Сведения о проблемах системы безопасности, устраняемых обновлением watchOS 5.2

В этом документе описываются проблемы системы безопасности, устраняемые обновлением watchOS 5.2.

Сведения об обновлениях системы безопасности Apple

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Список последних выпусков представлен на странице Обновления системы безопасности Apple.

В документах Apple о безопасности уязвимости идентифицируются с помощью кода CVE-ID, когда это возможно.

Дополнительную информацию о безопасности см. на странице Безопасность продуктов Apple.

watchOS 5.2

Дата выпуска: 27 марта 2019 г.

Учетные записи

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Обработка вредоносного файла .vcf может приводить к отказу в обслуживании.

Описание. Проблема отказа в обслуживании устранена путем улучшенной проверки.

CVE-2019-8538: Тревор Спиниолас (Trevor Spiniolas, @TrevorSpiniolas)

Запись добавлена 3 апреля 2019 г.

CFString

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Обработка вредоносной строки может привести к отказу в обслуживании.

Описание. Проблема с проверкой устранена путем улучшения логики.

CVE-2019-8516: команда SWIPS из компании Frifee Inc.

configd

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Вредоносная программа может повышать уровень привилегий.

Описание. Проблема с инициализацией памяти устранена путем улучшенной обработки памяти.

CVE-2019-8552: Мохамед Ганнэм (Mohamed Ghannam, @_simo36)

Контакты

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Вредоносная программа может повышать уровень привилегий.

Описание. Проблема переполнения буфера устранена путем улучшенной обработки памяти.

CVE-2019-8511: анонимный исследователь

CoreCrypto

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Вредоносная программа может повышать уровень привилегий.

Описание. Проблема переполнения буфера устранена путем улучшенной проверки границ.

CVE-2019-8542: анонимный исследователь

file

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Обработка вредоносного файла может привести к раскрытию сведений о пользователе.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2019-8906: Франциско Алонсо (Francisco Alonso)

Запись обновлена 15 апреля 2019 г.

Платформа

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Программа может получить повышенные привилегии.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной проверки ввода.

CVE-2019-7286: анонимный исследователь, Клемент Лесинье (Clement Lecigne) из Google Threat Analysis Group, Йен Бир (Ian Beer) и Самуэль Гросс (Samuel Groß) из подразделения Google Project Zero

Службы геолокации

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Переход по вредоносной ссылке в SMS-сообщении может приводить к исполнению произвольного кода.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной проверки.

CVE-2019-8553: анонимный исследователь

iAP

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Вредоносная программа может повышать уровень привилегий.

Описание. Проблема переполнения буфера устранена путем улучшенной проверки границ.

CVE-2019-8542: анонимный исследователь

IOHIDFamily

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Локальный пользователь может вызывать неожиданное завершение работы системы или считывать память ядра

Описание. Проблема с повреждением данных в памяти устранена путем улучшенного управления состояниями.

CVE-2019-8545: Адам Доненфэлд (Adam Donenfeld, @doadam) из команды Zimperium zLabs

Ядро

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Удаленный злоумышленник может вызывать неожиданное завершение работы системы или повреждение памяти ядра.

Описание. Проблема переполнения буфера устранена путем улучшенной проверки размера.

CVE-2019-8527: Нед Уильямсон (Ned Williamson) из корпорации Google и пользователь derrek (@derrekr6)

Ядро

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Программа может выполнять произвольный код с привилегиями ядра.

Описание. Проблема с использованием памяти после ее освобождения устранена путем улучшенного управления памятью.

CVE-2019-8528: Фабьяно Анемоне (Fabiano Anemone, @anoane) и Чжао Цисюнь (Zhao Qixun, @S0rryMybad) из группы Vulcan в Qihoo 360

Запись добавлена 3 апреля 2019 г.

Ядро

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Вредоносная программа может выявлять схему распределения памяти в ядре.

Описание. Проблема с инициализацией памяти устранена путем улучшенной обработки памяти.

CVE-2019-8540: Вейбо Ванг (Weibo Wang, @ma1fan) из группы Nirvan в Qihoo 360

Ядро

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Программа может получить повышенные привилегии.

Описание. Логическая проблема устранена путем улучшенного управления состояниями.

CVE-2019-8514: Самуэль Гросс (Samuel Groß) из подразделения Google Project Zero

Ядро

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Вредоносная программа может выявлять схему распределения памяти в ядре.

Описание. Возникала проблема чтения за пределами выделенной области памяти, приводившая к утечке памяти ядра. Проблема устранена путем улучшенной проверки ввода.

CVE-2019-6207: Вейбо Ванг (Weibo Wang, @ma1fan) из группы Nirvan в Qihoo 360

CVE-2019-8510: Штефан Эссер (Stefan Esser) из Antid0te UG

Ядро

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Локальный пользователь может считывать память ядра.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной обработки памяти.

CVE-2019-7293: Нед Уильямсон (Ned Williamson) из корпорации Google

Сообщения

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Локальный пользователь может просматривать конфиденциальные пользовательские данные.

Описание. Проблема доступа устранена путем ввода дополнительных ограничений изолированной среды.

CVE-2019-8546: Чиюань Чэнг (Chiyuan Chang)

Пароль

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Частично введенный код может сохраняться при переходе устройства в режим сна.

Описание. Возникала проблема, связанная с тем, что частично введенные коды могли сохраняться при переходе устройства в режим сна. Проблема устранена посредством удаления пароля, пока заблокированное устройство находится в режиме сна.

CVE-2019-8548: Тобиас Захс (Tobias Sachs)

Управление питанием

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

Описание. В коде, создаваемом в MIG, существовал ряд проблем с проверкой ввода. Эти проблемы устранены путем улучшенной процедуры проверки.

CVE-2019-8549: Мохамед Ганнэм (Mohamed Ghannam, @_simo36) из SSD Secure Disclosure (ssd-disclosure.com)

Конфиденциальность

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Вредоносная программа может отслеживать пользователей между установками.

Описание. Возникала проблема при калибровке датчика движения. Проблема устранена посредством улучшенной обработки датчика движения.

CVE-2019-8541: Стэн (Цзесинь) Чжан (Stan (Jiexin) Zhang) и Элистер Р. Бересфорд (Alastair R. Beresford) из Кэмбриджского университета, а также Ян Шерет (Ian Sheret) из Polymath Insight Limited

Siri

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Вредоносная программа может инициировать запросы функции «Диктовка» без авторизации пользователя.

Описание. При обработке запросов функции «Диктовка» возникала проблема с интерфейсом API. Проблема устранена путем улучшения процедуры проверки.

CVE-2019-8502: Люк Десхотелс (Luke Deshotels), Джордан Байхлер (Jordan Beichler) и Уильям Энк (William Enck) из Университета штата Северная Каролина, а также Костин Карабаш (Costin Carabaș) и Разван Деаконеску (Răzvan Deaconescu) из Политехнического университета Бухареста

TrueTypeScaler

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Обработка вредоносного шрифта может приводить к раскрытию памяти процессов.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2019-8517: пользователь riusksk из VulWar Corp, сотрудничающий с компанией Trend Micro в рамках программы Zero Day Initiative

WebKit

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Обработка вредоносного веб-содержимого может приводить к выполнению произвольного кода.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной обработки памяти.

CVE-2019-8536: специалисты Apple

CVE-2019-8544: анонимный исследователь

WebKit

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Обработка вредоносного веб-содержимого может приводить к выполнению произвольного кода.

Описание. Проблема смешения типов устранена путем улучшенной обработки памяти.

CVE-2019-8506: Самуэль Гросс (Samuel Groß) из подразделения Google Project Zero

WebKit

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Обработка вредоносного веб-содержимого может приводить к выполнению произвольного кода.

Описание. Ряд проблем с повреждением данных в памяти устранен путем улучшенной обработки памяти.

CVE-2019-8518: Самуэль Гросс (Samuel Groß) из подразделения Google Project Zero

CVE-2019-8558: Самуэль Гросс (Samuel Groß) из подразделения Google Project Zero

CVE-2019-8559: специалисты Apple

CVE-2019-8563: специалисты Apple

WebKit

Целевые продукты: Apple Watch Series 1 и более поздние модели

Воздействие. Обработка вредоносного веб-содержимого может приводить к раскрытию памяти процессов.

Описание. Проблема с проверкой устранена путем улучшения логики.

CVE-2019-7292: пользователь zhunki и Чжии Чжан (Zhiyi Zhang) из подразделения 360 ESG Codesafe

Дополнительные благодарности

Ядро

Выражаем благодарность за помощь Брэндону Азаду (Brandon Azad) из подразделения Google Project Zero.

Информация о продуктах, произведенных не компанией Apple, или о независимых веб-сайтах, неподконтрольных и не тестируемых компанией Apple, не носит рекомендательного характера и не рекламируются компанией. Компания Apple не несет никакой ответственности за выбор, функциональность и использование веб-сайтов или продукции сторонних производителей. Компания Apple также не несет ответственности за точность или достоверность данных, размещенных на веб-сайтах сторонних производителей. Помните, что использование любых сведений или продуктов, размещенных в Интернете, сопровождается риском. За дополнительной информацией обращайтесь к поставщику. Другие названия компаний или продуктов могут быть товарными знаками соответствующих владельцев.

Дата публикации: