Sobre o conteúdo de segurança do watchOS 2

Este documento descreve o conteúdo de segurança do watchOS 2.

Para garantir a proteção dos clientes, a Apple não divulga, não discute nem confirma problemas de segurança até que uma investigação completa seja conduzida e as correções ou versões necessárias estejam disponíveis. Para saber mais sobre a segurança dos produtos Apple, acesse o site Segurança dos produtos Apple.

Para informações sobre a Chave PGP de Segurança do Produto Apple, consulte o artigo Como usar a Chave PGP de Segurança do Produto Apple.

Sempre que possível, serão usados IDs de CVE para indicar vulnerabilidades e permitir que o usuário tenha mais informações.

Consulte o artigo Atualizações de segurança da Apple para saber mais sobre outras Atualizações de Segurança.

watchOS 2

  • Apple Pay

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: alguns cartões podiam permitir que um terminal recuperasse informações de transações recentes ao fazer um pagamento

    Descrição: a função de registro de transações estava ativada em algumas configurações. Esse problema foi resolvido por meio da remoção da função de registro de transações.

    CVE-ID

    CVE-2015-5916

  • Audio

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: a reprodução de um arquivo de áudio com códigos maliciosos pode resultar no fechamento inesperado de um aplicativo

    Descrição: havia um problema de memória corrompida no processamento de arquivos de áudio. Esse problema foi resolvido por meio de melhorias no gerenciamento da memória.

    CVE-ID

    CVE-2015-5862: YoungJin Yoon, do Information Security Lab. (Orientador: Prof. Taekyoung Kwon), Yonsei University, Seul, Coreia

  • Certificate Trust Policy

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: atualização da política de confiança dos certificados

    Descrição: a política de confiança dos certificados foi atualizada. Veja a lista completa de certificados no artigo https://support.apple.com/HT204873.

  • CFNetwork

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um invasor com posição de rede privilegiada pode interceptar as conexões SSL/TLS

    Descrição: havia um problema de validação do certificado em NSURL quando um certificado era alterado. Esse problema foi resolvido por meio de melhorias na validação do certificado.

    CVE-ID

    CVE-2015-5824: Timothy J. Wood, do The Omni Group

  • CFNetwork

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: a conexão a um proxy da web criado com códigos maliciosos pode definir cookies maliciosos para um site

    Descrição: havia um problema no processamento de respostas de conexão de proxy. Esse problema foi resolvido por meio da remoção do cabeçalho Set-Cookie ao analisar a resposta de conexão.

    CVE-ID

    CVE-2015-5841: Xiaofeng Zheng, do Blue Lotus Team, Tsinghua University

  • CFNetwork

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um invasor em posição de rede privilegiada pode rastrear a atividade de um usuário

    Descrição: havia um problema de cookie de domínio cruzado no processamento de domínios de nível superior. Esse problema foi resolvido por meio de melhorias nas restrições de criação de cookies.

    CVE-ID

    CVE-2015-5885: Xiaofeng Zheng, do Blue Lotus Team, Tsinghua University

  • CFNetwork

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: alguém com acesso físico a um dispositivo iOS pode ler dados do cache de apps da Apple

    Descrição: dados do cache estavam criptografados com uma chave protegida somente por um UID de hardware. Esse problema foi resolvido por meio da criptografia dos dados do cache com uma chave protegida pelo UID de hardware e pelo código de acesso do usuário.

    CVE-ID

    CVE-2015-5898: Andreas Kurtz, do NESO Security Labs

  • CoreCrypto

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um invasor pode conseguir identificar uma chave privada

    Descrição: ao observar várias tentativas de início de sessão ou de decodificação, um invasor podia conseguir definir e identificar a chave privada RSA. Esse problema foi resolvido por meio de melhorias nos algoritmos de criptografia.

  • CoreText

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: processar um arquivo de fonte criado com códigos maliciosos pode levar à execução arbitrária de códigos

    Descrição: havia um problema de corrupção de memória no processamento de arquivos de fonte. Esse problema foi resolvido por meio de melhorias na validação de entradas.

    CVE-ID

    CVE-2015-5874: John Villamil (@day6reak), Yahoo Pentest Team

  • Data Detectors Engine

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: processar um arquivo de texto criado com códigos maliciosos pode levar à execução arbitrária de códigos

    Descrição: havia problemas de corrupção de memória no processamento de arquivos de texto. Esses problemas foram resolvidos por meio de melhorias na verificação de limites.

    CVE-ID

    CVE-2015-5829: M1x7e1, do Safeye Team (www.safeye.org)

  • Dev Tools

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um aplicativo criado com códigos maliciosos pode conseguir causar a execução arbitrária de códigos com privilégios de sistema

    Descrição: havia um problema de corrupção de memória no dyld. Esse problema foi resolvido por meio de melhorias no gerenciamento da memória.

    CVE-ID

    CVE-2015-5876: beist of grayhash

  • Disk Images

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um usuário local pode conseguir causar a execução arbitrária de códigos com privilégios de sistema

    Descrição: havia um problema de corrupção de memória no DiskImages. Esse problema foi resolvido por meio de melhorias no processamento da memória.

    CVE-ID

    CVE-2015-5847: Filippo Bigarella, Luca Todesco

  • dyld

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um aplicativo pode conseguir ignorar a assinatura de códigos

    Descrição: havia um problema na validação da assinatura de códigos de executáveis. Esse problema foi solucionado por meio de melhorias na verificação de limites.

    CVE-ID

    CVE-2015-5839: @PanguTeam, TaiG Jailbreak Team

  • GasGauge

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um usuário local pode conseguir executar códigos arbitrários com privilégios do kernel

    Descrição: havia vários problemas de corrupção de memória no kernel. Esses problemas foram resolvidos por meio de melhorias no processamento da memória.

    CVE-ID

    CVE-2015-5918: Apple

    CVE-2015-5919: Apple

  • ICU

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: várias vulnerabilidades no ICU

    Descrição: havia diversas vulnerabilidades nas versões do ICU anteriores à 53.1.0. Esses problemas foram resolvidos por meio da atualização do ICU para a versão 55.1.

    CVE-ID

    CVE-2014-8146: Marc Deslauriers

    CVE-2014-8147: Marc Deslauriers

    CVE-2015-5922: Mark Brand, do Google Project Zero

  • IOAcceleratorFamily

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um aplicativo criado com códigos maliciosos pode conseguir determinar o layout de memória do kernel

    Descrição: havia um problema que causava a divulgação do conteúdo da memória do kernel. Esse problema foi solucionado por meio de melhorias na verificação de limites.

    CVE-ID

    CVE-2015-5834: Cererdlong, da Alibaba Mobile Security Team

  • IOAcceleratorFamily

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um usuário local pode conseguir causar a execução arbitrária de códigos com privilégios de sistema

    Descrição: havia um problema de memória corrompida no IOAcceleratorFamily. Esse problema foi resolvido por meio de melhorias no processamento da memória.

    CVE-ID

    CVE-2015-5848: Filippo Bigarella

  • IOKit

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um aplicativo criado com códigos maliciosos pode conseguir causar a execução arbitrária de códigos com privilégios de sistema

    Descrição: havia um problema de memória corrompida no kernel. Esse problema foi resolvido por meio de melhorias no processamento da memória.

    CVE-ID

    CVE-2015-5844: Filippo Bigarella

    CVE-2015-5845: Filippo Bigarella

    CVE-2015-5846: Filippo Bigarella

  • IOMobileFrameBuffer

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um usuário local pode conseguir causar a execução arbitrária de códigos com privilégios de sistema

    Descrição: havia um problema de corrupção de memória no IOMobileFrameBuffer. Esse problema foi resolvido por meio de melhorias no processamento da memória.

    CVE-ID

    CVE-2015-5843: Filippo Bigarella

  • IOStorageFamily

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um invasor local pode conseguir ler a memória do kernel

    Descrição: havia um problema de inicialização da memória no kernel. Esse problema foi resolvido por meio de melhorias no processamento da memória.

    CVE-ID

    CVE-2015-5863: Ilja van Sprundel, da IOActive

  • Kernel

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um usuário local pode conseguir executar códigos arbitrários com privilégios de kernel

    Descrição: havia um problema de memória corrompida no kernel. Esse problema foi resolvido por meio de melhorias no processamento da memória.

    CVE-ID

    CVE-2015-5868: Cererdlong, da Alibaba Mobile Security Team

    CVE-2015-5896: Maxime Villard, da m00nbsd

    CVE-2015-5903: CESG

  • Kernel

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um invasor local pode controlar o valor de cookies na pilha

    Descrição: havia vários pontos fracos da geração de cookies na pilha do espaço do usuário. Esse problema foi resolvido por meio de melhorias na geração de cookies na pilha.

    CVE-ID

    CVE-2013-3951: Stefan Esser

  • Kernel

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um processo local pode modificar outros processos sem verificações de direitos

    Descrição: havia um problema em que processos principais usando o API processor_set_tasks tinham permissão de recuperar as portas de tarefa de outros processos. Esse problema foi resolvido por meio de melhorias na verificação de direitos.

    CVE-ID

    CVE-2015-5882: Pedro Vilaça, trabalhando em pesquisa original de Ming-chieh Pan e Sung-ting Tsai; Jonathan Levi

  • Kernel

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um invasor em um segmento de LAN local pode desativar o roteamento IPv6

    Descrição: havia um problema de validação insuficiente no processamento de anúncios do roteador IPv6 que permitia que um invasor definisse o limite de saltos para um valor arbitrário. Esse problema foi resolvido por meio da aplicação de um limite mínimo de saltos.

    CVE-ID

    CVE-2015-5869: Dennis Spindel Ljungmark

  • Kernel

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um usuário local pode conseguir definir o layout de memória do kernel

    Descrição: havia um problema no XNU que causava a divulgação da memória do kernel. Esse problema foi resolvido por meio de melhorias na inicialização de estruturas da memória do kernel.

    CVE-ID

    CVE-2015-5842: beist of grayhash

  • Kernel

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um usuário local pode conseguir causar uma recusa de serviço do sistema

    Descrição: havia um problema na instalação do drive HFS. Esse problema foi resolvido por meio de verificações de validação adicionais.

    CVE-ID

    CVE-2015-5748: Maxime Villard, da m00nbsd

  • libpthread

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um usuário local pode conseguir executar códigos arbitrários com privilégios de kernell

    Descrição: havia um problema de memória corrompida no kernel. Esse problema foi resolvido por meio de melhorias no processamento da memória.

    CVE-ID

    CVE-2015-5899: Lufeng Li, da Qihoo 360 Vulcan Team

  • PluginKit

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: um aplicativo empresarial criado com códigos maliciosos pode instalar extensões antes que o aplicativo seja confiável

    Descrição: havia um problema na validação de extensões durante a instalação. Esse problema foi resolvido por meio de melhorias na verificação de apps.

    CVE-ID

    CVE-2015-5837: Zhaofeng Chen, Hui Xue e Tao (Lenx) Wei, da FireEye, Inc.

  • removefile

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: o processamento de dados maliciosos pode levar ao encerramento inesperado de aplicativos

    Descrição: havia uma falha de excesso nas rotinas de divisão do checkint. Esse problema foi resolvido por meio de melhorias nas rotinas de divisão.

    CVE-ID

    CVE-2015-5840: pesquisador anônimo

  • SQLite

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: diversas vulnerabilidades no SQLite versão 3.8.5

    Descrição: havia diversas vulnerabilidades no SQLite versão 3.8.5. Esses problemas foram resolvidos por meio da atualização para a versão 3.8.10.2 do SQLite.

    CVE-ID

    CVE-2015-3414

    CVE-2015-3415

    CVE-2015-3416

  • tidy

    Disponível para: Apple Watch Sport, Apple Watch e Apple Watch Edition

    Impacto: acessar um site criado com códigos maliciosos pode levar à execução arbitrária de códigos

    Descrição: havia um problema de corrupção de memória no Tidy. Esse problema foi resolvido por meio de melhorias no gerenciamento da memória.

    CVE-ID

    CVE-2015-5522: Fernando Muñoz do NULLGroup.com

    CVE-2015-5523: Fernando Muñoz do NULLGroup.com

As informações sobre produtos não fabricados pela Apple, ou sites independentes não controlados nem testados pela Apple, são fornecidas sem recomendação ou endosso. A Apple não assume responsabilidade alguma com relação à escolha, ao desempenho ou ao uso de sites ou produtos de terceiros. A Apple não garante a precisão nem a confiabilidade de sites de terceiros. Entre em contato com o fornecedor para obter mais informações.

Data da publicação: