Sobre o conteúdo de segurança do watchOS 9
Este documento descreve o conteúdo de segurança do watchOS 9.
Sobre as atualizações de segurança da Apple
Para garantir a proteção dos clientes, a Apple não divulga, não discute, nem confirma problemas de segurança até que uma investigação seja conduzida e as correções ou versões estejam disponíveis. As versões recentes estão indicadas na página Atualizações de segurança da Apple.
Os documentos de segurança da Apple mencionam vulnerabilidades por meio do ID de CVE quando possível.
Para obter mais informações sobre segurança, consulte a página sobre segurança de produtos Apple.
watchOS 9
Accelerate Framework
Disponível para: Apple Watch Series 4 e posterior
Impacto: processar uma imagem criada com códigos maliciosos pode levar à execução arbitrária de códigos
Descrição: um problema de consumo de memória foi resolvido por meio de melhorias no processamento da memória.
CVE-2022-42795: ryuzaki
AppleAVD
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir executar códigos arbitrários com privilégios de kernel
Descrição: esse problema foi resolvido por meio de melhorias nas verificações.
CVE-2022-32907: Natalie Silvanovich do Google Project Zero, Antonio Zekic (@antoniozekic) e John Aakerblom (@jaakerblom), ABC Research s.r.o, Yinyi Wu, Tommaso Bianco (@cutesmilee__)
Apple Neural Engine
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode causar vazamento de estados confidenciais do kernel
Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.
CVE-2022-32858: Mohamed Ghannam (@_simo36)
Apple Neural Engine
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir executar códigos arbitrários com privilégios de kernel
Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.
CVE-2022-32898: Mohamed Ghannam (@_simo36)
CVE-2022-32899: Mohamed Ghannam (@_simo36)
CVE-2022-32889: Mohamed Ghannam (@_simo36)
Contacts
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir ignorar as preferências de Privacidade
Descrição: este problema foi resolvido por meio de melhorias nas verificações.
CVE-2022-32854: Holger Fuhrmannek da Deutsche Telekom Security
Exchange
Disponível para: Apple Watch Series 4 e posterior
Impacto: um usuário em uma posição de rede privilegiada pode ser capaz de interceptar credenciais de e-mail
Descrição: um problema de lógica foi resolvido por meio de melhorias nas restrições.
CVE-2022-32928: Jiří Vinopal (@vinopaljiri) da Check Point Research
GPU Drivers
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir executar códigos arbitrários com privilégios de kernel
Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.
CVE-2022-32903: pesquisador anônimo
ImageIO
Disponível para: Apple Watch Series 4 e posterior
Impacto: o processamento de uma imagem pode levar a uma negação de serviço
Descrição: um problema de negação de serviço foi resolvido por meio de melhorias na validação.
CVE-2022-1622
Image Processing
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app no modo sandbox pode ser capaz de identificar qual aplicativo está usando a câmera no momento
Descrição: o problema foi resolvido com restrições adicionais à capacidade de observação dos estados do app.
CVE-2022-32913: Yiğit Can YILMAZ (@yilmazcanyigit)
Kernel
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode divulgar a memória do kernel
Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.
CVE-2022-32864: Linus Henze da Pinauten GmbH (pinauten.de)
Kernel
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir executar códigos arbitrários com privilégios de kernel
Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.
CVE-2022-32866: Linus Henze da Pinauten GmbH (pinauten.de)
CVE-2022-32911: Zweig do Kunlun Lab
Kernel
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir executar códigos arbitrários com privilégios de kernel
Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.
CVE-2022-32914: Zweig do Kunlun Lab
Kernel
Disponível para: Apple Watch Series 4 e posterior
Impacto: um aplicativo pode executar códigos arbitrários com privilégios de kernel. A Apple está ciente de um relato de que esse problema pode ter sido explorado ativamente.
Descrição: um problema de gravação fora dos limites foi resolvido por meio de melhorias na verificação de limites.
CVE-2022-32894: pesquisador anônimo
Maps
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir ler informações confidenciais de localização
Descrição: um problema de lógica foi resolvido por meio de melhorias nas restrições.
CVE-2022-32883: Ron Masas do breakpointhq.com
MediaLibrary
Disponível para: Apple Watch Series 4 e posterior
Impacto: um usuário pode conseguir elevar privilégios
Descrição: um problema de memória corrompida foi resolvido por meio de melhorias na validação de entradas.
CVE-2022-32908: pesquisador anônimo
Notifications
Disponível para: Apple Watch Series 4 e posterior
Impacto: um usuário com acesso físico a um dispositivo pode conseguir acessar os contatos pela tela bloqueada
Descrição: um problema de lógica foi resolvido por meio de melhorias no gerenciamento de estados.
CVE-2022-32879: Ubeydullah Sümer
Sandbox
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir modificar áreas protegidas do sistema de arquivos
Descrição: um problema de lógica foi resolvido por meio de melhorias nas restrições.
CVE-2022-32881: Csaba Fitzl (@theevilbit) da Offensive Security
Siri
Disponível para: Apple Watch Series 4 e posterior
Impacto: um usuário com acesso físico a um dispositivo pode ser capaz de usar a Siri para obter algumas informações do histórico de chamadas
Descrição: um problema de lógica foi resolvido por meio de melhorias no gerenciamento de estados.
CVE-2022-32870: Andrew Goldberg da The McCombs School of Business, The University of Texas at Austin (linkedin.com/in/andrew-goldberg-/)
SQLite
Disponível para: Apple Watch Series 4 e posterior
Impacto: um usuário remoto podia causar uma negação de serviço
Descrição: esse problema foi resolvido por meio de melhorias nas verificações.
CVE-2021-36690
Watch app
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode ler um identificador persistente de dispositivo
Descrição: esse problema foi resolvido por meio de melhorias nos direitos.
CVE-2022-32835: Guilherme Rambo da Best Buddy Apps (rambo.codes)
Weather
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir ler informações confidenciais de localização
Descrição: um problema de lógica foi resolvido por meio de melhorias no gerenciamento de estados.
CVE-2022-32875: pesquisador anônimo
WebKit
Disponível para: Apple Watch Series 4 e posterior
Impacto: processar conteúdo da web criado com códigos maliciosos pode levar à execução arbitrária de códigos
Descrição: um problema de estouro de buffer foi resolvido por meio de melhorias no processamento da memória.
CVE-2022-32886: P1umer(@p1umer), afang(@afang5472), xmzyshypnc(@xmzyshypnc1)
WebKit
Disponível para: Apple Watch Series 4 e posterior
Impacto: processar conteúdo da web criado com códigos maliciosos pode levar à execução arbitrária de códigos
Descrição: um problema de gravação fora dos limites foi resolvido por meio de melhorias na verificação de limites.
CVE-2022-32888: P1umer (@p1umer)
WebKit
Disponível para: Apple Watch Series 4 e posterior
Impacto: processar conteúdo da web criado com códigos maliciosos pode levar à execução arbitrária de códigos
Descrição: um problema de leitura fora dos limites foi resolvido por meio de melhorias na verificação de limites.
CVE-2022-32912: Jeonghoon Shin (@singi21a) da Theori trabalhando com a Trend Micro Zero Day Initiative
WebKit
Disponível para: Apple Watch Series 4 e posterior
Impacto: acessar um site que enquadra conteúdo malicioso pode levar à falsificação da interface do usuário
Descrição: o problema foi resolvido por meio de melhorias no processamento da interface do usuário.
CVE-2022-32891: @real_as3617, pesquisador anônimo
WebKit
Disponível para: Apple Watch Series 4 e posterior
Impacto: processar conteúdo da web criado com códigos maliciosos pode causar a execução arbitrária de códigos. A Apple está ciente de um relato de que esse problema pode ter sido explorado ativamente.
Descrição: um problema de gravação fora dos limites foi resolvido por meio de melhorias na verificação de limites.
CVE-2022-32893: pesquisador anônimo
Wi-Fi
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir executar códigos arbitrários com privilégios de kernel
Descrição: um problema de memória corrompida foi resolvido por meio de melhorias no gerenciamento de estados.
CVE-2022-46709: Wang Yu da Cyberserval
Wi-Fi
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode causar o encerramento inesperado do sistema ou gravar na memória do kernel
Descrição: um problema de gravação fora dos limites foi resolvido por meio de melhorias na verificação de limites.
CVE-2022-32925: Wang Yu da Cyberserval
Outros reconhecimentos
AppleCredentialManager
Gostaríamos de agradecer a @jonathandata1 pela ajuda.
FaceTime
Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.
Kernel
Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.
Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.
Safari
Gostaríamos de agradecer a Scott Hatfield do Sub-Zero Group pela ajuda.
Sandbox
Gostaríamos de agradecer a Csaba Fitzl (@theevilbit) da Offensive Security pela ajuda.
UIKit
Gostaríamos de agradecer a Aleczander Ewing pela ajuda.
WebKit
Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.
WebRTC
Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.
As informações sobre produtos não fabricados pela Apple, ou sites independentes não controlados nem testados pela Apple, são fornecidas sem recomendação ou endosso. A Apple não assume responsabilidade alguma com relação à escolha, ao desempenho ou ao uso de sites ou produtos de terceiros. A Apple não garante a precisão nem a confiabilidade de sites de terceiros. Entre em contato com o fornecedor para obter mais informações.