Проблемы безопасности, устраненные в ОС watchOS 2.0.1

В этом документе описаны проблемы безопасности, устраненные в ОС watchOS 2.0.1.

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет полностью завершено изучение соответствующей проблемы и не будут опубликованы все необходимые исправления и выпуски. Дополнительные сведения об обеспечении безопасности продуктов Apple см. на веб-сайте Безопасность продуктов Apple.

Информацию об обеспечении безопасности продуктов Apple с помощью PGP-ключа см. в статье Использование PGP-ключа безопасности продуктов Apple.

Там, где это возможно, для ссылки на дополнительную информацию об уязвимостях используются идентификаторы CVE.

Сведения о других обновлениях системы безопасности см. в статье Обновления системы безопасности Apple.

ОС watchOS 2.0.1

• Apple Pay

  Доступно для: Apple Watch Sport, Apple Watch, Apple Watch Edition и Apple Watch Hermes

  Воздействие. Некоторые карты при совершении платежей могут передавать терминалу ограниченный набор сведений о последних транзакциях.

  Описание. В определенных конфигурациях была включена функция журнала транзакций. Проблема устранена путем отключения журнала транзакций. Это обновление также устраняет данную проблему для Apple Watches, выпущенных с ОС watchOS 2.

  Идентификатор CVE

  CVE-2015-5916

• Bom

  Доступно для: Apple Watch Sport, Apple Watch, Apple Watch Edition и Apple Watch Hermes

  Воздействие. Распаковка вредоносного архива может приводить к выполнению произвольного кода.

  Описание. В обработчике архивов CPIO существовала уязвимость в процедуре обхода файлов. Проблема устранена путем улучшенной проверки метаданных.

  Идентификатор CVE

  CVE-2015-7006: Марк Дауд (Mark Dowd) из компании Azimuth Security

• configd

  Доступно для: Apple Watch Sport, Apple Watch, Apple Watch Edition и Apple Watch Hermes

  Воздействие. Вредоносная программа могла повышать уровень привилегий.

  Описание. В клиентской библиотеке DNS существовала ошибка переполнения буфера в динамической памяти. Локальный пользователь, обладающий возможностью подмены ответов от локальной службы configd, был в состоянии вызывать выполнение произвольного клиентах DNS.

  Идентификатор CVE

  CVE-2015-7015: PanguTeam

• CoreGraphics

  Доступно для: Apple Watch Sport, Apple Watch, Apple Watch Edition и Apple Watch Hermes

  Воздействие. Обработка вредоносного изображения могла приводить к выполнению произвольного кода.

  Описание. Ошибка в CoreGraphics вызывала повреждение содержимого памяти. Проблема устранена путем улучшенной обработки памяти.

  Идентификатор CVE

  CVE-2015-5925: Apple

  CVE-2015-5926: Apple

• FontParser

  Доступно для: Apple Watch Sport, Apple Watch, Apple Watch Edition и Apple Watch Hermes

  Воздействие. Просмотр документа с вредоносным шрифтом может приводить к выполнению произвольного кода.

  Описание. Обработчик файлов шрифтов содержал ряд ошибок, вызывающих повреждение содержимого памяти. Эти проблемы были устранены путем улучшенной проверки границ.

  Идентификатор CVE

  CVE-2015-5927: Apple

  CVE-2015-5942

• Grand Central Dispatch

  Доступно для: Apple Watch Sport, Apple Watch, Apple Watch Edition и Apple Watch Hermes

  Воздействие. Обработка вредоносного пакета может приводить к выполнению произвольного кода.

  Описание. При обработке вызовов типа dispatch возникала проблема повреждения памяти. Проблема устранена путем улучшенной обработки памяти.

  Идентификатор CVE

  CVE-2015-6989: Apple

• ImageIO

  Доступно для: Apple Watch Sport, Apple Watch, Apple Watch Edition и Apple Watch Hermes

  Воздействие. Просмотр вредоносного файла изображения мог приводить к выполнению произвольного кода.

  Описание. Модуль разбора метаданных изображений содержал ряд ошибок, вызывающих повреждение содержимого памяти. Данные проблемы решены путем улучшенной проверки метаданных.

  Идентификатор CVE

  CVE-2015-5935: Apple

  CVE-2015-5936: Apple

  CVE-2015-5937: Apple

  CVE-2015-5939: Apple

• IOAcceleratorFamily

  Доступно для: Apple Watch Sport, Apple Watch, Apple Watch Edition и Apple Watch Hermes

  Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

  Описание. В IOAcceleratorFamily существовало повреждение памяти. Проблема устранена путем улучшенной обработки памяти.

  Идентификатор CVE

  CVE-2015-6996: Иэн Бир (Ian Beer) из подразделения Google Project Zero.

• IOHIDFamily

  Доступно для: Apple Watch Sport, Apple Watch, Apple Watch Edition и Apple Watch Hermes

  Воздействие. Вредоносная программа может выполнять произвольный код с привилегиями ядра.

  Описание. В ядре существовало повреждение памяти. Проблема устранена путем улучшенной обработки памяти.

  Идентификатор CVE

  CVE-2015-6974: Лука Тодеско (Luca Todesco, @qwertyoruiop).

• mDNSResponder

  Доступно для: Apple Watch Sport, Apple Watch, Apple Watch Edition и Apple Watch Hermes

  Воздействие. Удаленный злоумышленник может вызвать неожиданное завершение работы программы или выполнить произвольный код.

  Описание. Ряд проблем с повреждением памяти существовал в разборе данных DNS. Эти проблемы были устранены путем улучшенной проверки границ.

  Идентификатор CVE

  CVE-2015-7987: Александр Хели (Alexandre Helie)