowych innych firm. Skontaktuj się z dostawcą, aby uzyskać dodatkowe informacje.

Data publikacji: