Zawartość związana z zabezpieczeniami w systemie watchOS 10.2

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemie watchOS 10.2.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.

watchOS 10.2

Accessibility

Dostępne dla: zegarka Apple Watch Series 4 i nowszych modeli

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: rozwiązano problem z prywatnością przez poprawienie redagowania prywatnych danych we wpisach dziennika.

CVE-2023-42937: Noah Roskin-Frazee i Prof. J. (ZeroClicks.ai Lab)

Accounts

Dostępne dla: zegarka Apple Watch Series 4 i nowszych modeli

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: rozwiązano problem z prywatnością przez poprawienie redagowania prywatnych danych we wpisach dziennika.

CVE-2023-42919: Kirin (@Pwnrin)

ImageIO

Dostępne dla: zegarka Apple Watch Series 4 i nowszych modeli

Zagrożenie: przetworzenie obrazu może doprowadzić do wykonania dowolnego kodu.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2023-42898: Zhenjiang Zhao z zespołu Pangu Team, Qianxin i Junsung Lee

CVE-2023-42899: Meysam Firouzi @R00tkitSMM i Junsung Lee

ImageIO

Dostępne dla: zegarka Apple Watch Series 4 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do ujawnienia pamięci procesowej.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2023-42888: Michael DePlante (@izobashi) w ramach programu Zero Day Initiative firmy Trend Micro

Kernel

Dostępne dla: zegarka Apple Watch Series 4 i nowszych modeli

Zagrożenie: aplikacja może być w stanie wydostać się ze swojej piaskownicy.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2023-42914: Eloi Benoist-Vanderbeken (@elvanderb) z Synacktiv (@Synacktiv)

Libsystem

Dostępne dla: zegarka Apple Watch Series 4 i nowszych modeli

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do chronionych danych użytkownika.

Opis: naprawiono błąd uprawnień przez usunięcie kodu związanego z luką w zabezpieczeniach i wprowadzenie dodatkowych procedur sprawdzania.

CVE-2023-42893

Sandbox

Dostępne dla: zegarka Apple Watch Series 4 i nowszych modeli

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: ten błąd naprawiono przez poprawienie redagowania poufnych informacji.

CVE-2023-42936: Csaba Fitzl (@theevilbit) z Offensive Security

TCC

Dostępne dla: zegarka Apple Watch Series 4 i nowszych modeli

Zagrożenie: aplikacja może być w stanie wydostać się ze swojej piaskownicy.

Opis: usunięto błąd w procedurze obsługi wyrażeń przez poprawienie procedury sprawdzania poprawności.

CVE-2023-42947: Zhongquan Li (@Guluisacat) z Dawn Security Lab i JingDong

Transparency

Dostępne dla: zegarka Apple Watch Series 4 i nowszych modeli

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: ten błąd naprawiono przez ulepszenie ograniczenia dostępu do kontenera danych.

CVE-2023-40389: Csaba Fitzl (@theevilbit) z Offensive Security i Joshua Jewett (@JoshJewett33)

WebKit

Dostępne dla: zegarka Apple Watch Series 4 i nowszych modeli

Zagrożenie: przetworzenie zawartości internetowej może spowodować wykonanie dowolnego kodu.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2023-42890: Pwn2car

WebKit

Dostępne dla: zegarka Apple Watch Series 4 i nowszych modeli

Zagrożenie: przetworzenie obrazu może doprowadzić do ataku typu „odmowa usługi”.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2023-42883: Zoom Offensive Security Team

WebKit

Dostępne dla: zegarka Apple Watch Series 4 i nowszych modeli

Zagrożenie: przetworzenie zawartości internetowej może ujawnić poufne informacje. Apple ma świadomość, że problem mógł być wykorzystywany w atakach na systemy iOS wydane przed systemem iOS 16.7.1.

Opis: usunięto błąd odczytu spoza zakresu przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2023-42916: Clément Lecigne z Threat Analysis Group firmy Google

WebKit

Dostępne dla: zegarka Apple Watch Series 4 i nowszych modeli

Zagrożenie: przetwarzanie zawartości internetowej mogło spowodować wykonanie dowolnego kodu. Apple ma świadomość, że problem mógł być wykorzystany w atakach na systemy iOS wydane przed systemem iOS 16.7.1.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie mechanizmu blokowania.

CVE-2023-42917: Clément Lecigne z Threat Analysis Group firmy Google

WebKit

Dostępne dla: zegarka Apple Watch Series 4 i nowszych modeli

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.

CVE-2023-42950: Nan Wang (@eternalsakura13) z 360 Vulnerability Research Institute i rushikesh nandedkar

Dodatkowe podziękowania

Wi-Fi

Dziękujemy za udzieloną pomoc: Noah Roskin-Frazee i Prof. J. (ZeroClicks.ai Lab).