Acerca dos conteúdos de segurança do watchOS 3.2

Este documento descreve os conteúdos de segurança do watchOS 3.2.

Acerca das atualizações de segurança da Apple

Para proteção dos nossos clientes, a Apple não divulga, comenta nem confirma problemas de segurança enquanto não for efetuada uma investigação e não estiverem disponíveis as correções ou versões necessárias. Os lançamentos recentes são apresentados na página Atualizações de segurança da Apple.

Para obter mais informações acerca da segurança, consulte a página Segurança dos produtos Apple. Pode cifrar comunicações com a Apple através da Chave PGP de segurança dos produtos Apple.

Sempre que possível, os documentos de segurança da Apple designam as vulnerabilidades através de ID CVE.

watchOS 3.2

Áudio

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de um ficheiro de áudio criado com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: foi resolvido um problema de corrupção de memória através da validação melhorada da entrada.

CVE-2017-2430: um investigador anónimo em colaboração com o programa Zero Day Initiative da Trend Micro

CVE-2017-2462: um investigador anónimo em colaboração com o programa Zero Day Initiative da Trend Micro

Carbon

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de um ficheiro .dfont criado com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: existia um problema de ultrapassagem do limite máximo do buffer no processamento de ficheiros de tipo de letra. Este problema foi resolvido através da verificação melhorada dos limites.

CVE-2017-2379: riusksk (泉哥) do Departamento da plataforma de segurança da Tencent, John Villamil, Doyensec

CoreGraphics

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de uma imagem criada com intuito malicioso poderá provocar uma recusa de serviço

Descrição: foi resolvido um problema de recursão infinita através da gestão melhorada do estado.

CVE-2017-2417: riusksk (泉哥) do Departamento da plataforma de segurança da Tencent

CoreGraphics

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: foram resolvidos vários problemas de corrupção de memória através da validação melhorada da entrada.

CVE-2017-2444: Mei Wang da 360 GearTeam

CoreText

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de um ficheiro de tipo de letra criado com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: foi resolvido um problema de corrupção de memória através da validação melhorada da entrada.

CVE-2017-2435: John Villamil, Doyensec

CoreText

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de um tipo de letra criado com intuito malicioso poderá provocar a divulgação da memória de processamento

Descrição: foi resolvido um problema de leitura fora dos limites através da validação melhorada da entrada.

CVE-2017-2450: John Villamil, Doyensec

CoreText

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de uma mensagem de texto criada com intuito malicioso poderá provocar uma recusa de serviço da aplicação

Descrição: foi resolvido um problema de esgotamento de recursos através da validação melhorada da entrada.

CVE-2017-2461: um investigador anónimo, Isaac Archambault da IDAoADI

FontParser

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de um ficheiro de tipo de letra criado com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: foram resolvidos vários problemas de corrupção de memória através da validação melhorada da entrada.

CVE-2017-2487: riusksk (泉哥) do Departamento da plataforma de segurança da Tencent

CVE-2017-2406: riusksk (泉哥) do Departamento da plataforma de segurança da Tencent

FontParser

Disponível para: todos os modelos de Apple Watch

Impacto: analisar um ficheiro de tipo de letra criado com intuito malicioso poderá provocar o encerramento inesperado da aplicação ou a execução de um código arbitrário

Descrição: foram resolvidos vários problemas de corrupção de memória através da validação melhorada da entrada.

CVE-2017-2407: riusksk (泉哥) do Departamento da plataforma de segurança da Tencent

FontParser

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de um tipo de letra criado com intuito malicioso poderá provocar a divulgação da memória de processamento

Descrição: foi resolvido um problema de leitura fora dos limites através da validação melhorada da entrada.

CVE-2017-2439: John Villamil, Doyensec

HTTPProtocol

Disponível para: todos os modelos de Apple Watch

Impacto: um servidor HTTP/2 malicioso poderá conseguir provocar um comportamento indefinido

Descrição: existiam vários problemas em versões do nghttp2 anteriores à 1.17.0. Estes problemas foram resolvidos através da atualização do nghttp2 para a versão 1.17.0.

CVE-2017-2428

ImageIO

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de uma imagem criada com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: foi resolvido um problema de corrupção de memória através da validação melhorada da entrada.

CVE-2017-2416: Qidan He (何淇丹, @flanker_hqd) do KeenLab, Tencent

ImageIO

Disponível para: todos os modelos de Apple Watch

Impacto: a visualização de um ficheiro JPEG criado com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: foi resolvido um problema de corrupção de memória através da validação melhorada da entrada.

CVE-2017-2432: um investigador anónimo em colaboração com o programa Zero Day Initiative da Trend Micro

ImageIO

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de um ficheiro criado com intuito malicioso poderá provocar o encerramento inesperado da aplicação ou a execução de um código arbitrário

Descrição: foi resolvido um problema de corrupção de memória através da validação melhorada da entrada.

CVE-2017-2467

ImageIO

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de uma imagem criada com intuito malicioso poderá provocar o encerramento inesperado da aplicação

Descrição: existia um problema de leitura fora dos limites em versões do LibTIFF anteriores à 4.0.7. Este problema foi resolvido através da atualização do LibTIFF no ImageIO para a versão 4.0.7.

CVE-2016-3619

Kernel

Disponível para: todos os modelos de Apple Watch

Impacto: uma aplicação poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvido um problema de corrupção de memória através da validação melhorada da entrada.

CVE-2017-2401: Lufeng Li da Equipa Vulcan da Qihoo 360

Kernel

Disponível para: todos os modelos de Apple Watch

Impacto: uma aplicação poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvido um problema de ultrapassagem do limite máximo de números inteiros através da validação melhorada da entrada.

CVE-2017-2440: um investigador anónimo

Kernel

Disponível para: todos os modelos de Apple Watch

Impacto: uma aplicação maliciosa poderá conseguir executar um código arbitrário com privilégios de raiz

Descrição: foi resolvida uma condição de disputa através do processamento melhorado da memória.

CVE-2017-2456: lokihardt do Google Project Zero

Kernel

Disponível para: todos os modelos de Apple Watch

Impacto: uma aplicação poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvido um problema do tipo "use after free" (utilização após libertação de memória) através da gestão melhorada da memória.

CVE-2017-2472: Ian Beer do Google Project Zero

Kernel

Disponível para: todos os modelos de Apple Watch

Impacto: uma aplicação maliciosa poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvido um problema de corrupção de memória através da validação melhorada da entrada.

CVE-2017-2473: Ian Beer do Google Project Zero

Kernel

Disponível para: todos os modelos de Apple Watch

Impacto: uma aplicação poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvido um problema de off-by-one através da verificação melhorada dos limites.

CVE-2017-2474: Ian Beer do Google Project Zero

Kernel

Disponível para: todos os modelos de Apple Watch

Impacto: uma aplicação poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvida uma condição de disputa através do bloqueio melhorado.

CVE-2017-2478: Ian Beer do Google Project Zero

Kernel

Disponível para: todos os modelos de Apple Watch

Impacto: uma aplicação poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvido um problema de ultrapassagem do limite máximo do buffer através do processamento melhorado da memória.

CVE-2017-2482: Ian Beer do Google Project Zero

CVE-2017-2483: Ian Beer do Google Project Zero

Kernel

Disponível para: todos os modelos de Apple Watch

Impacto: uma aplicação poderá conseguir executar um código arbitrário com privilégios elevados

Descrição: foi resolvido um problema de corrupção de memória através do processamento melhorado da memória.

CVE-2017-2490: Ian Beer do Google Project Zero, Centro Nacional de Cibersegurança do Reino Unido (NCSC)

Teclados

Disponível para: todos os modelos de Apple Watch

Impacto: uma aplicação poderá conseguir executar um código arbitrário

Descrição: foi resolvido um problema de ultrapassagem do limite máximo do buffer através da verificação melhorada dos limites.

CVE-2017-2458: Shashank (@cyberboyIndia)

libarchive

Disponível para: todos os modelos de Apple Watch

Impacto: um atacante local poderá conseguir modificar as permissões do sistema de ficheiros em diretórios arbitrários

Descrição: existia um problema de validação no processamento de ligações simbólicas. Este problema foi resolvido através da validação melhorada de ligações simbólicas.

CVE-2017-2390: Omer Medan da enSilo Ltd

libc++abi

Disponível para: todos os modelos de Apple Watch

Impacto: descodificar (demangling) uma aplicação C++ maliciosa poderá provocar a execução de um código arbitrário

Descrição: foi resolvido um problema do tipo "use after free" (utilização após libertação de memória) através da gestão melhorada da memória.

CVE-2017-2441

libxslt

Disponível para: todos os modelos de Apple Watch

Impacto: várias vulnerabilidades no libxslt

Descrição: foram resolvidos vários problemas de corrupção de memória através do processamento melhorado da memória.

CVE-2017-5029: Holger Fuhrmannek

Segurança

Disponível para: todos os modelos de Apple Watch

Impacto: uma aplicação poderá conseguir executar um código arbitrário com privilégios de raiz

Descrição: foi resolvido um problema de ultrapassagem do limite máximo do buffer através da verificação melhorada dos limites.

CVE-2017-2451: Alex Radocea da Longterm Security, Inc.

Segurança

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de um certificado x509 criado com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: existia um problema de corrupção de memória na análise de certificados. Este problema foi resolvido através da validação melhorada da entrada.

CVE-2017-2485: Aleksandar Nikolic da Cisco Talos

WebKit

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: foi resolvido um problema de confusão de tipos através do processamento melhorado da memória.

CVE-2017-2415: Kai Kang do Xuanwu Lab da Tencent (tencent.com)

WebKit

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá provocar o consumo elevado de memória

Descrição: foi resolvido um problema de consumo de recursos sem controlo através do processamento melhorado do regex.

CVE-2016-9643: Gustavo Grieco

WebKit

Disponível para: todos os modelos de Apple Watch

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: foi resolvido um problema do tipo "use after free" (utilização após libertação de memória) através da gestão melhorada da memória.

CVE-2017-2471: Ivan Fratric do Google Project Zero

Agradecimentos adicionais

XNU

Gostaríamos de agradecer a Lufeng Li da Equipa Vulcan da Qihoo 360 pela sua ajuda.