Om säkerhetsinnehållet i watchOS 3.1

Det här dokumentet beskriver säkerhetsinnehållet i watchOS 3.1.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga buggfixar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet. Du kan kryptera kommunikation med Apple genom att använda en PGP-nyckel från Apple Product Security.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

watchOS 3.1

Släpptes 24 oktober 2016

AppleMobileFileIntegrity

Tillgängligt för: Alla Apple Watch-modeller

Effekt: En signerad körbar fil kan ersätta kod med samma team-ID

Beskrivning: Ett valideringsproblem förekom i hanteringen av kodsignaturer. Problemet har åtgärdats genom ytterligare validering.

CVE-2016-7584: Mark Mentovai och Boris Vidolov på Google Inc.

Lades till 6 december 2016

CoreGraphics

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Visning av en skadlig JPEG-fil kan leda till körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2016-4673: Marco Grassi (@marcograss) på KeenLab (@keen_lab), Tencent

FontParser

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Tolkning av ett skadligt typsnitt kan avslöja känslig användarinformation

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad kontroll av gränserna.

CVE-2016-4660: Ke Liu på Tencents Xuanwu Lab

FontParser

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Bearbetning av en skadlig teckensnittsfil kan leda till körning av opålitlig kod 

Beskrivning: Ett buffertspill förekom i hanteringen av typsnittsfiler. Problemet åtgärdades genom förbättrad gränskontroll.

CVE-2016-4688: Simon Huang på företaget Alipay, thelongestusernameofall@gmail.com

Information lades till 27 november 2016

Kärna

Tillgängligt för: Alla Apple Watch-modeller

Effekt: En lokal användare kan orsaka oväntad systemavslutning eller körning av opålitlig kod i kärnan

Beskrivning: Flera problem med indatavalidering förekom i MIG-genererad kod. Dessa problem åtgärdades genom förbättrad validering.

CVE-2016-4669: Ian Beer på Google Project Zero

Informationen uppdaterades 2 november 2016

Kärna

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Ett program kan avslöja kärnminnet

Beskrivning: Ett valideringsproblem hanterades genom förbättrad inmatningssanering.

CVE-2016-4680: Max Bazaliy på Lookout och in7egral

Kärna

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Ett lokalt program kan köra opålitlig kod med rotbehörigheter

Beskrivning: Flera problem med objektens livslängd förekom vid skapande av nya processer. Dessa åtgärdades genom förbättrad validering.

CVE-2016-7613: Ian Beer på Google Project Zero

Information lades till 1 november 2016

libarchive

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Ett skadligt arkiv kan skriva över opålitliga filer

Beskrivning: Det förekom ett problem med logiken för validering av sökvägar för symlänkar. Problemet åtgärdades genom förbättrad sökvägssanering.

CVE-2016-4679: Omer Medan på enSilo Ltd

libxpc

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Ett program kan köra opålitlig kod med rotbehörigheter

Beskrivning: Ett logiskt problem åtgärdades genom ytterligare begränsningar.

CVE-2016-4675: Ian Beer på Google Project Zero

Sandlådeprofiler

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Ett program kan hämta metadata för bildkataloger

Beskrivning: Ett åtkomstproblem åtgärdades med ytterligare sandlådebegränsningar för program från tredje part.

CVE-2016-4664: Razvan Deaconescu, Mihai Chiroiu (University POLITEHNICA of Bucharest); Luke Deshotels, William Enck (North Carolina State University); Lucas Vincenzo Davi, Ahmad-Reza Sadeghi (TU Darmstadt)

Sandlådeprofiler

Tillgängligt för: Alla Apple Watch-modeller

Effekt: Ett program kan hämta metadata för ljudinspelningskataloger

Beskrivning: Ett åtkomstproblem åtgärdades med ytterligare sandlådebegränsningar för program från tredje part.

CVE-2016-4665: Razvan Deaconescu, Mihai Chiroiu (University POLITEHNICA of Bucharest); Luke Deshotels, William Enck (North Carolina State University); Lucas Vincenzo Davi, Ahmad-Reza Sadeghi (TU Darmstadt)

Information om produkter som inte tillverkas av Apple eller som finns på oberoende webbplatser som inte står under Apples kontroll eller testats av Apple anges endast i informationssyfte och är inte att betrakta som rekommendationer av eller stöd för produkterna. Apple tar inget ansvar för valet eller nyttjandet av webbplatser eller produkter från tredje part och inte heller för produkternas prestanda. Apple garanterar inte att informationen på webbplatser från tredje part är korrekt eller tillförlitlig. Det finns konkreta risker med att använda internet. Kontakta leverantören om du vill veta mer. Andra företags- och produktnamn kan vara varumärken som tillhör respektive ägare.

Publiceringsdatum: