Despre conținutul de securitate din watchOS 8.5

Acest document descrie conținutul de securitate din watchOS 8.5.

Despre actualizările de securitate Apple

Pentru protecția clienților noștri, Apple nu divulgă, nu discută și nu confirmă problemele de securitate până când nu se efectuează o investigație și până când nu sunt disponibile corecții sau versiuni noi. Versiunile recente sunt listate pe pagina Actualizări de securitate Apple.

Documentele de securitate Apple menționează vulnerabilitățile după CVE-ID (ID CVE), atunci când este posibil.

Pentru informații suplimentare despre securitate, consultă pagina referitoare la securitatea produselor Apple.

watchOS 8.5

Accelerate Framework

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: deschiderea unui fișier PDF creat cu rea intenție poate duce la închiderea neașteptată a aplicației sau la executarea unui cod aleatoriu

Descriere: o problemă de alterare a memoriei a fost rezolvată prin îmbunătățirea gestionării stării.

CVE-2022-22633: ryuzaki

AppleAVD

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: procesarea unei imagini create cu rea intenție poate cauza alterarea segmentului

Descriere: a fost rezolvată o problemă de deteriorare a memoriei prin îmbunătățirea validării.

CVE-2022-22666: Marc Schoenefeld, Dr. rer. nat.

ImageIO

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: procesarea unei imagini create cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: a fost rezolvată o citire în afara limitelor prin îmbunătățirea validării intrării.

CVE-2022-22611: Xingyu Jin (Google)

ImageIO

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: procesarea unei imagini create cu rea intenție poate cauza alterarea segmentului

Descriere: a fost rezolvată o problemă de consumare a memoriei prin îmbunătățirea tratării memoriei.

CVE-2022-22612: Xingyu Jin (Google)

Kernel

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: o aplicație poate executa un cod arbitrar cu privilegii de kernel

Descriere: a fost rezolvată o problemă de deteriorare a memoriei prin îmbunătățirea validării.

CVE-2022-22596: un cercetător anonim

CVE-2022-22640: sqrtpwn

Kernel

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: o aplicație poate executa un cod arbitrar cu privilegii de kernel

Descriere: a fost rezolvată o problemă de scriere în afara limitelor prin îmbunătățirea verificării limitelor.

CVE-2022-22613: Alex, un cercetător anonim

Kernel

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: o aplicație poate executa un cod arbitrar cu privilegii de kernel

Descriere: o problemă de corupere a memoriei a fost rezolvată printr-o gestionare mai bună a memoriei.

CVE-2022-22614: un cercetător anonim

CVE-2022-22615: un cercetător anonim

Kernel

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: o aplicație rău intenționată poate să acorde privilegii superioare

Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea gestionării stării.

CVE-2022-22632: Keegan Saunders

Kernel

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: un atacator în poziție privilegiată ar putea iniția un atac de refuzare a serviciului

Descriere: a fost rezolvată o problemă de anulare a referinței pentru indicatorul nul prin îmbunătățirea validării.

CVE-2022-22638: derrek (@derrekr6)

LaunchServices

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: o aplicație poate să ocolească anumite preferințe de confidențialitate

Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea restricțiilor.

CVE-2021-30946: @gorelics și Ron Masas de la BreakPoint.sh

libarchive

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: mai multe probleme în libarchive

Descriere: în libarchive erau mai multe probleme de corupere a memoriei. Aceste probleme au fost rezolvate printr-o îmbunătățire a validării intrărilor.

CVE-2021-36976

LLVM

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: o aplicație poate șterge fișiere pentru care nu are permisiune

Descriere: a fost rezolvată o condiție de rulare prin validare suplimentară.

CVE-2022-21658: Florian Weimer (@fweimer)

MediaRemote

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: o aplicație rău intenționată poate identifica ce alte aplicații a instalat utilizatorul

Descriere: o problemă de acces a fost rezolvată prin restricții suplimentare pentru acces.

CVE-2022-22670: Brandon Azad

Phone

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: un utilizator poate ocoli solicitarea de cod de acces pentru SOS de urgență

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2022-22618: Yicong Ding (@AntonioDing)

Preferences

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: o aplicație rău intenționată poate citi configurările altor aplicații

Descriere: problema a fost remediată prin verificări suplimentare ale permisiunilor.

CVE-2022-22609: Mickey Jin (@patch1t), Zhipeng Huo (@R3dF09) și Yuebin Sun (@yuebinsun2020) (Tencent Security Xuanwu Lab) (xlab.tencent.com)

Safari

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: accesarea unui site web rău intenționat poate cauza falsificarea barei de adrese

Descriere: a fost rezolvată o problemă la interfața cu utilizatorul.

CVE-2022-22654: Abdullah Md Shaleh (take0ver)

Sandbox

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: este posibil ca o aplicație rău intenționată să poată ocoli anumite restricții de confidențialitate

Descriere: problema a fost remediată prin îmbunătățirea logicii pentru permisiuni.

CVE-2022-22600: Sudhakar Muthumani (@sudhakarmuthu04) (Primefort Private Limited), Khiem Tran

Siri

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: o persoană care are acces fizic la un dispozitiv ar putea folosi Siri pentru a obține anumite informații despre locație din ecranul de blocare

Descriere: a fost rezolvată o problemă de permisiune prin îmbunătățirea validării.

CVE-2022-22599: Andrew Goldberg (University of Texas, Austin, McCombs School of Business) (linkedin.com/andrew-goldberg-/)

UIKit

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: o persoană cu acces fizic la un dispozitiv iOS ar putea accesa informații sensibile prin intermediul sugestiilor de la tastatură

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2022-22621: Joey Hewitt

WebKit

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: procesarea conținutului unui site web rău intenționat poate dezvălui informații sensibile ale utilizatorului

Descriere: a fost rezolvată o problemă de gestionare a modulelor cookie prin gestionarea îmbunătățită a stării.

CVE-2022-22662: Prakash (@1lastBr3ath) (Threat Nix)

WebKit

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod

Descriere: o problemă de alterare a memoriei a fost rezolvată prin îmbunătățirea gestionării stării.

CVE-2022-22610: Quan Yin (Bigo Technology Live Client Team)

WebKit

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: o problemă de corupere a memoriei a fost rezolvată printr-o gestionare mai bună a memoriei.

CVE-2022-22624: Kirin (@Pwnrin) (Tencent Security Xuanwu Lab)

CVE-2022-22628: Kirin (@Pwnrin) (Tencent Security Xuanwu Lab)

WebKit

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: a fost rezolvată o problemă de depășire a memoriei-tampon prin îmbunătățirea tratării memoriei.

CVE-2022-22629: Jeonghoon Shin (Theori) în colaborare cu Zero Day Initiative (Trend Micro)

WebKit

Disponibilitate: Apple Watch Series 3 și modelele ulterioare

Impact: un site web rău intenționat poate cauza un comportament neașteptat privind originile diferite

Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea gestionării stării.

CVE-2022-22637: Tom McKee (Google)

Alte mențiuni

AirDrop

Dorim să le mulțumim lui Omar Espino (omespino.com) și lui Ron Masas (BreakPoint.sh) pentru asistența acordată.

Bluetooth

Dorim să îi mulțumim unui cercetător anonim pentru asistență.

Face Gallery

Dorim să îi mulțumim lui Tian Zhang (@KhaosT) pentru asistența acordată.

Safari

Dorim să îi mulțumim lui Konstantin Darutkin (FingerprintJS) (fingerprintjs.com) pentru asistența acordată.

Shortcuts

Dorim să îi mulțumim lui Baibhav Anand Jha (Streamers Land) pentru asistența acordată.

Siri

Dorim să îi mulțumim unui cercetător anonim pentru asistență.

syslog

Dorim să îi mulțumim lui Yonghwi Jin (@jinmo123) (Theori) pentru asistența acordată.

UIKit

Dorim să-i mulțumim lui Tim Shadel (Day Logger) pentru asistența acordată.

Wallet

Dorim să îi mulțumim unui cercetător anonim pentru asistență.

WebKit

Dorim să îi mulțumim lui Abdullah Md Shaleh pentru asistența acordată.

WebKit Storage

Dorim să îi mulțumim lui Martin Bajanik (FingerprintJS) pentru asistența acordată.