Sobre o conteúdo de segurança do watchOS 8.5

Este documento descreve o conteúdo de segurança do watchOS 8.5.

Sobre as atualizações de segurança da Apple

Para garantir a proteção dos clientes, a Apple não divulga, não discute, nem confirma problemas de segurança até que uma investigação seja conduzida e as correções ou versões estejam disponíveis. As versões recentes estão indicadas na página Atualizações de segurança da Apple.

Os documentos de segurança da Apple mencionam vulnerabilidades por meio do ID de CVE quando possível.

Para obter mais informações sobre segurança, consulte a página sobre segurança de produtos Apple.

watchOS 8.5

Lançado em 14 de março de 2022

Accelerate Framework

Disponível para: Apple Watch Series 3 e posterior

Impacto: abrir um arquivo PDF criado com códigos maliciosos poderia causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos

Descrição: um problema de memória corrompida foi resolvido por meio de melhorias no gerenciamento de estado.

CVE-2022-22633: ryuzaki

Entrada atualizada em 25 de maio de 2022

AppleAVD

Disponível para: Apple Watch Series 3 e posterior

Impacto: processar uma imagem criada com códigos maliciosos pode causar o corrompimento da pilha

Descrição: um problema de memória corrompida foi resolvido por meio de melhorias na validação.

CVE-2022-22666: Marc Schoenefeld, Dr. rer. nat.

ImageIO

Disponível para: Apple Watch Series 3 e posterior

Impacto: processar uma imagem criada com códigos maliciosos pode causar a execução arbitrária de códigos

Descrição: um problema de leitura fora dos limites foi resolvido por meio de melhorias na validação de entradas.

CVE-2022-22611: Xingyu Jin, do Google

ImageIO

Disponível para: Apple Watch Series 3 e posterior

Impacto: processar uma imagem criada com códigos maliciosos pode causar o corrompimento da pilha

Descrição: um problema de consumo de memória foi resolvido por meio de melhorias no processamento da memória.

CVE-2022-22612: Xingyu Jin, do Google

Kernel

Disponível para: Apple Watch Series 3 e posterior

Impacto: um aplicativo pode conseguir executar códigos arbitrários com privilégios de kernel

Descrição: um problema de memória corrompida foi resolvido por meio de melhorias na validação.

CVE-2022-22596: pesquisador anônimo

CVE-2022-22640: sqrtpwn

Kernel

Disponível para: Apple Watch Series 3 e posterior

Impacto: um aplicativo pode executar códigos arbitrários com privilégios de kernel

Descrição: um problema de gravação fora dos limites foi resolvido por meio de melhorias na verificação de limites.

CVE-2022-22613: Alex, um pesquisador anônimo

Kernel

Disponível para: Apple Watch Series 3 e posterior

Impacto: um aplicativo pode conseguir executar códigos arbitrários com privilégios de kernel

Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.

CVE-2022-22614: pesquisador anônimo

CVE-2022-22615: pesquisador anônimo

Kernel

Disponível para: Apple Watch Series 3 e posterior

Impacto: um aplicativo malicioso pode elevar privilégios

Descrição: um problema de lógica foi resolvido por meio de melhorias no gerenciamento de estado.

CVE-2022-22632: Keegan Saunders

Kernel

Disponível para: Apple Watch Series 3 e posterior

Impacto: um invasor em uma posição privilegiada pode fazer um ataque de negação de serviço

Descrição: um problema de cancelamento de referência de ponteiro nulo foi resolvido por meio de melhorias na validação.

CVE-2022-22638: derrek (@derrekr6)

LaunchServices

Disponível para: Apple Watch Series 3 e posterior

Impacto: um app pode conseguir ignorar determinadas preferências de Privacidade

Descrição: um problema de lógica foi resolvido por meio de melhorias nas restrições.

CVE-2021-30946: @gorelics e Ron Masas da BreakPoint.sh

Entrada adicionada em 6 de junho de 2023

libarchive

Disponível para: Apple Watch Series 3 e posterior

Impacto: diversos problemas no libarchive

Descrição: havia diversos problemas de corrompimento de memória no libarchive. Esses problemas foram resolvidos por meio de melhorias na validação de entradas.

CVE-2021-36976

LLVM

Disponível para: Apple Watch Series 3 e posterior

Impacto: um aplicativo pode conseguir apagar arquivos para os quais não tem permissão

Descrição: uma condição de corrida foi resolvida por meio de validação adicional.

CVE-2022-21658: Florian Weimer (@fweimer)

Entrada adicionada em 25 de maio de 2022

MediaRemote

Disponível para: Apple Watch Series 3 e posterior

Impacto: um aplicativo malicioso pode conseguir identificar quais outros aplicativos foram instalados por um usuário

Descrição: um problema de acesso foi resolvido por meio de melhorias nas restrições de acesso.

CVE-2022-22670: Brandon Azad

Phone

Disponível para: Apple Watch Series 3 e posterior

Impacto: o usuário pode conseguir ignorar a solicitação para inserir o código de acesso do SOS de Emergência

Descrição: esse problema foi resolvido por meio de melhorias nas verificações.

CVE-2022-22618: Yicong Ding (@AntonioDing)

Preferences

Disponível para: Apple Watch Series 3 e posterior

Impacto: um aplicativo malicioso pode ler os ajustes de outros apps

Descrição: o problema foi resolvido com mais verificações de permissão.

CVE-2022-22609: Mickey Jin (@patch1t), Zhipeng Huo (@R3dF09) e Yuebin Sun (@yuebinsun2020) do Tencent Security Xuanwu Lab (xlab.tencent.com)

Entrada atualizada em 6 de junho de 2023

Safari

Disponível para: Apple Watch Series 3 e posterior

Impacto: acessar um site malicioso pode levar à falsificação da barra de endereços

Descrição: foi resolvido um problema na interface do usuário.

CVE-2022-22654: Abdullah Md Shaleh da take0ver

Sandbox

Disponível para: Apple Watch Series 3 e posterior

Impacto: um aplicativo malicioso pode conseguir ignorar determinadas preferências de privacidade

Descrição: o problema foi resolvido por meio de melhorias na lógica de permissões.

CVE-2022-22600: Sudhakar Muthumani (@sudhakarmuthu04) da Primefort Private Limited, Khiem Tran

Entrada atualizada em 25 de maio de 2022

Siri

Disponível para: Apple Watch Series 3 e posterior

Impacto: uma pessoa com acesso físico ao dispositivo pode usar a Siri para coletar dados de localização pela tela bloqueada

Descrição: um problema de permissão foi resolvido por meio de melhorias na validação.

CVE-2022-22599: Andrew Goldberg, da Universidade do Texas em Austin, McCombs School of Business (linkedin.com/andrew-goldberg-/)

Entrada atualizada em 25 de maio de 2022

UIKit

Disponível para: Apple Watch Series 3 e posterior

Impacto: uma pessoa com acesso físico a um dispositivo iOS pode ver informações confidenciais pelas sugestões do teclado

Descrição: esse problema foi resolvido por meio de melhorias nas verificações.

CVE-2022-22621: Joey Hewitt

WebKit

Disponível para: Apple Watch Series 3 e posterior

Impacto: processar conteúdo da web criado com códigos maliciosos pode divulgar informações confidenciais do usuário

Descrição: um problema de gerenciamento de cookies foi resolvido por meio de melhorias no gerenciamento de estados.

WebKit Bugzilla: 232748

CVE-2022-22662: Prakash (@1lastBr3ath), da Threat Nix

WebKit

Disponível para: Apple Watch Series 3 e posterior

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar a execução de códigos

Descrição: um problema de memória corrompida foi resolvido por meio de melhorias no gerenciamento de estado.

WebKit Bugzilla: 232812

CVE-2022-22610: Quan Yin, da Bigo Technology Live Client Team

WebKit

Disponível para: Apple Watch Series 3 e posterior

Impacto: processar conteúdo da web criado com códigos maliciosos pode levar à execução arbitrária de códigos

Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.

WebKit Bugzilla 233172

CVE-2022-22624: Kirin (@Pwnrin), da Tencent Security Xuanwu Lab

WebKit Bugzilla: 234147

CVE-2022-22628: Kirin (@Pwnrin), da Tencent Security Xuanwu Lab

WebKit

Disponível para: Apple Watch Series 3 e posterior

Impacto: processar conteúdo da web criado com códigos maliciosos pode levar à execução arbitrária de códigos

Descrição: um problema de estouro de buffer foi resolvido por meio de melhorias no processamento da memória.

WebKit Bugzilla: 234966

CVE-2022-22629: Jeonghoon Shin da Theori trabalhando com a Trend Micro Zero Day Initiative

WebKit

Disponível para: Apple Watch Series 3 e posterior

Impacto: um site malicioso pode causar comportamento inesperado de origem cruzada

Descrição: um problema de lógica foi resolvido por meio de melhorias no gerenciamento de estados.

WebKit Bugzilla: 235294

CVE-2022-22637: Tom McKee do Google

Outros reconhecimentos

AirDrop

Gostaríamos de agradecer a Omar Espino (omespino.com) e Ron Masas, da BreakPoint.sh, pela assistência.

Bluetooth

Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.

Face Gallery

Gostaríamos de agradecer a Tian Zhang (@KhaosT) pela assistência.

Safari

Gostaríamos de agradecer a Konstantin Darutkin, da FingerprintJS (fingerprintjs.com), pela assistência.

Shortcuts

Gostaríamos de agradecer a Baibhav Anand Jha, da Streamers Land, pela assistência.

Siri

Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.

syslog

Gostaríamos de agradecer a Yonghwi Jin (@jinmo123), da Theori, pela assistência.

UIKit

Gostaríamos de agradecer a Tim Shadel, da Day Logger, Inc., pela assistência.

Wallet

Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.

WebKit

Gostaríamos de agradecer a Abdullah Md Shaleh pela ajuda.

WebKit Storage

Gostaríamos de agradecer a Martin Bajanik da FingerprintJS pela ajuda.

As informações sobre produtos não fabricados pela Apple, ou sites independentes não controlados nem testados pela Apple, são fornecidas sem recomendação ou endosso. A Apple não assume responsabilidade alguma com relação à escolha, ao desempenho ou ao uso de sites ou produtos de terceiros. A Apple não garante a precisão nem a confiabilidade de sites de terceiros. Entre em contato com o fornecedor para obter mais informações.

Data da publicação: