Om säkerhetsinnehållet i watchOS 4.3.2

Det här dokumentet beskriver säkerhetsinnehållet i watchOS 4.3.2.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet. Du kan kryptera kommunikation med Apple genom att använda en PGP-nyckel från Apple Product Security.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

watchOS 4.3.2

CFNetwork

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Cookies är oväntat kvar i Safari

Beskrivning: Ett problem med cookiehantering åtgärdades med förbättrade kontroller.

CVE-2018-4293: en anonym forskare

CoreCrypto

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Ett skadligt program kan bryta sig ut från sitt begränsade läge

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2018-4269: Abraham Masri (@cheesecakeufo)

Emoji

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Bearbetning av en emoji vid vissa konfigurationer kan leda till att tjänsten nekas

Beskrivning: Ett problem med tjänster som nekades åtgärdades genom förbättrad minneshantering.

CVE-2018-4290: Patrick Wardle på Digita Security

Kernel

Tillgängligt för: Alla Apple Watch-modeller

Effekt: En lokal användare kan läsa kernelminne

Beskrivning: Det förekom ett problem med läsning utanför gränserna som ledde till att kernelminne avslöjades. Problemet har åtgärdats genom förbättrad indatavalidering.

CVE-2018-4282: Adam Donenfeld (@doadam) på Zimperium zLabs Team, Proteas på Qihoo 360 Nirvan Team, Valentin ”slashd” Shilnenkov

libxpc

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Ett program kan få högre behörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2018-4280: Brandon Azad

libxpc

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Ett skadligt program utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2018-4248: Brandon Azad

LinkPresentation

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Besök på en skadlig webbplats kan leda till att adressfältet förfalskas

Beskrivning: Ett problem med omstyrning förekom i hanteringen av webbadresser. Problemet har åtgärdats genom förbättrad indatavalidering.

CVE-2018-4277: xisigr på Tencents Xuanwu Lab (tencent.com)

WebKit

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Bearbetning av skadligt webbinnehåll kan leda till att Safari avslutas oväntat

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2018-4270: upptäcktes av OSS-Fuzz

WebKit

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett problem med sammanblandning av typer åtgärdades genom förbättrad minneshantering.

CVE-2018-4284: upptäcktes av OSS-Fuzz

WebKit

Tillgängligt för: Alla Apple Watch-modeller

Effekt: En skadligt utformad webbplats kan orsaka att åtkomsten till tjänsten nekas

Beskrivning: Ett konkurrenstillstånd åtgärdades genom ytterligare validering.

CVE-2018-4266: upptäcktes av OSS-Fuzz

WebKit

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Flera minnesproblem åtgärdades genom förbättrad minneshantering.

CVE-2018-4262: Mateusz Krzywicki i samarbete med Trend Micros Zero Day Initiative

CVE-2018-4264: upptäcktes av OSS-Fuzz, Yu Zhou och Jundong Xie på Ant-financial Light-Year Security Lab

CVE-2018-4272: upptäcktes av OSS-Fuzz

WebKit

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Bearbetning av skadligt webbinnehåll kan leda till att Safari avslutas oväntat

Beskrivning: Flera minnesfel åtgärdades med hjälp av förbättrad indatavalidering.

CVE-2018-4271: upptäcktes av OSS-Fuzz

CVE-2018-4273: upptäcktes av OSS-Fuzz

Ytterligare tack

Kernel

Vi vill tacka juwei lin (@panicaII) på Trend Micro i samarbete med Trend Micros Zero Day Initiative för deras hjälp.