Om säkerhetsinnehållet i watchOS 9.4

I det här dokumentet beskrivs säkerhetsinnehållet i watchOS 9.4.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga appkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Apples säkerhetsdokument hänvisar till sårbarheter med hjälp av CVE-ID när det är möjligt.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

watchOS 9.4

AppleMobileFileIntegrity

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En användare kan få tillgång till skyddade delar av filsystemet

Beskrivning: Problemet hanterades med förbättrade kontroller.

CVE-2023-23527: Mickey Jin (@patch1t)

Calendar

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: Import av en skadlig kalenderinbjudan kan sprida användarinformation

Beskrivning: Flera valideringsproblem åtgärdades genom förbättrad indatasanering.

CVE-2023-27961: Rıza Sabuncu (@rizasabuncu)

Camera

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En app i sandlådeläge kan fastställa vilken app som just nu använder kameran

Beskrivning: Problemet åtgärdades med ytterligare begränsningar för visning av applägen.

CVE-2023-23543: Yiğit Can YILMAZ (@yilmazcanyigit)

CoreCapture

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En app kan köra opålitlig kod med kernelbehörighet

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-28181: Tingting Yin på Tsinghua University

Find My

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En app kanske kan läsa känslig platsinformation

Beskrivning: Ett integritetsproblem åtgärdades genom förbättrad redigering av personlig information för loggposter.

CVE-2023-23537: Adam M.

CVE-2023-28195: Adam M.

FontParser

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: Bearbetning av en skadlig bild kan leda till spridning av processminne

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-27956: Ye Zhang på Baidu Security

Foundation

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: Tolkning av en .plist-fil med skadligt innehåll kan leda till oväntad appavslutning eller körning av opålitlig kod

Beskrivning: Ett problem med heltalsspill åtgärdades genom förbättrad indatavalidering.

CVE-2023-27937: En anonym forskare

Identity Services

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En app kan få åtkomst till information om en användares kontakter

Beskrivning: Ett integritetsproblem åtgärdades genom förbättrad redigering av personlig information för loggposter.

CVE-2023-27928: Csaba Fitzl (@theevilbit) på Offensive Security

ImageIO

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: Bearbetning av en skadlig bild kan leda till spridning av processminne

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-23535: Ryuzaki

ImageIO

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: Bearbetning av en skadlig bild kan leda till spridning av processminne

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2023-27929: Meysam Firouzi (@R00tkitSMM) på Mbition Mercedes-Benz Innovation Lab och jzhu i samarbete med Trend Micro Zero Day Initiative

ImageIO

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: Bearbetning av en bild kan leda till spridning av processminne

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2023-42862: Meysam Firouzi @R00tkitSMM

CVE-2023-42865: jzhu i samarbete med Trend Micro Zero Day Initiative och Meysam Firouzi (@R00tkitSMM) på Mbition Mercedes-Benz Innovation Lab

Kernel

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En app kan köra opålitlig kod med kernelbehörighet

Beskrivning: Problemet hanterades med förbättrade gränskontroller.

CVE-2023-23536: Félix Poulin-Bélanger och David Pan Ogea

Kernel

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En app kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett UAF-fel åtgärdades genom förbättrad minneshantering.

CVE-2023-27969: Adam Doupé på ASU SEFCOM

Kernel

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En app med rotbehörigheter kan köra opålitlig kod med kernelbehörighet

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-27933: Sqrtpwn

Kernel

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En app kan orsaka ett DoS-angrepp

Beskrivning: Ett problem med heltalsspill åtgärdades genom förbättrad indatavalidering.

CVE-2023-28185: Pan ZhenPeng på STAR Labs SG Pte. Ltd.

Kernel

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En angripare som redan har uppnått körning av kernel-kod kan kringgå kärnminnesbegränsningar

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-32424: Zechao Cai (@Zech4o) på Zhejiang University

Podcasts

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En app kan komma åt användarkänsliga data

Beskrivning: Problemet hanterades med förbättrade kontroller.

CVE-2023-27942: Mickey Jin (@patch1t)

Sandbox

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En app kan kringgå inställningar för Integritet

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrad validering.

CVE-2023-28178: Yiğit Can YILMAZ (@yilmazcanyigit)

Shortcuts

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En genväg kan använda känsliga data med vissa åtgärder utan att tillfråga användaren

Beskrivning: Problemet har åtgärdats med ytterligare behörighetskontroller.

CVE-2023-27963: Jubaer Alnazi Jabin på TRS Group Of Companies och Wenchao Li och Xiaolong Bai på Alibaba Group

TCC

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En app kan komma åt användarkänsliga data

Beskrivning: Problemet åtgärdades genom borttagning av den sårbara koden.

CVE-2023-27931: Mickey Jin (@patch1t)

WebKit

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: Bearbetning av skadligt webbinnehåll kan kringgå principen för samma ursprung

Beskrivning: Problemet åtgärdades med förbättrad tillståndshantering.

CVE-2023-27932: En anonym forskare

WebKit

Tillgängligt för: Apple Watch Series 4 och senare

Effekt: En webbplats kan spåra känslig användarinformation

Beskrivning: Problemet åtgärdades genom att ta bort information om ursprung.

CVE-2023-27954: En anonym forskare

Ytterligare tack

Activation Lock

Vi vill tacka Christian Mina för hjälpen.

CFNetwork

Vi vill tacka en anonym forskare för hjälpen.

CoreServices

Vi vill tacka Mickey Jin (@patch1t) för hjälpen.

ImageIO

Vi vill tacka Meysam Firouzi @R00tkitSMM för hjälpen.

Mail

Vi vill tacka Chen Zhang, Fabian Ising på FH Münster University of Applied Sciences, Damian Poddebniak på FH Münster University of Applied Sciences, Tobias Kappert på Münster University of Applied Sciences, Christoph Saatjohann på Münster University of Applied Sciences, Sebast och Merlin Chlosta på CISPA Helmholtz Center for Information Security för hjälpen.

Safari Downloads

Vi vill tacka Andrew Gonzalez för hjälpen.

WebKit

Vi vill tacka en anonym forskare för hjälpen.