Aktualizácie zabezpečenia spoločnosti Apple
Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia Apple.
Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.
Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple.
watchOS 6.2
Dátum vydania: 24. marca 2020
Účty
Dostupné pre: Apple Watch Series 1 a novšie
Dopad: Izolovaný proces môže byť schopný obísť obmedzenia izolovaného priestoru
Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením obmedzení.
CVE-2020-9772: Allison Husain z UC Berkeley
Dátum pridania záznamu: 21. mája 2020
ActionKit
Dostupné pre: Apple Watch Series 1 a novšie
Dopad: Aplikácia môže byť schopná použiť klientsku aplikáciu SSH poskytovanú súkromnými zostavami
Popis: Tento problém bol vyriešený novými oprávneniami.
CVE-2020-3917: Steven Troughton-Smith (@stroughtonsmith)
AppleMobileFileIntegrity
Dostupné pre: Apple Watch Series 1 a novšie
Dopad: Aplikácia môže byť schopná použiť ľubovoľné oprávnenia
Popis: Tento problém bol vyriešený vylepšením kontrol.
CVE-2020-3883: Linus Henze (pinauten.de)
CoreFoundation
Dostupné pre: Apple Watch Series 1 a novšie
Dosah: Aplikácia so škodlivým kódom môže byť schopná zvýšiť úroveň oprávnení
Popis: Dochádzalo k problému s povoleniami. Tento problém bol vyriešený vylepšením overovania povolení.
CVE-2020-3913: Timo Christ zo spoločnosti Avira Operations GmbH & Co. KG
Ikony
Dostupné pre: Apple Watch Series 1 a novšie
Dopad: Nastavenie alternatívnej ikony aplikácie môže odhaliť fotku aj bez povolenia na prístup k fotkám
Popis: Dochádzalo k problému s prístupom, ktorý bol vyriešený používaním ďalších obmedzení izolovaného priestoru.
CVE-2020-3916: Vitaliy Alekseev (@villy21)
Spracovanie obrázkov
Dostupné pre: Apple Watch Series 1 a novšie
Dopad: Aplikácia môže byť schopná spustiť ľubovoľný kód so systémovými oprávneniami
Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.
CVE-2020-9768: Mohamed Ghannam (@_simo36)
IOHIDFamily
Dostupné pre: Apple Watch Series 1 a novšie
Dopad: Aplikácia so škodlivým kódom môže spúšťať ľubovoľný kód s oprávneniami na úrovni jadra
Popis: Dochádzalo k problému súvisiacemu s inicializáciou pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.
CVE-2020-3919: Alex Plaskett zo spoločnosti F-Secure Consulting
Dátum aktualizovania záznamu: 21. mája 2020
Jadro
Dostupné pre: Apple Watch Series 1 a novšie
Dopad: Aplikácia môže byť schopná čítať vyhradenú pamäť
Popis: Dochádzalo k problému súvisiacemu s inicializáciou pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.
CVE-2020-3914: pattern-f (@pattern_F_) zo spoločnosti WaCai
Jadro
Dostupné pre: Apple Watch Series 1 a novšie
Dopad: Aplikácia so škodlivým kódom môže spúšťať ľubovoľný kód s oprávneniami na úrovni jadra
Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením správy stavu.
CVE-2020-9785: Proteas z tímu Nirvan Team spoločnosti Qihoo 360
libxml2
Dostupné pre: Apple Watch Series 1 a novšie
Dopad: Viacero problémov v knižnici libxml2
Popis: Dochádzalo k problému s pretečením zásobníka, ktorý bol vyriešený vylepšením kontroly rozsahu.
CVE-2020-3909: LGTM.com
CVE-2020-3911: Nájdené programom OSS-Fuzz
libxml2
Dostupné pre: Apple Watch Series 1 a novšie
Dopad: Viacero problémov v knižnici libxml2
Popis: Dochádzalo k problému s pretečením zásobníka, ktorý bol vyriešený vylepšením overovania veľkosti.
CVE-2020-3910: LGTM.com
Správy
Dostupné pre: Apple Watch Series 1 a novšie
Dopad: Osoba s fyzickým prístupom k zamknutému zariadeniu so systémom iOS môže byť schopná odpovedať na správy, aj keď sú odpovede vypnuté
Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.
CVE-2020-3891: Peter Scott
Izolovaný priestor
Dostupné pre: Apple Watch Series 1 a novšie
Dosah: Lokálny používateľ môže byť schopný zobraziť si citlivé používateľské informácie
Popis: Dochádzalo k problému s prístupom, ktorý bol vyriešený používaním ďalších obmedzení izolovaného priestoru.
CVE-2020-3918: Augusto Alvarez zo spoločnosti Outcourse Limited
Dátum pridania záznamu: 1. mája 2020
WebKit
Dostupné pre: Apple Watch Series 1 a novšie
Dopad: Niektoré webové stránky sa nemuseli zobrazovať v predvoľbách prehliadača Safari
Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením obmedzení.
CVE-2020-9787: Ryan Pickren (ryanpickren.com)
Dátum pridania záznamu: 1. mája 2020
WebKit
Dostupné pre: Apple Watch Series 1 a novšie
Dopad: Vzdialený útočník môže byť schopný spôsobiť spustenie ľubovoľného kódu
Popis: Dochádzalo k problému súvisiacemu so spotrebou pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.
CVE-2020-3899: Nájdené programom OSS-Fuzz
Dátum pridania záznamu: 1. mája 2020
WebKit
Dostupné pre: Apple Watch Series 1 a novšie
Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu
Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.
CVE-2020-3895: grigoritchy
CVE-2020-3900: Dongzhuo Zhao v spolupráci s tímom ADLab spoločnosti Venustech
WebKit
Dostupné pre: Apple Watch Series 1 a novšie
Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu
Popis: Dochádzalo k problému so zámenou typu, ktorý bol vyriešený vylepšením spracovania pamäte.
CVE-2020-3901: Benjamin Randazzo (@____benjamin)
WebKit
Dostupné pre: Apple Watch Series 1 a novšie
Dopad: Vzdialený útočník môže byť schopný spôsobiť spustenie ľubovoľného kódu
Popis: Dochádzalo k problému so zámenou typu, ktorý bol vyriešený vylepšením spracovania pamäte.
CVE-2020-3897: Brendan Draper (@6r3nd4n) v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro
Ďalšie poďakovanie
FontParser
Poďakovanie za pomoc si zaslúži Matthew Denton z tímu Google Chrome.
Jadro
Poďakovanie za pomoc si zaslúži Siguza.
LinkPresentation
Poďakovanie za pomoc si zaslúži Travis.
Telefón
Poďakovanie sa pomoc si zaslúži Yiğit Can YILMAZ (@yilmazcanyigit).
rapportd
Poďakovanie za pomoc si zaslúži Alexander Heinrich (@Sn0wfreeze) z Technickej univerzity v Darmstadte.
WebKit
Poďakovanie za pomoc si zaslúžia Samuel Groß z tímu Google Project Zero, hearmen.
Dátum aktualizovania záznamu: 4. apríla 2020