Despre actualizările de securitate Apple
Pentru protecția clienților noștri, Apple nu divulgă, nu discută și nu confirmă problemele de securitate până când nu se efectuează o investigație și până când nu sunt disponibile corecții sau versiuni noi. Versiunile recente sunt listate pe pagina Actualizări de securitate Apple.
Documentele de securitate Apple menționează vulnerabilitățile după CVE-ID (ID CVE), atunci când este posibil.
Pentru informații suplimentare despre securitate, consultă pagina referitoare la securitatea produselor Apple.
watchOS 9
Lansare: 12 septembrie 2022
Accelerate Framework
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: procesarea unei imagini create cu rea intenție poate cauza executarea unui cod arbitrar
Descriere: a fost rezolvată o problemă de consumare a memoriei prin îmbunătățirea tratării memoriei.
CVE-2022-42795: ryuzaki
AppleAVD
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel
Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.
CVE-2022-32907: Natalie Silvanovich de la Google Project Zero, Antonio Zekic (@antoniozekic) și John Aakerblom (@jaakerblom), ABC Research s.r.o, Yinyi Wu, Tommaso Bianco (@cutesmilee__)
Apple Neural Engine
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate scurge informații sensibile privind starea kernelului
Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.
CVE-2022-32858: Mohamed Ghannam (@_simo36)
Apple Neural Engine
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel
Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.
CVE-2022-32898: Mohamed Ghannam (@_simo36)
CVE-2022-32899: Mohamed Ghannam (@_simo36)
CVE-2022-32889: Mohamed Ghannam (@_simo36)
Contacts
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate să ocolească preferințele de confidențialitate
Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.
CVE-2022-32854: Holger Fuhrmannek (Deutsche Telekom Security)
Exchange
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: un utilizator cu o poziție privilegiată în rețea poate intercepta acreditări pentru e-mail
Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea restricțiilor.
CVE-2022-32928: Jiří Vinopal (@vinopaljiri) (Check Point Research)
Actualizare intrare: 8 iunie 2023
GPU Drivers
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel
Descriere: o problemă de corupere a memoriei a fost rezolvată printr-o gestionare mai bună a memoriei.
CVE-2022-32903: un cercetător anonim
ImageIO
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: procesarea unei imagini poate duce la refuzul serviciului
Descriere: a fost rezolvată o problemă de refuzare a serviciului prin îmbunătățirea validării.
CVE-2022-1622
Image Processing
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație din sandbox poate fi capabilă să determine ce aplicație utilizează în prezent camera
Descriere: problema a fost rezolvată prin restricții suplimentare privind observabilitatea stărilor aplicațiilor.
CVE-2022-32913: Yiğit Can YILMAZ (@yilmazcanyigit)
Kernel
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate să divulge conținutul memoriei kernel
Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.
CVE-2022-32864: Linus Henze (Pinauten GmbH) (pinauten.de)
Kernel
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel
Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.
CVE-2022-32866: Linus Henze de la Pinauten GmbH (pinauten.de)
CVE-2022-32911: Zweig (Kunlun Lab)
Kernel
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel
Descriere: o problemă de corupere a memoriei a fost rezolvată printr-o gestionare mai bună a memoriei.
CVE-2022-32914: Zweig de la Kunlun Lab
Kernel
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate executa un cod arbitrar cu privilegii de kernel. Apple are cunoștință de un raport conform căruia această problemă ar fi putut fi exploatată în mod activ.
Descriere: a fost rezolvată o problemă de scriere în afara limitelor prin îmbunătățirea verificării limitelor.
CVE-2022-32894: un cercetător anonim
Maps
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate citi informații de localizare sensibile
Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea restricțiilor.
CVE-2022-32883: Ron Masas (breakpointhq.com)
MediaLibrary
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: un utilizator poate să acorde privilegii superioare
Descriere: o problemă de alterare a memoriei a fost rezolvată prin îmbunătățirea validării intrării.
CVE-2022-32908: un cercetător anonim
Notifications
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: un utilizator cu acces fizic la un dispozitiv poate accesa contacte din ecranul de blocare
Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea gestionării stării.
CVE-2022-32879: Ubeydullah Sümer
Sandbox
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate modifica unele componente protejate ale sistemului de fișiere
Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea restricțiilor.
CVE-2022-32881: Csaba Fitzl (@theevilbit) de la Offensive Security
Siri
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: un utilizator cu acces fizic la un dispozitiv ar putea folosi Siri pentru a obține anumite informații despre istoricul apelurilor
Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea gestionării stării.
CVE-2022-32870: Andrew Goldberg (The McCombs School of Business, The University of Texas, Austin) (linkedin.com/in/andrew-goldberg-/)
SQLite
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: un utilizator la distanță poate provoca un refuz al serviciului
Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.
CVE-2021-36690
Watch app
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate citi un identificator de dispozitiv persistent
Descriere: această problemă a fost rezolvată prin îmbunătățirea drepturilor.
CVE-2022-32835: Guilherme Rambo de la Best Buddy Apps (rambo.codes)
Weather
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate citi informații de localizare sensibile
Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea gestionării stării.
CVE-2022-32875: un cercetător anonim
WebKit
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar
Descriere: a fost rezolvată o problemă de depășire a memoriei-tampon prin îmbunătățirea tratării memoriei.
WebKit Bugzilla: 241969
CVE-2022-32886: P1umer(@p1umer), afang(@afang5472), xmzyshypnc(@xmzyshypnc1)
WebKit
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar
Descriere: a fost rezolvată o problemă de scriere în afara limitelor prin îmbunătățirea verificării limitelor.
WebKit Bugzilla: 242047
CVE-2022-32888: P1umer (@p1umer)
WebKit
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar
Descriere: a fost rezolvată o problemă de citire în afara limitelor prin îmbunătățirea verificării limitelor.
WebKit Bugzilla: 242762
CVE-2022-32912: Jeonghoon Shin (@singi21a) (Theori) în colaborare cu Zero Day Initiative (Trend Micro)
WebKit
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: vizitarea unui site web care conține conținut rău intenționat poate duce la falsificarea interfeței de utilizator
Descriere: problema a fost remediată prin îmbunătățirea gestionării interfeței cu utilizatorul.
WebKit Bugzilla: 243236
CVE-2022-32891: @real_as3617, un cercetător anonim
WebKit
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar. Apple are cunoștință de un raport conform căruia această problemă ar fi putut fi exploatată în mod activ.
Descriere: a fost rezolvată o problemă de scriere în afara limitelor prin îmbunătățirea verificării limitelor.
WebKit Bugzilla: 243557
CVE-2022-32893: un cercetător anonim
Wi-Fi
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel
Descriere: o problemă de alterare a memoriei a fost rezolvată prin îmbunătățirea gestionării stării.
CVE-2022-46709: Wang Yu de la Cyberserval
Adăugare intrare: 8 iunie 2023
Wi-Fi
Disponibilitate: Apple Watch Series 4 și modele ulterioare
Impact: o aplicație poate duce la închiderea neașteptată a sistemului sau poate scrie în memoria kernel
Descriere: a fost rezolvată o problemă de scriere în afara limitelor prin îmbunătățirea verificării limitelor.
CVE-2022-32925: Wang Yu de la Cyberserval
Alte mențiuni
AppleCredentialManager
Dorim să îi mulțumim lui @jonathandata1 pentru asistența acordată.
FaceTime
Dorim să îi mulțumim unui cercetător anonim pentru asistența acordată.
Kernel
Dorim să îi mulțumim unui cercetător anonim pentru asistență.
Dorim să îi mulțumim unui cercetător anonim pentru asistență.
Safari
Dorim să îi mulțumim lui Scott Hatfield (Sub-Zero Group) pentru asistența acordată.
Adăugare intrare: 8 iunie 2023
Sandbox
Dorim să îi mulțumim lui Csaba Fitzl (@theevilbit) (Offensive Security) pentru asistență.
UIKit
Dorim să îi mulțumim lui Aleczander Ewing pentru asistența acordată.
WebKit
Dorim să îi mulțumim unui cercetător anonim pentru asistență.
WebRTC
Dorim să îi mulțumim unui cercetător anonim pentru asistență.