Om säkerhetsinnehållet i watchOS 5.2.1

Det här dokumentet beskriver säkerhetsinnehållet i watchOS 5.2.1.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

watchOS 5.2.1

AppleFileConduit

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Ett program kan köra opålitlig kod med systembehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2019-8593: Dany Lisiansky (@DanyL931)

CoreAudio

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Bearbetning av en filmfil med skadligt innehåll kan leda till körning av opålitlig kod

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2019-8585: riusksk på VulWar Corp i samarbete med Trend Micros Zero Day Initiative

CoreAudio

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Bearbetning av en ljudfil med skadligt innehåll kan leda till körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad felhantering.

CVE-2019-8592: riusksk på VulWar Corp i samarbete med Trend Micros Zero Day Initiative

Skivavbilder

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Ett program utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett valideringsproblem hanterades genom förbättrad indatasanering.

CVE-2019-8560: Nikita Pupyshev på Bauman Moscow State Technological University

Kernel

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Ett skadligt program kan köra opålitlig kod med systembehörighet

Beskrivning: Ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2019-8605: Ned Williamson i samarbete med Google Project Zero

Kernel

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: En lokal användare kan eventuellt orsaka att systemet avslutas oväntat eller att kernelminnet läses

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2019-8576: Brandon Azad på Google Project Zero och Junho Jang och Hanul Choi på LINE Security Team

Kernel

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Ett program kan leda till oväntad systemavstängning eller skrivning till kernelminne

Beskrivning: Ett problem med sammanblandning av typer åtgärdades genom förbättrad minneshantering.

CVE-2019-8591: Ned Williamson i samarbete med Google Project Zero

Mail

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Bearbetning av ett skadligt meddelande kan leda till att åtkomst till tjänsten nekas

Beskrivning: Ett indatavalideringsfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-8626: natashenka på Google Project Zero

Meddelanderamverket i Mail

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: En fjärrangripare kan orsaka körning av opålitlig kod

Beskrivning: Ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2019-8613: natashenka på Google Project Zero

Meddelanden

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Bearbetning av ett skadligt meddelande kan leda till att åtkomst till tjänsten nekas

Beskrivning: Ett indatavalideringsfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-8664: natashenka på Google Project Zero

Meddelanden

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: En fjärrangripare kan orsaka att åtkomst till tjänsten nekas

Beskrivning: Ett indatavalideringsfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-8573: natashenka på Google Project Zero

Meddelanden

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Bearbetning av ett skadligt meddelande kan leda till att åtkomst till tjänsten nekas

Beskrivning: Ett indatavalideringsfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-8664: natashenka på Google Project Zero

MobileInstallation

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: En lokal användare kan ändra skyddade delar av filsystemet

Beskrivning: Ett valideringsproblem förekom i hanteringen av symlänkar. Problemet åtgärdades genom förbättrad validering av symlänkar.

CVE-2019-8568: Dany Lisiansky (@DanyL931)

MobileLockdown

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Ett skadligt program kan tillskansa sig rotbehörighet

Beskrivning: Ett indatavalideringsfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-8637: Dany Lisiansky (@DanyL931)

SQLite

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Ett program kan få högre behörighet

Beskrivning: Ett indatavalideringsfel åtgärdades genom förbättrad minneshantering.

CVE-2019-8577: Omer Gull på Checkpoint Research

SQLite

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: En skadligt utformad SQL-fråga kan ge upphov till körning av godtycklig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-8600: Omer Gull på Checkpoint Research

SQLite

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Ett skadligt program utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett indatavalideringsfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-8598: Omer Gull på Checkpoint Research

SQLite

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett minnesfel åtgärdades genom borttagning av den sårbara koden.

CVE-2019-8602: Omer Gull på Checkpoint Research

sysdiagnose

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Ett program kan köra opålitlig kod med systembehörighet

Beskrivning: Problemet har åtgärdats genom förbättrad behörighetslogik.

CVE-2019-8574: Dayton Pidhirney (@_watbulb) på Seekintoo (@seekintoo)

WebKit

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Bearbetning av skadligt webbinnehåll kan leda till att processminnet visas

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2019-8607: Junho Jang och Hanul Choi på LINE Security Team

WebKit

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Flera minnesproblem åtgärdades genom förbättrad minneshantering.

CVE-2019-8583: sakura på Tencent Xuanwu Lab, jessica (@babyjess1ca_) på Tencent Keen Lab och dwfault som arbetar på ADLab på Venustech

CVE-2019-8601: Fluoroacetate i samarbete med Trend Micros Zero Day Initiative

CVE-2019-8622: Samuel Groß på Google Project Zero

CVE-2019-8623: Samuel Groß på Google Project Zero

Wifi

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: En angripare med en privilegierad nätverksposition kan ändra drivrutinstillstånd

Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8612: Milan Stute på Secure Mobile Networking Lab på Technische Universität Darmstadt

Wifi

Tillgängligt för: Apple Watch Series 1 och senare

Effekt: En enhet kan passivt spåras med hjälp av dess wifi-MAC-adress

Beskrivning: Ett problem med användarintegritet åtgärdades genom att ta bort MAC-adressen som sändes.

CVE-2019-8620: David Kreitschmann och Milan Stute på Secure Mobile Networking Lab på Technische Universität Darmstadt

Ytterligare tack

Clang

Vi vill tacka Brandon Azad på Google Project Zero för hjälpen.

CoreAudio

Vi vill tacka riusksk på VulWar Corp tillsammans med Trend Micros Zero Day Initiative för deras hjälp.

CoreFoundation

Vi vill tacka Vozzie och Rami och m4bln, Xiangqian Zhang, Huiming Liu på Tencents Xuanwu Lab för hjälpen.

Kernel

Vi vill tacka Brandon Azad på Google Project Zero och en anonym forskare för hjälpen.

MediaLibrary

Vi vill tacka Angel Ramirez och Min (Spark) Zheng, Xiaolong Bai på Alibaba Inc. för hjälpen.

MobileInstallation

Vi vill tacka Yiğit Can YILMAZ (@yilmazcanyigit) för hjälpen.