Om säkerhetsinnehållet i watchOS 9.1

Det här dokumentet beskriver säkerhetsinnehållet i watchOS 9.1.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga appkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

watchOS 9.1

AppleMobileFileIntegrity

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: en app kan ändra skyddade delar av filsystemet

Beskrivning: Problemet åtgärdades genom att ytterligare behörigheter togs bort.

CVE-2022-42825: Mickey Jin (@patch1t)

Apple Neural Engine

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: problemet hanterades med förbättrad minneshantering.

CVE-2022-32932: Mohamed Ghannam (@_simo36)

Audio

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: Tolkning av en ljudfil med skadligt innehåll kan leda till att användarinformation avslöjas

Beskrivning: problemet hanterades med förbättrad minneshantering.

CVE-2022-42798: Anonym i samarbete med Trend Micro Zero Day Initiative

AVEVideoEncoder

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: problemet hanterades med förbättrade gränskontroller.

CVE-2022-32940: ABC Research s.r.o.

CFNetwork

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: bearbetning av ett skadligt certifikat kan leda till körning av opålitlig kod

Beskrivning: ett problem med certifikatvalidering förekom vid hantering av WKWebView. Problemet har åtgärdats genom förbättrad validering.

CVE-2022-42813: Jonathan Zhang på Open Computing Facility (ocf.berkeley.edu)

GPU Drivers

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: problemet hanterades med förbättrad minneshantering.

CVE-2022-32947: Asahi Lina (@LinaAsahi)

Kernel

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En app kan möjligen orsaka att systemet oväntat stängs ned eller att kod med kernel-privilegier potentiellt körs

Beskrivning: ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2022-46712: Tommy Muir (@Muirey03)

Kernel

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: problemet hanterades med förbättrad minneshantering.

CVE-2022-32924: Ian Beer på Google Project Zero

Kernel

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: en fjärranvändare kan orsaka körning av kernelkod

Beskrivning: ett problem med dataskrivning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2022-42808: Zweig på Kunlun Lab

Kernel

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: ett minnesfel åtgärdades genom förbättrad tillståndshantering.

CVE-2022-32944: Tim Michaud (@TimGMichaud) på Moveworks.ai

Kernel

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: ett konkurrenstillstånd åtgärdades genom förbättrad låsning.

CVE-2022-42803: Xinru Chi på Pangu Lab, John Aakerblom (@jaakerblom)

Kernel

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: en app med rotbehörigheter kan köra opålitlig kod med kernelbehörighet

Beskrivning: problemet hanterades med förbättrade gränskontroller.

CVE-2022-32926: Tim Michaud (@TimGMichaud) på Moveworks.ai

Kernel

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrade kontroller.

CVE-2022-42801: Ian Beer på Google Project Zero

Safari

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: besök på en webbplats med skadligt innehåll kan läcka känsliga data

Beskrivning: ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2022-42817: Mir Masood Ali, doktorand, University of Illinois at Chicago; Binoy Chitale, masterstudent, Stony Brook University; Mohammad Ghasemisharif, doktorandkandidat, University of Illinois at Chicago; Chris Kanich, docent, University of Illinois at Chicago

Sandbox

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: en app kan komma åt användarkänsliga data

Beskrivning: ett åtkomstproblem åtgärdades genom ytterligare sandlådebegränsningar.

CVE-2022-42811: Justin Bui (@slyd0g) på Snowflake

WebKit

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: besök på en skadlig webbplats kan leda till att användargränssnittet förfalskas

Beskrivning: problemet hanterades med förbättrad hantering av användargränssnittet.

CVE-2022-42799: Jihwan Kim (@gPayl0ad), Dohyun Lee (@l33d0hyun)

WebKit

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett problem med sammanblandning av typer åtgärdades genom förbättrad minneshantering.

CVE-2022-42823: Dohyun Lee (@l33d0hyun) på SSD Labs

WebKit

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: Bearbetning av skadligt webbinnehåll kan avslöja känslig användarinformation

Beskrivning: ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2022-42824: Abdulrahman Alqabandi på Microsoft Browser Vulnerability Research, Ryan Shin på IAAI SecLab vid Korea University och Dohyun Lee (@l33d0hyun) på DNSLab vid Korea University

WebKit

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: bearbetning av skadligt webbinnehåll kan avslöja appens interna tillstånd

Beskrivning: Ett korrekthetsfel i JIT åtgärdades med förbättrade kontroller.

CVE-2022-32923: Wonyoung Jung (@nonetype_pwn) på KAIST Hacking Lab

zlib

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En användare kan orsaka oväntad avslutning av app eller körning av opålitlig kod

Beskrivning: problemet åtgärdades med förbättrade kontroller.

CVE-2022-37434: Evgeny Legerov

CVE-2022-42800: Evgeny Legerov

Ytterligare tack

iCloud

Vi vill tacka Tim Michaud (@TimGMichaud) på Moveworks.ai för hjälpen.

Kernel

Vi vill tacka Peter Nguyen på STAR Labs, Tim Michaud (@TimGMichaud) på Moveworks.ai och Tommy Muir (@Muirey03) för hjälpen.

WebKit

Vi vill tacka Maddie Stone på Google Project Zero och Narendra Bhati (@imnarendrabhati) på Suma Soft Pvt. Ltd. samt en anonym forskare för hjälpen.