Obsah zabezpečenia v systéme watchOS 7.0

V tomto dokumente sa opisuje obsah zabezpečenia v systéme watchOS 7.0.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia spoločnosti Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple.

watchOS 7.0

Dátum vydania: 16. septembra 2020

Audio

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia so škodlivým kódom môže byť schopná čítať vyhradenú pamäť

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-9943: JunDong Xie z tímu Ant Group Light-Year Security Lab

Dátum pridania záznamu: 12. novembra 2020

Audio

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia môže byť schopná čítať vyhradenú pamäť

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-9944: JunDong Xie z tímu Ant Group Light-Year Security Lab

Dátum pridania záznamu: 12. novembra 2020

CoreAudio

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie zvukového súboru so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-9960: JunDong Xie a Xingwei Lin z tímu Ant Security Light-Year Lab

Dátum pridania záznamu: 16. marca 2021

CoreAudio

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Prehratie zvukového súboru so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s pretečením buffera, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2020-9954: Francis v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro, JunDong Xie z tímu Ant Group Light-Year Security Lab

Dátum pridania záznamu: 12. novembra 2020

CoreCapture

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2020-9949: Proteas

Dátum pridania záznamu: 12. novembra 2020

CoreText

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie textového súboru so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-9999: Apple

Dátum pridania záznamu: 15. decembra 2020

Disk Images

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-9965: Proteas

CVE-2020-9966: Proteas

Dátum pridania záznamu: 12. novembra 2020

FontParser

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia so škodlivým kódom môže byť schopná čítať vyhradenú pamäť

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-29629: Anonymný výskumník

Dátum pridania záznamu: 19. januára 2022

FontParser

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie súboru písma so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-9956: Mickey Jin a Junzhi Lu z tímu Mobile Security Research Team spoločnosti Trend Micro v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

Dátum pridania záznamu: 16. marca 2021

FontParser

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie obrázka so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s pretečením zásobníka, ktorý bol vyriešený vylepšením overovania veľkosti.

CVE-2020-9962: Yiğit Can YILMAZ (@yilmazcanyigit)

Dátum pridania záznamu: 16. marca 2021

FontParser

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie súboru písma so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Pri spracovávaní súborov písiem dochádzalo k problému súvisiacemu s poškodením pamäte. Tento problém bol vyriešený vylepšením overovania vstupu.

CVE-2020-27931: Apple

Dátum pridania záznamu: 16. marca 2021

FontParser

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie písma so škodlivým kódom môže mať za následok odhalenie operačnej pamäte

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-29639: Mickey Jin a Qi Sun zo spoločnosti Trend Micro v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

Dátum pridania záznamu: 21. júla 2021

HomeKit

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Útočník s oprávneniami v sieti môže byť schopný neočakávane upraviť stav aplikácie

Popis: Tento problém bol vyriešený vylepšením šírenia nastavení.

CVE-2020-9978: Luyi Xing, Dongfang Zhao a Xiaofeng Wang z Bloomingtonskej univerzity v Indiane, Yan Jia zo Si-anskej univerzity a Univerzity Čínskej akadémie vied a Bin Yuan z Vedecko-technologickej univerzity HuaZhong

Dátum pridania záznamu: 16. marca 2021

ImageIO

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie súboru TIFF so škodlivým kódom môže viesť k odmietnutiu služby alebo potenciálnemu odhaleniu obsahu pamäte

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-36521: Xingwei Lin (Ant-Financial Light-Year Security Lab)

Dátum pridania záznamu: 25. mája 2022

ImageIO

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie obrázka so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-9961: Xingwei Lin z tímu Ant Security Light-Year Lab

Dátum pridania záznamu: 12. novembra 2020

ImageIO

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Otvorenie PDF súboru so škodlivým kódom môže viesť k neočakávanému ukončeniu aplikácie alebo spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-9876: Mickey Jin zo spoločnosti Trend Micro

Dátum pridania záznamu: 12. novembra 2020

ImageIO

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie obrázka so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-9955: Mickey Jin zo spoločnosti Trend Micro, XingWei Lin z tímu Ant Security Light-Year Lab

Dátum pridania záznamu: 15. decembra 2020

Kernel

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Vzdialený útočník môže byť schopný spôsobiť neočakávané ukončenie systému alebo poškodiť pamäť jadra

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením overovania vstupu.

CVE-2020-9967: Alex Plaskett (@alexjplaskett)

Dátum pridania záznamu: 16. marca 2021

Kernel

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2020-9975: Tielei Wang z tímu Pangu Lab

Dátum pridania záznamu: 16. marca 2021

Keyboard

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia so škodlivým kódom byť schopná spôsobiť únik citlivých používateľských informácií

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-9976: Rias A. Sherzad zo spoločnosti JAIDE GmbH v Hamburgu (Nemecko)

libxml2

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie súboru so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2020-9981: Nájdené programom OSS-Fuzz

Dátum pridania záznamu: 12. novembra 2020

libxpc

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia so škodlivým kódom môže byť schopná zvýšiť úroveň oprávnení

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením overovania.

CVE-2020-9971: Zhipeng Huo (@R3dF09) z tímu Security Xuanwu Lab spoločnosti Tencent

Dátum pridania záznamu: 15. decembra 2020

Mail

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Vzdialený útočník môže byť schopný neočakávane upraviť stav aplikácie

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2020-9941: Fabian Ising z Univerzity aplikovaných vied FH Münster a Damian Poddebniak z Univerzity aplikovaných vied FH Münster

Dátum pridania záznamu: 12. novembra 2020

Messages

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Lokálny používateľ môže byť schopný odhaliť správy, ktoré používateľ vymazal

Popis: Tento problém bol vyriešený vylepšením vymazávania.

CVE-2020-9989: von Brunn Media

Dátum pridania záznamu: 12. novembra 2020

Phone

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Zámok obrazovky sa po uplynutí zadaného času nemusí aktivovať

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2020-9946: Daniel Larsson zo spoločnosti iolight AB

Safari

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Návšteva webovej stránky so škodlivým kódom môže viesť k sfalšovaniu lišty s adresou

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania používateľského rozhrania.

CVE-2020-9993: Masato Sugiyama (@smasato) z Cukubskej univerzity, Piotr Duszynski

Dátum pridania záznamu: 12. novembra 2020

Sandbox

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Lokálny používateľ môže byť schopný zobraziť citlivé používateľské informácie

Popis: Dochádzalo k problému s prístupom, ktorý bol vyriešený používaním ďalších obmedzení izolovaného priestoru.

CVE-2020-9969: Wojciech Reguła z tímu SecuRing (wojciechregula.blog)

Dátum pridania záznamu: 12. novembra 2020

Sandbox

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Aplikácia so škodlivým kódom môže byť schopná získať prístup k súborom s obmedzeným prístupom

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením obmedzení.

CVE-2020-9968: Adam Chester (@_xpn_) zo spoločnosti TrustedSec

Dátum aktualizovania záznamu: 17. septembra 2020

SQLite

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Vzdialený útočník môže byť schopný spôsobiť odmietnutie služby

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2020-13434

CVE-2020-13435

CVE-2020-9991

Dátum pridania záznamu: 12. novembra 2020

SQLite

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Viacero problémov v súčasti SQLite

Popis: Dochádzalo k viacerým problémom, ktoré boli vyriešené aktualizovaním súčasti SQLite na verziu 3.32.3.

CVE-2020-15358

Dátum pridania záznamu: 12. novembra 2020

SQLite

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Vzdialený útočník môže byť schopný spôsobiť únik pamäte

Popis: Dochádzalo k problému s únikom informácií, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-9849

Dátum pridania záznamu: 12. novembra 2020

SQLite

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie dotazu SQL so škodlivým kódom môže viesť k poškodeniu dát

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2020-13631

Dátum pridania záznamu: 12. novembra 2020

SQLite

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Vzdialený útočník môže byť schopný spôsobiť spustenie ľubovoľného kódu

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-13630

Dátum pridania záznamu: 12. novembra 2020

WebKit

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2020-9947: cc v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2020-9950: cc v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2020-9951: Marcin „Icewall“ Noga zo spoločnosti Cisco Talos

Dátum pridania záznamu: 12. novembra 2020

WebKit

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu kódu

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-9983: zhunki

Dátum pridania záznamu: 12. novembra 2020

WebKit

Dostupné pre: Apple Watch Series 3 a novšie

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k útoku využívajúcemu skriptovanie medzi lokalitami (XSS)

Popis: Dochádzalo k problému s overovaním vstupu, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-9952: Ryan Pickren (ryanpickren.com)

Ďalšie poďakovanie

Audio

Poďakovanie za pomoc si zaslúžia JunDong Xie a Xingwei Lin z tímu Ant-Financial Light-Year Security Lab.

Dátum pridania záznamu: 16. marca 2021

Audio

Poďakovanie za pomoc si zaslúžia JunDong Xie a Xingwei Lin z tímu Ant-Financial Light-Year Security Lab.

Dátum pridania záznamu: 12. novembra 2020

Bluetooth

Poďakovanie za pomoc si zaslúži Andy Davis zo spoločnosti NCC Group.

Clang

Poďakovanie za pomoc si zaslúži Brandon Azad z tímu Google Project Zero.

Dátum pridania záznamu: 12. novembra 2020

Core Location

Poďakovanie za pomoc si zaslúži Yiğit Can YILMAZ (@yilmazcanyigit).

Crash Reporter

Poďakovanie za pomoc si zaslúži Artur Byszko zo spoločnosti AFINE.

Dátum pridania záznamu: 15. decembra 2020

iAP

Poďakovanie za pomoc si zaslúži Andy Davis zo spoločnosti NCC Group.

Dátum pridania záznamu: 12. novembra 2020

Kernel

Poďakovanie za pomoc si zaslúžia Brandon Azad z tímu Google Project Zero a Stephen Röttger zo spoločnosti Google.

Dátum aktualizovania záznamu: 12. novembra 2020

libxml2

Poďakovanie za pomoc si zaslúži anonymný výskumník.

Dátum pridania záznamu: 16. marca 2021

Location Framework

Poďakovanie za pomoc si zaslúži Nicolas Brunner (linkedin.com/in/nicolas-brunner-651bb4128).

Dátum aktualizovania záznamu: 19. októbra 2020

Mail Drafts

Poďakovanie za pomoc si zaslúži Jon Bottarini z tímu HackerOne.

Dátum pridania záznamu: 12. novembra 2020

Safari

Poďakovanie za pomoc si zaslúžia Andreas Gutmann (@KryptoAndI) z centra Innovation Centre spoločnosti OneSpan (onespan.com) a univerzity University College London, Steven J. Murdoch (@SJMurdoch) z centra Innovation Centre spoločnosti OneSpan (onespan.com) a univerzity University College London, Jack Cable zo spoločnosti Lightning Security, Ryan Pickren (ryanpickren.com) a Yair Amit.

Dátum pridania záznamu: 19. októbra 2020, dátum aktualizovania: 12. novembra 2020

WebKit

Poďakovanie za pomoc si zaslúžia Pawel Wylecial z tímu REDTEAM.PL a Ryan Pickren (ryanpickren.com).

Dátum pridania záznamu: 12. novembra 2020

Informácie o produktoch, ktoré nevyrába spoločnosť Apple, alebo nezávislých webových stránkach, ktoré nekontroluje ani netestuje spoločnosť Apple, sa poskytujú bez akéhokoľvek odporúčania či podpory. Spoločnosť Apple nenesie žiadnu zodpovednosť v súvislosti s výberom, výkonom alebo používaním webových stránok alebo produktov tretích strán. Spoločnosť Apple neposkytuje žiadne vyhlásenia týkajúce sa presnosti či spoľahlivosti webových stránok tretích strán. Ak chcete získať ďalšie informácie, obráťte sa na dodávateľa.

Dátum zverejnenia: