Obsah zabezpečenia v systéme watchOS 8

V tomto dokumente sa opisuje obsah zabezpečenia v systéme watchOS 8.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia spoločnosti Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple.

watchOS 8

Dátum vydania: 20. septembra 2021

Accessory Manager

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu so spotrebou pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2021-30837: Siddharth Aeri (@b1n4r1b01)

Dátum aktualizácie záznamu: 19. januára 2022

AppleMobileFileIntegrity

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Lokálny útočník môže byť schopný čítať citlivé informácie

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2021-30811: Anonymný výskumník spolupracujúci s organizáciou Compartir

bootp

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Zariadenie možno pasívne sledovať podľa jeho MAC adresy vo Wi-Fi sieti

Popis: Dochádzalo k problému súvisiacemu s ochranou osobných údajov používateľa, ktorý bol vyriešený odstránením MAC adresy vysielania.

CVE-2021-30866: Fabien Duchêne (UCLouvain, Belgicko)

Dátum pridania záznamu: 25. októbra 2021

CoreAudio

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie audiosúboru so škodlivým kódom môže spôsobiť neočakávané ukončenie aplikácie alebo spustenie ľubovoľného kódu

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2021-30834: JunDong Xie (Ant Security Light-Year Lab)

Dátum pridania záznamu: 25. októbra 2021

CoreGraphics

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie obrázka so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2021-30928: Mickey Jin (@patch1t) (Trend Micro)

Dátum pridania záznamu: 19. januára 2022

FaceTime

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia s povolením na prístup k mikrofónu môže počas FaceTime hovoru neočakávane získať prístup k mikrofónu

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením overovania.

CVE-2021-30882: Adam Bellard a Spencer Reitman (Airtime)

Dátum pridania záznamu: 25. októbra 2021

FontParser

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie písma so škodlivým kódom môže mať za následok odhalenie operačnej pamäte

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2021-30831: Xingwei Lin (Ant Security Light-Year Lab)

Dátum pridania záznamu: 25. októbra 2021

FontParser

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie súboru .dfont so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2021-30840: Xingwei Lin (Ant Security Light-Year Lab)

Dátum pridania záznamu: 25. októbra 2021

FontParser

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie súboru .dfont so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2021-30841: Xingwei Lin (Ant Security Light-Year Lab)

CVE-2021-30842: Xingwei Lin (Ant Security Light-Year Lab)

CVE-2021-30843: Xingwei Lin (Ant Security Light-Year Lab)

Foundation

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zámenou typu, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2021-30852: Yinyi Wu (@3ndy1) (Ant Security Light-Year Lab)

Dátum pridania záznamu: 25. októbra 2021

ImageIO

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie obrázka so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2021-30814: hjy79425575

Dátum pridania záznamu: 25. októbra 2021

ImageIO

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie obrázka so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2021-30835: Ye Zhang (Baidu Security)

CVE-2021-30847: Mike Zhang (Pangu Lab)

Kernel

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia so škodlivým kódom môže spúšťať ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému s postupnosťou vykonania procesov, ktorý bol vyriešený vylepšením zamykania.

CVE-2021-30857: Manish Bhatt (Red Team X @Meta), Zweig (Kunlun Lab)

Dátum aktualizácie záznamu: 25. mája 2022

libexpat

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Vzdialený útočník môže byť schopný spôsobiť odmietnutie služby

Popis: Tento problém bol vyriešený aktualizáciou súčasti expat na verziu 2.4.1.

CVE-2013-0340: Anonymný výskumník

Preferences

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia môže byť schopná získať prístup k obmedzeným súborom

Popis: Pri spracovávaní symbolických odkazov dochádzalo k problému s overovaním. Tento problém bol vyriešený vylepšením overovania symbolických odkazov.

CVE-2021-30855: Zhipeng Huo (@R3dF09) a Yuebin Sun (@yuebinsun2020) (Tencent Security Xuanwu Lab, xlab.tencent.com)

Preferences

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Izolovaný proces môže byť schopný obísť obmedzenia izolovaného priestoru

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2021-30854: Zhipeng Huo (@R3dF09) a Yuebin Sun (@yuebinsun2020) (Tencent Security Xuanwu Lab, xlab.tencent.com)

Sandbox

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia so škodlivým kódom môže byť schopná obísť nastavenia ochrany súkromia

Popis: Tento problém bol vyriešený vylepšením logiky povolení.

CVE-2021-30925: Csaba Fitzl (@theevilbit) (Offensive Security)

Dátum pridania záznamu: 19. januára 2022

Sandbox

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia so škodlivým kódom môže byť schopná upravovať chránené časti súborového systému

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2021-30808: Csaba Fitzl (@theevilbit) (Offensive Security)

Dátum pridania záznamu: 25. októbra 2021

WebKit

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Návšteva webovej stránky so škodlivým kódom môže viesť k odhaleniu histórie prehliadania používateľa

Popis: Tento problém bol vyriešený pridaním ďalších obmedzení kompozícií CSS.

CVE-2021-30884: Anonymný výskumník

Dátum pridania záznamu: 25. októbra 2021

WebKit

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zámenou typu, ktorý bol vyriešený vylepšením spracovania stavu.

CVE-2021-30818: Amar Menezes (@amarekano) (Zon8Research)

Dátum pridania záznamu: 25. októbra 2021

WebKit

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Útočník s oprávneniami v sieti môže byť schopný obísť zabezpečenie HSTS

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením obmedzení.

CVE-2021-30823: David Gullasch (Recurity Labs)

Dátum pridania záznamu: 25. októbra 2021

WebKit

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie zvukového súboru so škodlivým kódom môže viesť k odhaleniu vyhradenej pamäte

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2021-30836: Peter Nguyen Vu Hoang (STAR Labs)

Dátum pridania záznamu: 25. októbra 2021

WebKit

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2021-30809: Anonymný výskumník

Dátum pridania záznamu: 25. októbra 2021

WebKit

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2021-30846: Sergei Glazunov (Google Project Zero)

WebKit

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.

CVE-2021-30849: Sergei Glazunov (Google Project Zero)

WebKit

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu kódu

Popis: Nedostatočne zabezpečené miesto súvisiace s poškodením pamäte bolo odstránené vylepšením zamykania.

CVE-2021-30851: Samuel Groß (Google Project Zero)

Wi-Fi

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Útočník vo fyzickej blízkosti môže prinútiť používateľa pri nastavovaní zariadenia použiť Wi-Fi sieť so škodlivým kódom

Popis: Dochádzalo k problému súvisiacemu s autorizáciou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2021-30810: Peter Scott

Dátum aktualizácie záznamu: 19. januára 2022

Ďalšie poďakovanie

bootp

Poďakovanie za pomoc si zaslúži Alexander Burke (alexburke.ca).

Dátum pridania záznamu: 25. mája 2022

FaceTime

Poďakovanie za pomoc si zaslúži Mohammed Waqqas Kakangarai.

Dátum pridania záznamu: 25. mája 2022

Kernel

Poďakovanie za pomoc si zaslúži Joshua Baums (Informatik Baums).

Dátum pridania záznamu: 19. januára 2022

Sandbox

Poďakovanie za pomoc si zaslúži Csaba Fitzl (@theevilbit) (Offensive Security).

UIKit

Poďakovanie za pomoc si zaslúži Jason Rendel (Diligent).

Dátum pridania záznamu: 19. januára 2022

UIKit

Poďakovanie za pomoc si zaslúži Jason Rendel (Diligent).

Dátum aktualizácie záznamu: 25. mája 2022

WebKit

Poďakovanie za pomoc si zaslúži Nikhil Mittal (@c0d3G33k).

Dátum pridania záznamu: 19. januára 2022

Wi-Fi

Poďakovanie za pomoc si zaslúži Peter Scott.

Dátum pridania záznamu: 25. mája 2022

Informácie o produktoch, ktoré nevyrába spoločnosť Apple, alebo nezávislých webových stránkach, ktoré nekontroluje ani netestuje spoločnosť Apple, sa poskytujú bez akéhokoľvek odporúčania či podpory. Spoločnosť Apple nenesie žiadnu zodpovednosť v súvislosti s výberom, výkonom alebo používaním webových stránok alebo produktov tretích strán. Spoločnosť Apple neposkytuje žiadne vyhlásenia týkajúce sa presnosti či spoľahlivosti webových stránok tretích strán. Ak chcete získať ďalšie informácie, obráťte sa na dodávateľa.

Dátum zverejnenia: