Despre conținutul de securitate din watchOS 6.2

Acest document descrie conținutul de securitate din watchOS 6.2.

Despre actualizările de securitate Apple

Pentru protecția clienților noștri, Apple nu divulgă, nu discută și nu confirmă problemele de securitate până când nu se efectuează o investigație și până când nu sunt disponibile corecții sau versiuni noi. Versiunile recente sunt listate pe pagina Actualizări de securitate Apple.

Documentele de securitate Apple menționează vulnerabilitățile după CVE-ID (ID CVE), atunci când este posibil.

Pentru informații suplimentare despre securitate, consultă pagina referitoare la securitatea produselor Apple.

watchOS 6.2

Lansare: 24 martie 2020

Conturi

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: este posibil ca un proces din sandbox să poată ocoli restricțiile sandboxului

Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea restricțiilor.

CVE-2020-9772: Allison Husain (UC Berkeley)

Adăugare intrare: 21 mai 2020

ActionKit

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: o aplicație poate utiliza un client SSH furnizat de cadre de lucru private

Descriere: această problemă a fost rezolvată prin noi drepturi.

CVE-2020-3917: Steven Troughton-Smith (@stroughtonsmith)

AppleMobileFileIntegrity

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: o aplicație poate folosi drepturi arbitrare

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2020-3883: Linus Henze (pinauten.de)

CoreFoundation

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: o aplicație rău intenționată poate să acorde privilegii superioare

Descriere: a existat o problemă de permisiune. Această problemă a fost rezolvată prin îmbunătățirea validării permisiunilor.

CVE-2020-3913: Timo Christ (Avira Operations GmbH & Co. KG)

Pictograme

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: o aplicație rău intenționată poate identifica ce alte aplicații a instalat utilizatorul

Descriere: problema a fost tratată printr-o manipulare îmbunătățită a memorării în cache a pictogramelor.

CVE-2020-9773: Chilik Tamir (Zimperium zLabs)

Pictograme

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: setarea unei pictograme alternative pentru aplicație poate dezvălui o fotografie fără să fie necesară permisiunea de a accesa fotografiile

Descriere: o problemă de acces a fost rezolvată prin restricții suplimentare pentru sandbox.

CVE-2020-3916: Vitaliy Alekseev (@villy21)

Procesarea imaginilor

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: o aplicație poate executa un cod arbitrar cu privilegii de sistem

Descriere: o problemă de corupere a memoriei a fost rezolvată printr-o gestionare mai bună a memoriei.

CVE-2020-9768: Mohamed Ghannam (@_simo36)

IOHIDFamily

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: este posibil ca o aplicație rău intenționată să poată executa un cod arbitrar având privilegii de kernel

Descriere: a fost rezolvată o problemă de inițializare a memoriei prin îmbunătățirea tratării memoriei.

CVE-2020-3919: Alex Plaskett (F-Secure Consulting)

Intrare actualizată pe 21 mai 2020

Kernel

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: o aplicație poate citi memorie restricționată

Descriere: a fost rezolvată o problemă de inițializare a memoriei prin îmbunătățirea tratării memoriei.

CVE-2020-3914: pattern-f (@pattern_F_) (WaCai)

Kernel

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: este posibil ca o aplicație rău intenționată să poată executa un cod arbitrar având privilegii de kernel

Descriere: au fost rezolvate mai multe probleme de alterare a memoriei prin îmbunătățirea gestionării stării.

CVE-2020-9785: Proteas (Qihoo 360 Nirvan Team)

libxml2

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: probleme multiple în libxml2

Descriere: o problemă de depășire a memoriei-tampon a fost rezolvată prin îmbunătățirea verificării limitelor.

CVE-2020-3909: LGTM.com

CVE-2020-3911: problemă găsită de OSS-Fuzz

libxml2

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: probleme multiple în libxml2

Descriere: a fost rezolvată o problemă de depășire de memoriei-tampon prin îmbunătățirea validării dimensiunii.

CVE-2020-3910: LGTM.com

Mesaje

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: o persoană cu acces fizic la un dispozitiv iOS blocat poate răspunde la mesaje chiar și atunci când răspunsurile la mesaje sunt dezactivate

Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea gestionării stării.

CVE-2020-3891: Peter Scott

Sandbox

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: se poate ca un utilizator local să vizualizeze informații sensibile despre utilizator

Descriere: o problemă de acces a fost rezolvată prin restricții suplimentare pentru sandbox.

CVE-2020-3918: Augusto Alvarez (Outcourse Limited)

Adăugare intrare: 1 mai 2020

WebKit

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: anumite site-uri pot să nu fie afișate în Preferințe Safari

Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea restricțiilor.

CVE-2020-9787: Ryan Pickren (ryanpickren.com)

Adăugare intrare: 1 mai 2020

WebKit

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: un atacator de la distanță poate cauza executarea unui cod arbitrar

Descriere: a fost rezolvată o problemă de consumare a memoriei prin îmbunătățirea tratării memoriei.

CVE-2020-3899: problemă găsită de OSS-Fuzz

Adăugare intrare: 1 mai 2020

WebKit

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: a fost rezolvată o problemă de deteriorare a memoriei prin îmbunătățirea tratării memoriei.

CVE-2020-3895: grigoritchy

CVE-2020-3900: Dongzhuo Zhao în colaborare cu ADLab (Venustech)

WebKit

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: a fost rezolvată o problemă de confuzie a tipului prin îmbunătățirea tratării memoriei.

CVE-2020-3901: Benjamin Randazzo (@____benjamin)

WebKit

Disponibilitate: Apple Watch Series 1 și modelele ulterioare

Impact: un atacator de la distanță poate cauza executarea unui cod arbitrar

Descriere: a fost rezolvată o problemă de confuzie a tipului prin îmbunătățirea tratării memoriei.

CVE-2020-3897: Brendan Draper (@6r3nd4n) lucrând cu Trend Micro’s Zero Day Initiative

Alte mențiuni

FontParser

Dorim să îi mulțumim lui Matthew Denton (Google Chrome) pentru asistența acordată.

Kernel

Dorim să îi mulțumim lui Siguza pentru asistența acordată.

LinkPresentation

Dorim să îi mulțumim lui Travis pentru asistența acordată.

Telefon

Dorim să îi mulțumim lui Yiğit Can YILMAZ (@yilmazcanyigit) pentru asistență.

rapportd

Dorim să îi mulțumim lui Alexander Heinrich (@Sn0wfreeze) (Technische Universität Darmstadt) pentru asistența acordată.

WebKit

Dorim să le mulțumim lui Samuel Groß (Google Project Zero) și lui hearmen pentru asistența acordată.

Intrare actualizată pe 4 aprilie 2020

Informațiile despre produsele care nu sunt fabricate de Apple sau despre site-urile web independente care nu sunt controlate sau testate de Apple sunt furnizate fără recomandare sau aprobare. Apple nu își asumă nicio responsabilitate în ceea ce privește selectarea, funcționarea sau utilizarea site-urilor web sau produselor de la terți. Apple nu face niciun fel de declarații privind acuratețea sau fiabilitatea site-urilor web terțe. Contactează furnizorul acestor produse pentru a obține mai multe informații.

Data publicării: