Despre conținutul de securitate din watchOS 9.1

Acest document descrie conținutul de securitate din watchOS 9.1.

Despre actualizările de securitate Apple

Pentru protecția clienților noștri, Apple nu divulgă, nu discută și nu confirmă problemele de securitate până când nu se efectuează o investigație și până când nu sunt disponibile corecții sau versiuni noi. Versiunile recente sunt listate pe pagina Actualizări de securitate Apple.

Documentele de securitate Apple menționează vulnerabilitățile după CVE-ID (ID CVE), atunci când este posibil.

Pentru informații suplimentare despre securitate, consultă pagina referitoare la securitatea produselor Apple.

watchOS 9.1

AppleMobileFileIntegrity

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: o aplicație poate modifica unele componente protejate ale sistemului de fișiere

Descriere: această problemă a fost rezolvată prin eliminarea drepturilor suplimentare.

CVE-2022-42825: Mickey Jin (@patch1t)

Apple Neural Engine

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel

Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.

CVE-2022-32932: Mohamed Ghannam (@_simo36)

Audio

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: analizarea unui fișier audio creat cu rea intenție poate cauza divulgarea informațiilor despre utilizator

Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.

CVE-2022-42798: anonim, în colaborare cu Trend Micro Zero Day Initiative

AVEVideoEncoder

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel

Descriere: problema a fost remediată prin îmbunătățirea verificării limitelor.

CVE-2022-32940: ABC Research s.r.o.

CFNetwork

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: procesarea unui certificat creat cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: a existat o problemă de validare a certificatelor la tratarea WKWebView. Această problemă a fost rezolvată prin îmbunătățirea validării.

CVE-2022-42813: Jonathan Zhang (Open Computing Facility) (ocf.berkeley.edu)

GPU Drivers

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel

Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.

CVE-2022-32947: Asahi Lina (@LinaAsahi)

Kernel

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: o aplicație poate provoca o închidere neașteptată a sistemului sau poate executa cod cu privilegii de kernel

Descriere: o problemă de corupere a memoriei a fost rezolvată printr-o gestionare mai bună a memoriei.

CVE-2022-46712: Tommy Muir (@Muirey03)

Kernel

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel

Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.

CVE-2022-32924: Ian Beer de la Google Project Zero

Kernel

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: un utilizator la distanță poate cauza executarea codului kernel

Descriere: a fost rezolvată o problemă de scriere în afara limitelor prin îmbunătățirea verificării limitelor.

CVE-2022-42808: Zweig (Kunlun Lab)

Kernel

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel

Descriere: o problemă de alterare a memoriei a fost rezolvată prin îmbunătățirea gestionării stării.

CVE-2022-32944: Tim Michaud (@TimGMichaud) de la Moveworks.ai

Kernel

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel

Descriere: a fost rezolvată o condiție de rulare prin îmbunătățirea blocării.

CVE-2022-42803: Xinru Chi (Pangu Lab), John Aakerblom (@jaakerblom)

Kernel

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: o aplicație cu privilegii de rădăcină poate să execute cod arbitrar cu privilegii de kernel

Descriere: problema a fost remediată prin îmbunătățirea verificării limitelor.

CVE-2022-32926: Tim Michaud (@TimGMichaud) (Moveworks.ai)

Kernel

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel

Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea verificărilor.

CVE-2022-42801: Ian Beer de la Google Project Zero

Safari

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: accesarea unui site web rău intenționat poate cauza scurgeri de date sensibile

Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea gestionării stării.

CVE-2022-42817: Mir Masood Ali (PhD student, University of Illinois, Chicago), Binoy Chitale (MS student, Stony Brook University), Mohammad Ghasemisharif (PhD Candidate, University of Illinois, Chicago), Chris Kanich (Associate Professor, University of Illinois, Chicago)

Sandbox

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: este posibil ca o aplicație să poată accesa date sensibile ale utilizatorilor

Descriere: o problemă de acces a fost rezolvată prin restricții suplimentare pentru sandbox.

CVE-2022-42811: Justin Bui (@slyd0g) (Snowflake)

WebKit

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: accesarea unui site web rău intenționat poate cauza falsificarea interfeței cu utilizatorul

Descriere: problema a fost remediată prin îmbunătățirea gestionării interfeței cu utilizatorul.

CVE-2022-42799: Jihwan Kim (@gPayl0ad), Dohyun Lee (@l33d0hyun)

WebKit

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: a fost rezolvată o problemă de confuzie a tipului prin îmbunătățirea tratării memoriei.

CVE-2022-42823: Dohyun Lee (@l33d0hyun) (SSD Labs)

WebKit

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: procesarea conținutului unui site web rău intenționat poate dezvălui informații sensibile ale utilizatorului

Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea gestionării stării.

CVE-2022-42824: Abdulrahman Alqabandi (Microsoft Browser Vulnerability Research), Ryan Shin (IAAI SecLab, Korea University), Dohyun Lee (@l33d0hyun) (DNSLab, Korea University)

WebKit

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: procesarea conținutului unui site web creat cu rea intenție poate dezvălui stările interne ale aplicației

Descriere: a fost rezolvată o problemă de corectitudine în JIT prin îmbunătățirea verificărilor.

CVE-2022-32923: Wonyoung Jung (@nonetype_pwn) de la KAIST Hacking Lab

zlib

Disponibilitate: Apple Watch Series 4 și modele ulterioare

Impact: un utilizator poate cauza închiderea neașteptată a aplicației sau executarea unui cod arbitrar

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2022-37434: Evgeny Legerov

CVE-2022-42800: Evgeny Legerov

Alte mențiuni

iCloud

Dorim să îi mulțumim lui Tim Michaud (@TimGMichaud) (Moveworks.ai) pentru asistența acordată.

Kernel

Dorim să le mulțumim lui Peter Nguyen (STAR Labs), lui Tim Michaud (@TimGMichaud) (Moveworks.ai) și lui Tommy Muir (@Muirey03) pentru asistența acordată.

WebKit

Dorim să le mulțumim lui Maddie Stone (Google Project Zero), lui Narendra Bhati (@imnarendrabhati) (Suma Soft Pvt. Ltd.) și unui cercetător anonim pentru asistența acordată.