Obsah zabezpečenia v systéme watchOS 26.4

V tomto dokumente sa opisuje obsah zabezpečenia v systéme watchOS 26.4.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Aktuálne vydania sú uvedené na stránke Aktualizácie zabezpečenia spoločnosti Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Ďalšie informácie o zabezpečení si prečítajte na stránke o zabezpečení produktov Apple.

watchOS 26.4

802.1X

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Útočník s oprávneniami v sieti môže byť schopný zaznamenávať sieťové prenosy

Opis: Dochádzalo k problému s autentifikáciou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2026-28865: Héloïse Gollier a Mathy Vanhoef (KU Leuven)

Accounts

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Opis: Dochádzalo k problému súvisiacemu s autorizáciou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2026-28877: Rosyna Keller z tímu Totally Not Malicious Software

Audio

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k neočakávanému zlyhaniu procesu

Opis: Dochádzalo k problému s použitím po uvoľnení, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2026-28879: Justin Cohen zo spoločnosti Google

Audio

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Útočník môže byť schopný spôsobiť neočakávané ukončenie apky

Opis: Dochádzalo k problému so zámenou typu, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-28822: Jex Amro

CoreMedia

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Spracovanie zvukového streamu v mediálnom súbore so škodlivým kódom môže ukončiť proces

Opis: Dochádzalo k problému s prístupom k dátam mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2026-20690: Hossein Lotfi (@hosselot) v spolupráci s projektom Zero Day Initiative spoločnosti TrendAI

CoreUtils

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Útočník s oprávneniami v sieti môže byť schopný spôsobiť odopretie služby

Popis: Dochádzalo k problému s dereferenciou nulového smerníka, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2026-28886: Etienne Charron (Renault) a Victoria Martini (Renault)

Crash Reporter

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Apka môže byť schopná vymenovať nainštalované apky používateľa

Opis: Problém s ochranou súkromia sa vyriešil odstránením citlivých údajov.

CVE-2026-28878: Zhongcheng Li z tímu IES Red Team

curl

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: V komponente curl sa vyskytoval problém, ktorý mohol spôsobiť neúmyselné odoslanie citlivých informácií prostredníctvom nesprávneho pripojenia

Opis: Ide o riziko v otvorenom kóde a softvér Apple patrí medzi ovplyvnené projekty. Záznam CVE-ID bol priradený treťou stranou. Viac informácií o probléme a zázname CVE-ID nájdete na lokalite cve.org.

CVE-2025-14524

FaceTime

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Útočník s fyzickým prístupom k zamknutým hodinkám Apple Watch môže byť schopný zobraziť kontakty používateľa

Opis: Tento problém bol vyriešený pomocou vylepšenej kontroly oprávnení.

CVE-2026-43679: Dalibor Milanovic

GeoServices

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Popis: Dochádzalo k problému s únikom informácií, ktorý bol vyriešený dodatočným overovaním.

CVE-2026-28870: XiguaSec

ImageIO

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Spracovanie súboru so škodlivým kódom môže viesť k neočakávanému ukončeniu apky

Opis: Ide o riziko v otvorenom kóde a softvér Apple patrí medzi ovplyvnené projekty. Záznam CVE-ID bol priradený treťou stranou. Viac informácií o probléme a zázname CVE-ID nájdete na lokalite cve.org.

CVE-2025-64505

Kernel

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Apka môže byť schopná odhaliť obsah pamäte jadra

Opis: Dochádzalo k problému so zaznamenávaním, ktorý bol vyriešený vylepšením redigovania dát.

CVE-2026-28868: Gor Aleksanyan, Dhiyanesh Selvaraj (@redroot97), 이동하 (Lee Dong Ha z tímu BoB 0xB6)

Kernel

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Apka môže byť schopná spôsobiť únik citlivých informácií o stave jadra

Opis: Tento problém bol vyriešený vylepšením overovania.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Kernel

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Apka môže byť schopná spôsobiť neočakávané ukončenie systému alebo poškodiť pamäť jadra

Opis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-20698: DARKNAVY (@DarkNavyOrg)

Kernel

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Apka môže byť schopná spôsobiť neočakávané ukončenie systému alebo zapisovať do pamäte jadra

Opis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2026-20687: Johnny Franks (@0xjohnny)

libxpc

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Apka môže byť schopná vymenovať nainštalované apky používateľa

Opis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2026-28882: Ilya Andr (andrd3v) z tímu RTU MIREA, Ilias Morad (A2nkF) zo skupiny Voynich Group, Duy Trần (@khanhduytran0), @hugeBlack

ppp

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Útočník môže byť schopný spôsobiť neočakávané ukončenie systému alebo čítať pamäť jadra

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-28896: Dave G.

Sandbox Profiles

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Apka môže byť schopná vytvoriť jedinečnú identitu používateľa

Opis: Dochádzalo k problému s povoleniami, ktorý bol vyriešený používaním ďalších obmedzení.

CVE-2026-28863: Gongyu Ma (@Mezone0)

Security

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Miestny útočník môže získať prístup k položkám Kľúčenky používateľa

Opis: Tento problém bol vyriešený pomocou vylepšenej kontroly oprávnení.

CVE-2026-28864: Alex Radocea

Security

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Lokálny útočník môže byť schopný upraviť stav Kľúčenky

Opis: Tento problém bol vyriešený vylepšením overovania vstupu.

CVE-2026-28860: Alex Radocea

Siri

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Útočiaca osoba s fyzickým prístupom k zamknutému zariadeniu môže byť schopná zobraziť si citlivé informácie používateľa

Opis: Tento problém bol vyriešený vylepšením overovania.

CVE-2026-28856: anonymný výskumník

UIFoundation

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Apka môže byť schopná spôsobiť odopretie služby

Opis: Dochádzalo k problému s pretečením zásobníka, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2026-28852: Caspian Tarafdar

WebKit

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Spracovanie webového obsahu so škodlivým kódom môže zabrániť vynúteniu zásad CSP (Content Security Policy)

Opis: Tento problém bol vyriešený vylepšením správy stavu.

CVE-2026-20665: webb

WebKit

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Webová stránka so škodlivým kódom môže byť schopná spracúvať obmedzený webový obsah z oblasti mimo sandboxu

Opis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-28859: greenbynox, Arni Hardarson a anonymný výskumník

WebKit Sandboxing

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Webová stránka so škodlivým kódom môže byť schopná identifikovať používateľa

Opis: Dochádzalo k problému súvisiacemu s autorizáciou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2026-20691: Gongyu Ma (@Mezone0)

Ďalšie poďakovanie

AirPort

Poďakovanie za pomoc si zaslúžia Yashar Shahinzadeh, Saman Ebrahimnezhad, Amir Safari a Omid Rezaii.

Bluetooth

Poďakovanie za pomoc si zaslúži Hamid Mahmoud.

Captive Network

Poďakovanie za pomoc si zaslúži Kun Peeks (@SwayZGl1tZyyy).

CloudAttestation

Poďakovanie za pomoc si zaslúžia GregoAI, Sri Sai Sujay Chandra Koyyalamudi, Suresh Sundaram, Willard Jansen a ant4g0nist.

CoreUI

Poďakovanie za pomoc si zaslúži Peter Malone.

Find My

Poďakovanie za pomoc si zaslúži Salemdomain.

GPU Drivers

Poďakovanie za pomoc si zaslúži Jian Lee (@speedyfriend433).

ICU

Poďakovanie za pomoc si zaslúži Jian Lee (@speedyfriend433).

Kernel

Poďakovanie za pomoc si zaslúžia Adam Doupé z tímu ASU SEFCOM, DARKNAVY (@DarkNavyOrg), Kylian Boulard De Pouqueville z tímu Fuzzinglabs, Patrick Ventuzelo z tímu Fuzzinglabs, Robert Tran, Suresh Sundaram a Tristan Madani (@TristanInSec) z tímu Talence Security.

libarchive

Poďakovanie za pomoc si zaslúžia Andreas Jaegersberger a Ro Achterberg z tímu Nosebeard Labs a Arni Hardarson.

libc

Poďakovanie za pomoc si zaslúži Vitaly Simonovich (vitalysim.com).

Libnotify

Poďakovanie za pomoc si zaslúži Ilias Morad (@A2nkF_).

LLVM

Poďakovanie za pomoc si zaslúži Nathaniel Oh (@calysteon).

Messages

Poďakovanie za pomoc si zaslúži JZ.

MobileInstallation

Poďakovanie za pomoc si zaslúži Gongyu Ma (@Mezone0).

Quick Look

Poďakovanie za pomoc si zaslúžia Wojciech Regula zo spoločnosti SecuRing (wojciechregula.blog) a anonymný výskumník.

Safari

Poďakovanie za pomoc si zaslúžia @RenwaX23, Farras Givari, Syarif Muhammad Sajjad a Yair.

Shortcuts

Poďakovanie za pomoc si zaslúžia Waleed Barakat (@WilDN00B) a Paul Montgomery (@nullevent).

Siri

Poďakovanie za pomoc si zaslúžia Anand Mallaya, technický konzultant zo spoločnosti Anand Mallaya and Co., Harsh Kirdolia a Hrishikesh Parmar na voľnej nohe.

Spotlight

Poďakovanie za pomoc si zaslúžia Bilge Kaan Mızrak, Claude a priatelia z tímu Risk Analytics Research Group a Zack Tickman.

Time Zone

Poďakovanie za pomoc si zaslúži Abhay Kailasia (@abhay_kailasia) zo Safranu, Bombaj, India.

UIKit

Poďakovanie za pomoc si zaslúžia AEC, Abhay Kailasia (@abhay_kailasia) z tímu Safran Mumbai India, Alex Thomas, Bishal Kafle (@whoisbishal.k), Carlos Luna (Ministerstvo námorníctva USA), Dalibor Milanovic, Daren Goodchild, JS De Mattei, Maxwell Garn, Zack Tickman, fuyuu12 a incredincomp.

Wallet

Poďakovanie za pomoc si zaslúži Zhongcheng Li z tímu IES Red Team zo spoločnosti ByteDance.

Web Extensions

Poďakovanie za pomoc si zaslúžia Carlos Jeurissen a Rob Wu (robwu.nl).

WebKit

Poďakovanie za pomoc si zaslúži Vamshi Paili a Indu Paili.

WebKit Process Model

Poďakovanie za pomoc si zaslúži Joseph Semaan.

Wi-Fi

Poďakovanie za pomoc si zaslúžia Kun Peeks (@SwayZGl1tZyyy) a anonymný výskumník.

Wi-Fi Connectivity

Poďakovanie za pomoc si zaslúži Alex Radocea zo spoločnosti Supernetworks, Inc.

Widgets

Poďakovanie za pomoc si zaslúžia Marcel Voß, Mitul Pranjay a Serok Çelik.