Om säkerhetsinnehållet i watchOS 8.6

Det här dokumentet beskriver säkerhetsinnehållet i watchOS 8.6.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga appkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

watchOS 8.6

AppleAVD

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2022-26702: en anonym forskare, Antonio Zekic (@antoniozekic) och John Aakerblom (@jaakerblom)

AppleAVD

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en app kan köra opålitlig kod med kernelbehörighet. Apple känner till en rapport om att det här problemet kan ha utnyttjats aktivt.

Beskrivning: ett problem med dataskrivning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2022-22675: en anonym forskare

DriverKit

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: Ett skadligt program kan köra opålitlig kod med systembehörighet

Beskrivning: ett problem med dataåtkomst utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2022-26763: Linus Henze på Pinauten GmbH (pinauten.de)

ImageIO

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: En fjärrangripare kunde orsaka ett oväntat programavslut eller körning av opålitlig kod

Beskrivning: Ett problem med heltalsspill åtgärdades genom förbättrad indatavalidering.

CVE-2022-26711: actae0n på Blacksun Hackers Club som arbetar med Trend Micro Zero Day Initiative

IOMobileFrameBuffer

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: ett minnesfel åtgärdades genom förbättrad tillståndshantering.

CVE-2022-26768: en anonym forskare

IOSurfaceAccelerator

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en skadlig app kan köra opålitlig kod med kernelbehörighet

Beskrivning: ett minnesfel åtgärdades genom förbättrad tillståndshantering.

CVE-2022-26771: en anonym forskare

Kernel

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2022-26714: Peter Nguyễn Vũ Hoàng (@peternguyen14) på STAR Labs (@starlabs_sg)

Kernel

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2022-26757: Ned Williamson på Google Project Zero

Kernel

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: En angripare som redan har uppnått körning av kernel-kod kan kringgå kärnminnesbegränsningar

Beskrivning: ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2022-26764: Linus Henze på Pinauten GmbH (pinauten.de)

Kernel

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: En angripare med godtycklig läs- och skrivkapacitet kan kringgå pekarautentisering

Beskrivning: ett konkurrenstillstånd åtgärdades genom förbättrad tillståndshantering.

CVE-2022-26765: Linus Henze på Pinauten GmbH (pinauten.de)

LaunchServices

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en process i sandlådeläge kan kringgå sandlådebegränsningarna

Beskrivning: ett åtkomstproblem åtgärdades med ytterligare sandlådebegränsningar för tredjepartsprogram.

CVE-2022-26706: Arsenii Kostromin (0x3c3e), Jonathan Bar Or från Microsoft

libresolv

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en angripare kan orsaka oväntade programavslut eller körning av opålitlig kod

Beskrivning: ett problem med heltalsspill åtgärdades genom förbättrad indatavalidering.

CVE-2022-26775: Max Shavrick (@_mxms) på Googles säkerhetsteam

libresolv

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en angripare kan orsaka oväntade programavslut eller körning av opålitlig kod

Beskrivning: problemet åtgärdades med förbättrade kontroller.

CVE-2022-26708: Max Shavrick (@_mxms) på Googles säkerhetsteam

libresolv

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en fjärrangripare kan orsaka ett dos-angrepp

Beskrivning: problemet åtgärdades med förbättrade kontroller.

CVE-2022-32790: Max Shavrick (@_mxms) på Googles säkerhetsteam

libresolv

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en angripare kan orsaka oväntade programavslut eller körning av opålitlig kod

Beskrivning: problemet åtgärdades med förbättrade kontroller.

CVE-2022-26776: Max Shavrick (@_mxms) på Googles säkerhetsteam, Zubair Ashraf på Crowdstrike

libxml2

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: En fjärrangripare kunde orsaka ett oväntat programavslut eller körning av opålitlig kod

Beskrivning: ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2022-23308

Security

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en skadlig app kanske kan kringgå signaturvalidering

Beskrivning: ett problem med att analysera certifikat åtgärdades med förbättrade kontroller.

CVE-2022-26766: Linus Henze på Pinauten GmbH (pinauten.de)

TCC

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en app kan registrera en användares skärm

Beskrivning: problemet åtgärdades med förbättrade kontroller.

CVE-2022-26726: Antonio Cheong Yu Xuan på YCISCQ

WebKit

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av kod

Beskrivning: ett minnesfel åtgärdades genom förbättrad tillståndshantering.

CVE-2022-26700: ryuzaki

WebKit

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2022-26709: Chijin Zhou på ShuiMuYuLin Ltd och Tsinghua wingtecher lab

CVE-2022-26710: Chijin Zhou på ShuiMuYuLin Ltd och Tsinghua wingtecher lab

CVE-2022-26717: Jeonghoon Shin på Theori

WebKit

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: ett minnesfel åtgärdades genom förbättrad tillståndshantering.

CVE-2022-26716: SorryMybad (@S0rryMybad) på Kunlun Lab

CVE-2022-26719: Dongzhuo Zhao i samarbete med ADLab på Venustech

Wi-Fi

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en skadlig app kan leda till att begränsat minne avslöjas

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2022-26745: Scarlet Raine

Wi-Fi

Tillgängligt för: Apple Watch Series 3 och senare

Effekt: en skadlig app kan leda till att begränsat minne avslöjas

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2022-26745: en anonym forskare

Ytterligare tack

AppleMobileFileIntegrity

Vi vill tacka Wojciech Reguła (@_r3ggi) på SecuRing för hjälpen.

WebKit

Vi vill tacka James Lee och en anonym forskare för hjälpen.