Sobre as atualizações de segurança da Apple
Para garantir a proteção dos clientes, a Apple não divulga, não discute, nem confirma problemas de segurança até que uma investigação seja conduzida e as correções ou versões estejam disponíveis. As versões recentes estão indicadas na página Atualizações de segurança da Apple.
Os documentos de segurança da Apple mencionam vulnerabilidades por meio do ID de CVE quando possível.
Para obter mais informações sobre segurança, consulte a página sobre segurança de produtos Apple.
watchOS 9
Lançado em 12 de setembro de 2022
Accelerate Framework
Disponível para: Apple Watch Series 4 e posterior
Impacto: processar uma imagem criada com códigos maliciosos pode levar à execução arbitrária de códigos
Descrição: um problema de consumo de memória foi resolvido por meio de melhorias no processamento da memória.
CVE-2022-42795: ryuzaki
AppleAVD
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir executar códigos arbitrários com privilégios de kernel
Descrição: esse problema foi resolvido por meio de melhorias nas verificações.
CVE-2022-32907: Natalie Silvanovich do Google Project Zero, Antonio Zekic (@antoniozekic) e John Aakerblom (@jaakerblom), ABC Research s.r.o, Yinyi Wu, Tommaso Bianco (@cutesmilee__)
Apple Neural Engine
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode causar vazamento de estados confidenciais do kernel
Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.
CVE-2022-32858: Mohamed Ghannam (@_simo36)
Apple Neural Engine
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir executar códigos arbitrários com privilégios de kernel
Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.
CVE-2022-32898: Mohamed Ghannam (@_simo36)
CVE-2022-32899: Mohamed Ghannam (@_simo36)
CVE-2022-32889: Mohamed Ghannam (@_simo36)
Contacts
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir ignorar as preferências de Privacidade
Descrição: este problema foi resolvido por meio de melhorias nas verificações.
CVE-2022-32854: Holger Fuhrmannek da Deutsche Telekom Security
Exchange
Disponível para: Apple Watch Series 4 e posterior
Impacto: um usuário em uma posição de rede privilegiada pode ser capaz de interceptar credenciais de e-mail
Descrição: um problema de lógica foi resolvido por meio de melhorias nas restrições.
CVE-2022-32928: Jiří Vinopal (@vinopaljiri) da Check Point Research
Entrada atualizada em 8 de junho de 2023
GPU Drivers
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir executar códigos arbitrários com privilégios de kernel
Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.
CVE-2022-32903: pesquisador anônimo
ImageIO
Disponível para: Apple Watch Series 4 e posterior
Impacto: o processamento de uma imagem pode levar a uma negação de serviço
Descrição: um problema de negação de serviço foi resolvido por meio de melhorias na validação.
CVE-2022-1622
Image Processing
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app no modo sandbox pode ser capaz de identificar qual aplicativo está usando a câmera no momento
Descrição: o problema foi resolvido com restrições adicionais à capacidade de observação dos estados do app.
CVE-2022-32913: Yiğit Can YILMAZ (@yilmazcanyigit)
Kernel
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode divulgar a memória do kernel
Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.
CVE-2022-32864: Linus Henze da Pinauten GmbH (pinauten.de)
Kernel
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir executar códigos arbitrários com privilégios de kernel
Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.
CVE-2022-32866: Linus Henze da Pinauten GmbH (pinauten.de)
CVE-2022-32911: Zweig do Kunlun Lab
Kernel
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir executar códigos arbitrários com privilégios de kernel
Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.
CVE-2022-32914: Zweig do Kunlun Lab
Kernel
Disponível para: Apple Watch Series 4 e posterior
Impacto: um aplicativo pode executar códigos arbitrários com privilégios de kernel. A Apple está ciente de um relato de que esse problema pode ter sido explorado ativamente.
Descrição: um problema de gravação fora dos limites foi resolvido por meio de melhorias na verificação de limites.
CVE-2022-32894: pesquisador anônimo
Maps
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir ler informações confidenciais de localização
Descrição: um problema de lógica foi resolvido por meio de melhorias nas restrições.
CVE-2022-32883: Ron Masas do breakpointhq.com
MediaLibrary
Disponível para: Apple Watch Series 4 e posterior
Impacto: um usuário pode conseguir elevar privilégios
Descrição: um problema de memória corrompida foi resolvido por meio de melhorias na validação de entradas.
CVE-2022-32908: pesquisador anônimo
Notifications
Disponível para: Apple Watch Series 4 e posterior
Impacto: um usuário com acesso físico a um dispositivo pode conseguir acessar os contatos pela tela bloqueada
Descrição: um problema de lógica foi resolvido por meio de melhorias no gerenciamento de estados.
CVE-2022-32879: Ubeydullah Sümer
Sandbox
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir modificar áreas protegidas do sistema de arquivos
Descrição: um problema de lógica foi resolvido por meio de melhorias nas restrições.
CVE-2022-32881: Csaba Fitzl (@theevilbit) da Offensive Security
Siri
Disponível para: Apple Watch Series 4 e posterior
Impacto: um usuário com acesso físico a um dispositivo pode ser capaz de usar a Siri para obter algumas informações do histórico de chamadas
Descrição: um problema de lógica foi resolvido por meio de melhorias no gerenciamento de estados.
CVE-2022-32870: Andrew Goldberg da The McCombs School of Business, The University of Texas at Austin (linkedin.com/in/andrew-goldberg-/)
SQLite
Disponível para: Apple Watch Series 4 e posterior
Impacto: um usuário remoto podia causar uma negação de serviço
Descrição: esse problema foi resolvido por meio de melhorias nas verificações.
CVE-2021-36690
Watch app
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode ler um identificador persistente de dispositivo
Descrição: esse problema foi resolvido por meio de melhorias nos direitos.
CVE-2022-32835: Guilherme Rambo da Best Buddy Apps (rambo.codes)
Weather
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir ler informações confidenciais de localização
Descrição: um problema de lógica foi resolvido por meio de melhorias no gerenciamento de estados.
CVE-2022-32875: pesquisador anônimo
WebKit
Disponível para: Apple Watch Series 4 e posterior
Impacto: processar conteúdo da web criado com códigos maliciosos pode levar à execução arbitrária de códigos
Descrição: um problema de estouro de buffer foi resolvido por meio de melhorias no processamento da memória.
WebKit Bugzilla: 241969
CVE-2022-32886: P1umer(@p1umer), afang(@afang5472), xmzyshypnc(@xmzyshypnc1)
WebKit
Disponível para: Apple Watch Series 4 e posterior
Impacto: processar conteúdo da web criado com códigos maliciosos pode levar à execução arbitrária de códigos
Descrição: um problema de gravação fora dos limites foi resolvido por meio de melhorias na verificação de limites.
WebKit Bugzilla: 242047
CVE-2022-32888: P1umer (@p1umer)
WebKit
Disponível para: Apple Watch Series 4 e posterior
Impacto: processar conteúdo da web criado com códigos maliciosos pode levar à execução arbitrária de códigos
Descrição: um problema de leitura fora dos limites foi resolvido por meio de melhorias na verificação de limites.
WebKit Bugzilla: 242762
CVE-2022-32912: Jeonghoon Shin (@singi21a) da Theori trabalhando com a Trend Micro Zero Day Initiative
WebKit
Disponível para: Apple Watch Series 4 e posterior
Impacto: acessar um site que enquadra conteúdo malicioso pode levar à falsificação da interface do usuário
Descrição: o problema foi resolvido por meio de melhorias no processamento da interface do usuário.
WebKit Bugzilla: 243236
CVE-2022-32891: @real_as3617, pesquisador anônimo
WebKit
Disponível para: Apple Watch Series 4 e posterior
Impacto: processar conteúdo da web criado com códigos maliciosos pode causar a execução arbitrária de códigos. A Apple está ciente de um relato de que esse problema pode ter sido explorado ativamente.
Descrição: um problema de gravação fora dos limites foi resolvido por meio de melhorias na verificação de limites.
WebKit Bugzilla: 243557
CVE-2022-32893: pesquisador anônimo
Wi-Fi
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode conseguir executar códigos arbitrários com privilégios de kernel
Descrição: um problema de memória corrompida foi resolvido por meio de melhorias no gerenciamento de estados.
CVE-2022-46709: Wang Yu da Cyberserval
Entrada adicionada em 8 de junho de 2023
Wi-Fi
Disponível para: Apple Watch Series 4 e posterior
Impacto: um app pode causar o encerramento inesperado do sistema ou gravar na memória do kernel
Descrição: um problema de gravação fora dos limites foi resolvido por meio de melhorias na verificação de limites.
CVE-2022-32925: Wang Yu da Cyberserval
Outros reconhecimentos
AppleCredentialManager
Gostaríamos de agradecer a @jonathandata1 pela ajuda.
FaceTime
Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.
Kernel
Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.
Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.
Safari
Gostaríamos de agradecer a Scott Hatfield do Sub-Zero Group pela ajuda.
Entrada adicionada em 8 de junho de 2023
Sandbox
Gostaríamos de agradecer a Csaba Fitzl (@theevilbit) da Offensive Security pela ajuda.
UIKit
Gostaríamos de agradecer a Aleczander Ewing pela ajuda.
WebKit
Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.
WebRTC
Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.