Acerca dos conteúdos de segurança do watchOS  11.2

Este documento descreve os conteúdos de segurança do watchOS 11.2.

Acerca das atualizações de segurança da Apple

Para proteção dos nossos clientes, a Apple não divulga, comenta nem confirma problemas de segurança enquanto não for efetuada uma investigação e não estiverem disponíveis as correções ou os lançamentos necessários. Os lançamentos recentes estão listados na página Lançamentos de segurança da Apple.

Sempre que possível, os documentos de segurança da Apple designam as vulnerabilidades através de ID CVE.

Para obter mais informações acerca da segurança, consulte a página Segurança dos produtos Apple.

watchOS 11.2

APFS

Disponível para: Apple Watch Series 6 e posterior

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: este problema foi resolvido através da gestão melhorada do estado.

CVE-2024-54541: Arsenii Kostromin (0x3c3e) e um investigador anónimo

Apple Account

Disponível para: Apple Watch Series 6 e posterior

Impacto: um atacante com uma posição privilegiada na rede poderá conseguir monitorizar a atividade de um utilizador

Descrição: o problema foi resolvido através do processamento melhorado de protocolos.

CVE-2024-40864: Wojciech Regula da SecuRing (wojciechregula.blog)

AppleMobileFileIntegrity

Disponível para: Apple Watch Series 6 e posterior

Impacto: uma app maliciosa poderá conseguir aceder a informações privadas

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2024-54526: Mickey Jin (@patch1t), Arsenii Kostromin (0x3c3e)

AppleMobileFileIntegrity

Disponível para: Apple Watch Series 6 e posterior

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: este problema foi resolvido através de verificações melhoradas.

CVE-2024-54527: Mickey Jin (@patch1t)

Crash Reporter

Disponível para: Apple Watch Series 6 e posterior

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: foi resolvido um problema de permissões com restrições adicionais.

CVE-2024-54513: um investigador anónimo

Face Gallery

Disponível para: Apple Watch Series 6 e posterior

Impacto: um binário do sistema poderá ser utilizado para obter impressões digitais da conta Apple de um utilizador

Descrição: o problema foi resolvido através da remoção dos sinalizadores relevantes.

CVE-2024-54512: Bistrit Dahal

FontParser

Disponível para: Apple Watch Series 6 e posterior

Impacto: o processamento de um tipo de letra criado com intuito malicioso poderá provocar a divulgação da memória de processamento

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2024-54486: Hossein Lotfi (@hosselot) do programa Zero Day Initiative da Trend Micro

ICU

Disponível para: Apple Watch Series 6 e posterior

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá provocar uma falha inesperada no processo

Descrição: foi resolvido um problema de acesso fora dos limites através da verificação melhorada dos limites.

CVE-2024-54478: Gary Kwong

ImageIO

Disponível para: Apple Watch Series 6 e posterior

Impacto: o processamento de uma imagem criada com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: foi resolvido um problema do tipo "use after free" (utilização após libertação de memória) através da gestão melhorada da memória.

CVE-2024-54499: um investigador anónimo em colaboração com o programa Zero Day Initiative da Trend Micro

ImageIO

Disponível para: Apple Watch Series 6 e posterior

Impacto: o processamento de uma imagem criada com intuito malicioso poderá provocar a divulgação da memória de processamento

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2024-54500: Junsung Lee em colaboração com o programa Zero Day Initiative da Trend Micro

IOMobileFrameBuffer

Disponível para: Apple Watch Series 6 e posterior

Impacto: uma app poderá conseguir corromper a memória do coprocessador

Descrição: o problema foi resolvido através de verificações melhoradas dos limites.

CVE-2024-54517: Ye Zhang (@VAR10CK) da Baidu Security

CVE-2024-54518: Ye Zhang (@VAR10CK) da Baidu Security

CVE-2024-54522: Ye Zhang (@VAR10CK) da Baidu Security

CVE-2024-54523: Ye Zhang (@VAR10CK) da Baidu Security

Kernel

Disponível para: Apple Watch Series 6 e posterior

Impacto: uma app poderá conseguir infringir a sandbox

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2024-54468: um investigador anónimo

Kernel

Disponível para: Apple Watch Series 6 e posterior

Impacto: um atacante poderá conseguir criar um mapeamento de uma memória só de leitura onde é possível escrever

Descrição: foi resolvida uma condição de disputa através de validação adicional.

CVE-2024-54494: sohybbyk

Kernel

Disponível para: Apple Watch Series 6 e posterior

Impacto: uma app poderá conseguir divulgar o estado confidencial do kernel

Descrição: foi resolvida uma condição de disputa através do bloqueio melhorado.

CVE-2024-54510: Joseph Ravichandran (@0xjprx) da MIT CSAIL

libexpat

Disponível para: Apple Watch Series 6 e posterior

Impacto: um atacante remoto poderá provocar o encerramento inesperado da app ou a execução de um código arbitrário

Descrição: esta é uma vulnerabilidade existente em código open source e o Software da Apple encontra-se entre os projetos afetados. O ID CVE foi atribuído por terceiros. Saiba mais sobre o problema e o ID CVE em cve.org.

CVE-2024-45490

libxpc

Disponível para: Apple Watch Series 6 e posterior

Impacto: uma app poderá conseguir infringir a sandbox

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2024-54514: um investigador anónimo

libxpc

Disponível para: Apple Watch Series 6 e posterior

Impacto: uma app poderá conseguir obter privilégios elevados

Descrição: foi resolvido um problema de lógica através de verificações melhoradas.

CVE-2024-44225: 风沐云烟(@binary_fmyy)

MobileBackup

Disponível para: Apple Watch Series 6 e posterior

Impacto: restaurar um ficheiro de cópia de segurança criado com intuito malicioso poderá levar à modificação de ficheiros protegidos do sistema

Descrição: foi resolvido um problema de lógica através de um processamento melhorado do ficheiro.

CVE-2024-54525: Andrew James Gonzalez, Dragon Fruit Security (Davis Dai, ORAC 落云, Frank Du cooperative discovery)

Passkeys

Disponível para: Apple Watch Series 6 e posterior

Impacto: o preenchimento automático de palavras-passe poderá preencher as palavras-passe após falha de autenticação

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2024-54530: Abhay Kailasia (@abhay_kailasia) da C-DAC Thiruvananthapuram India, Rakeshkumar Talaviya, Tomomasa Hiraiwa

QuartzCore

Disponível para: Apple Watch Series 6 e posterior

Impacto: o processamento de conteúdos web pode resultar numa recusa de serviço

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2024-54497: um investigador anónimo em colaboração com o programa Zero Day Initiative da Trend Micro

Safari Private Browsing

Disponível para: Apple Watch Series 6 e posterior

Impacto: os separadores de Navegação privada podem ser acedidos sem autenticação

Descrição: foi resolvido um problema de autenticação através da gestão melhorada do estado.

CVE-2024-54542: Rei (@reizydev), Kenneth Chew

SceneKit

Disponível para: Apple Watch Series 6 e posterior

Impacto: o processamento de um ficheiro criado com intuito malicioso poderá provocar uma recusa de serviço

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2024-54501: Michael DePlante (@izobashi) do programa Zero Day Initiative da Trend Micro

Vim

Disponível para: Apple Watch Series 6 e posterior

Impacto: o processamento de um ficheiro criado com intuito malicioso poderá provocar a corrupção da área dinâmica para dados

Descrição: esta é uma vulnerabilidade existente em código open source e o Software da Apple encontra-se entre os projetos afetados. O ID CVE foi atribuído por terceiros. Saiba mais sobre o problema e o ID CVE em cve.org.

CVE-2024-45306

WebKit

Disponível para: Apple Watch Series 6 e posterior

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá provocar uma falha inesperada no processo

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2024-54479: Seunghyun Lee

CVE-2024-54502: Brendon Tiszka do Google Project Zero

WebKit

Disponível para: Apple Watch Series 6 e posterior

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá provocar uma falha inesperada no processo

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2024-54508: linjy do HKUS3Lab e chluo do WHUSecLab, Xiangwei Zhang do Tencent Security YUNDING LAB

WebKit

Disponível para: Apple Watch Series 6 e posterior

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá provocar a corrupção da memória

Descrição: foi resolvido um problema de confusão de tipos através do processamento melhorado da memória.

CVE-2024-54505: Gary Kwong

WebKit

Disponível para: Apple Watch Series 6 e posterior

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá provocar a corrupção da memória

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2024-54534: Tashita Software Security

CVE-2024-54543: Lukas Bernhard, Gary Kwong e um investigador anónimo

Agradecimentos adicionais

Bluetooth

Gostaríamos de agradecer a Sophie Winter pela sua colaboração.

FaceTime

Os nossos agradecimentos a 椰椰 pela sua colaboração.

Proximity

Gostaríamos de agradecer a Junming C. (@Chapoly1305) e ao Prof. Qiang Zeng da George Mason University pela sua colaboração.

Swift

Gostaríamos de agradecer a Marc Schoenefeld, Dr. rer. nat. pela sua colaboração.

WebKit

Gostaríamos de agradecer a Hafiizh pela sua colaboração.