Acerca das atualizações de segurança da Apple
Para proteção dos nossos clientes, a Apple não divulga, comenta nem confirma problemas de segurança enquanto não for efetuada uma investigação e não estiverem disponíveis as correções ou os lançamentos necessários. Os lançamentos recentes são apresentados na página Atualizações de segurança da Apple.
Sempre que possível, os documentos de segurança da Apple designam as vulnerabilidades através de ID CVE.
Para obter mais informações acerca da segurança, consulte a página Segurança dos produtos Apple.
watchOS 10.1
Data de lançamento: 25 de outubro de 2023
Core Recents
Disponível para: Apple Watch Series 4 e posterior
Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador
Descrição: o problema foi resolvido através da limpeza dos registos
CVE-2023-42823
Entrada adicionada a 16 de fevereiro de 2024
Find My
Disponível para: Apple Watch Series 4 e posterior
Impacto: uma app poderá conseguir ler informações confidenciais de localização
Descrição: o problema foi resolvido através do processamento melhorado de caches.
CVE-2023-40413: Adam M.
Find My
Disponível para: Apple Watch Series 4 e posterior
Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador
Descrição: foi resolvido um problema de privacidade através do processamento melhorado de ficheiros.
CVE-2023-42834: Csaba Fitzl (@theevilbit) da Offensive Security
Entrada adicionada a 16 de fevereiro de 2024
Game Center
Disponível para: Apple Watch Series 4 e posterior
Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador
Descrição: foi resolvido um problema de permissões com restrições adicionais.
CVE-2023-42953: Michael (Biscuit) Thomas - @biscuit@social.lol
Entrada adicionada a 16 de fevereiro de 2024
ImageIO
Disponível para: Apple Watch Series 4 e posterior
Impacto: o processamento de uma imagem criada com intuito malicioso poderá provocar a corrupção da área dinâmica para dados
Descrição: o problema foi resolvido através de verificações melhoradas dos limites.
CVE-2023-42848: JZ
Entrada adicionada a 16 de fevereiro de 2024
Kernel
Disponível para: Apple Watch Series 4 e posterior
Impacto: um atacante que já executou código do kernel poderá conseguir contornar as mitigações da memória do kernel
Descrição: o problema foi resolvido através do processamento da memória melhorado.
CVE-2023-42849: Linus Henze da Pinauten GmbH (pinauten.de)
libxpc
Disponível para: Apple Watch Series 4 e posterior
Impacto: uma app maliciosa poderá conseguir obter privilégios de raiz
Descrição: este problema foi resolvido através do tratamento melhorado de ligações simbólicas.
CVE-2023-42942: Mickey Jin (@patch1t)
Entrada adicionada a 16 de fevereiro de 2024
Mail Drafts
Disponível para: Apple Watch Series 4 e posterior
Impacto: a funcionalidade Ocultar o meu e-mail pode ser desativada de forma inesperada
Descrição: foi resolvido um problema de inconsistência na interface de utilizador através da gestão melhorada do estado.
CVE-2023-40408: Grzegorz Riegel
mDNSResponder
Disponível para: Apple Watch Series 4 e posterior
Impacto: um dispositivo poderá ser seguido passivamente através do respetivo endereço MAC de Wi-Fi
Descrição: este problema foi resolvido através da remoção de código vulnerável.
CVE-2023-42846: Talal Haj Bakry e Tommy Mysk da Mysk Inc. @mysk_co
Sandbox
Disponível para: Apple Watch Series 4 e posterior
Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador
Descrição: este problema foi resolvido através da gestão melhorada do estado.
CVE-2023-42839: Yiğit Can YILMAZ (@yilmazcanyigit)
Entrada adicionada a 16 de fevereiro de 2024
Share Sheet
Disponível para: Apple Watch Series 4 e posterior
Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador
Descrição: um problema de privacidade foi resolvido através de melhorias na redação de dados privados de entradas do registo.
CVE-2023-42878: Kirin (@Pwnrin), Wojciech Regula da SecuRing (wojciechregula.blog) e Cristian Dinca da "Tudor Vianu" National High School of Computer Science, Roménia
Entrada adicionada a 16 de fevereiro de 2024
Siri
Disponível para: Apple Watch Series 4 e posterior
Impacto: um atacante com acesso físico poderá conseguir utilizar a Siri para aceder a dados confidenciais do utilizador
Descrição: este problema foi resolvido através da restrição das opções disponíveis num dispositivo bloqueado.
CVE-2023-41982: Bistrit Dahal
CVE-2023-41997: Bistrit Dahal
CVE-2023-41988: Bistrit Dahal
Entrada atualizada a 16 de fevereiro de 2024
Siri
Disponível para: Apple Watch Series 4 e posterior
Impacto: uma app poderá conseguir divulgar informações confidenciais do utilizador
Descrição: este problema foi resolvido através de melhorias na redação de informações confidenciais.
CVE-2023-42946
Entrada adicionada a 16 de fevereiro de 2024
Weather
Disponível para: Apple Watch Series 4 e posterior
Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador
Descrição: um problema de privacidade foi resolvido através de melhorias na redação de dados privados de entradas do registo.
CVE-2023-41254: Cristian Dinca da "Tudor Vianu" National High School of Computer Science, Roménia
WebKit
Disponível para: Apple Watch Series 4 e posterior
Impacto: o processamento de conteúdos web poderá provocar a execução de um código arbitrário
Descrição: o problema foi resolvido através do processamento da memória melhorado.
WebKit Bugzilla: 259836
CVE-2023-40447: 이준성(Junsung Lee) da Cross Republic
WebKit
Disponível para: Apple Watch Series 4 e posterior
Impacto: o processamento de conteúdos web poderá provocar a execução de um código arbitrário
Descrição: foi resolvido um problema do tipo "use after free" (utilização após libertação de memória) através da gestão melhorada da memória.
WebKit Bugzilla: 259890
CVE-2023-41976: 이준성(Junsung Lee)
WebKit
Disponível para: Apple Watch Series 4 e posterior
Impacto: o processamento de conteúdos web poderá provocar a execução de um código arbitrário
Descrição: foi resolvido um problema de lógica através de verificações melhoradas.
WebKit Bugzilla: 260173
CVE-2023-42852: Pedro Ribeiro (@pedrib1337) e Vitor Pedreira (@0xvhp_) da Agile Information Security
Entrada atualizada a 16 de fevereiro de 2024
Agradecimentos adicionais
VoiceOver
Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College Of Technology Bhopal, Índia, pela sua colaboração.
WebKit
Gostaríamos de agradecer a um investigador anónimo pela sua colaboração.