Om säkerhetsuppdateringar från Apple
Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga appkorrigeringar eller utgåvor är tillgängliga. De senaste släppen visas på sidan Apples säkerhetssläpp.
Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.
Mer information om säkerhet finns på sidan Apples produktsäkerhet.
watchOS 10.4
Släpptes 7 mars 2024
Accessibility
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En skadlig app kan kanske observera användardata i loggposter relaterade till hjälpmedelsmeddelanden
Beskrivning: Ett integritetsproblem åtgärdades genom förbättrad redigering av personlig information för loggposter.
CVE-2024-23291
AppleMobileFileIntegrity
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En app kanske kan öka behörigheter
Beskrivning: Problemet åtgärdades genom borttagning av den sårbara koden.
CVE-2024-23288: Wojciech Regula på SecuRing (wojciechregula.blog) och Kirin (@Pwnrin)
CoreBluetooth– LE
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En app kanske kan få åtkomst till Bluetooth-anslutna mikrofoner utan användarens tillåtelse
Beskrivning: ett åtkomstproblem åtgärdades genom ytterligare åtkomstbegränsningar.
CVE-2024-23250: Guilherme Rambo på Best Buddy Apps (rambo.codes)
file
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: Bearbetning av en fil kan leda till ett DoS-angrepp eller möjligen avslöja innehåll från minnet
Beskrivning: Problemet åtgärdades med förbättrade kontroller.
CVE-2022-48554
ImageIO
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: Bearbetning av en bildfil kan leda till körning av opålitlig kod
Beskrivning: ett problem med buffertspill åtgärdades genom förbättrad minneshantering.
CVE-2024-23286: Junsung Lee i samarbete med Trend Micro Zero Day Initiative, Amir Bazine och Karsten König på CrowdStrike Counter Adversary Operations, Dohyun Lee (@l33d0hyun) och Lyutoon and Mr.R
Uppdaterades 31 maj 2024
Kernel
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En app kan komma åt användarkänsliga data
Beskrivning: Ett konkurrenstillstånd åtgärdades genom ytterligare validering.
CVE-2024-23235
Kernel
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En app kan leda till oväntad systemavstängning eller skrivning till kernelminne
Beskrivning: En sårbarhet för minnesfel åtgärdades med förbättrad låsning.
CVE-2024-23265: Xinru Chi på Pangu Lab
Kernel
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En angripare med opålitlig läs- och skrivkapacitet till kernel kan kringgå kernelns minnesskydd. Apple känner till en rapport om att det här problemet kan ha utnyttjats.
Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.
CVE-2024-23225
libxpc
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En app kan bryta sig ut från sin sandlåda
Beskrivning: Problemet hanterades med förbättrade kontroller.
CVE-2024-23278: En anonym forskare
libxpc
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En app kan köra opålitlig kod från sin sandlåda eller med vissa högre behörigheter
Beskrivning: Problemet hanterades med förbättrad minneshantering.
CVE-2024-0258: ali yabuz
MediaRemote
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En app med skadligt innehåll kan få tillgång till personlig information
Beskrivning: Problemet hanterades med förbättrade kontroller.
CVE-2024-23297: scj643
Messages
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En app kan komma åt användarkänsliga data
Beskrivning: Ett integritetsproblem åtgärdades med förbättrad hantering av tillfälliga filer.
CVE-2024-23287: Kirin (@Pwnrin)
RTKit
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En angripare med opålitlig läs- och skrivkapacitet till kernel kan kringgå kernelns minnesskydd. Apple känner till en rapport om att det här problemet kan ha utnyttjats.
Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.
CVE-2024-23296
Sandbox
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En app kan läcka känslig användarinformation
Beskrivning: Ett konkurrenstillstånd åtgärdades genom förbättrad tillståndshantering.
CVE-2024-23239: Mickey Jin (@patch1t)
Sandbox
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En app kan komma åt användarkänsliga data
Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrade begränsningar.
CVE-2024-23290: Wojciech Regula på SecuRing (wojciechregula.blog)
Share Sheet
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En app kan komma åt användarkänsliga data
Beskrivning: Ett integritetsproblem åtgärdades genom förbättrad redigering av personlig information för loggposter.
CVE-2024-23231: Kirin (@Pwnrin) och luckyu (@uuulucky)
Siri
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En person med fysisk åtkomst till en enhet kan använda Siri för att få åtkomst till information om en privat kalender
Beskrivning: Ett problem med låsskärmen åtgärdades med förbättrad tillståndshantering.
CVE-2024-23289: Lewis Hardy
Siri
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En angripare med fysisk åtkomst kanske kan använda Siri för att komma åt känsliga användardata
Beskrivning: Problemet åtgärdades genom förbättrad tillståndshantering.
CVE-2024-23293: Bistrit Dahal
UIKit
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En app kan bryta sig ut från sin sandlåda
Beskrivning: Problemet åtgärdades genom borttagning av den sårbara koden.
CVE-2024-23246: Deutsche Telekom Security GmbH sponsrat av Bundesamt für Sicherheit in der Informationstechnik
WebKit
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: Bearbetning av webbinnehåll kan leda till körning av opålitlig kod
Beskrivning: Problemet hanterades med förbättrad minneshantering.
WebKit Bugzilla: 259694
CVE-2024-23226: Pwn2car
WebKit
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En webbplats med skadligt innehåll kan komma åt ljuddata från flera källor
Beskrivning: Problemet hanterades med förbättrad hantering av användargränssnittet.
WebKit Bugzilla: 263795
CVE-2024-23254: James Lee (@Windowsrcer)
WebKit
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: Bearbetning av skadligt webbinnehåll kan förhindra att policyn för innehållssäkerhet tillämpas
Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrad validering.
WebKit Bugzilla: 264811
CVE-2024-23263: Johan Carlsson (joaxcar)
WebKit
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: En skadlig webbsida kan ta fingeravtryck på användaren
Beskrivning: Ett problem med inmatning åtgärdades genom förbättrad validering.
WebKit Bugzilla: 266703
CVE-2024-23280: En anonym forskare
WebKit
Tillgängligt för: Apple Watch Series 4 och senare
Effekt: Bearbetning av skadligt webbinnehåll kan förhindra att policyn för innehållssäkerhet tillämpas
Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.
WebKit Bugzilla: 267241
CVE-2024-23284: Georg Felber och Marco Squarcina
Ytterligare tack
CoreAnimation
Vi vill tacka Junsung Lee för hjälpen.
CoreMotion
Vi vill tacka Eric Dorphy på Twin Cities App Dev LLC för hjälpen.
Find My
Vi vill tacka Meng Zhang (鲸落) på NorthSea för hjälpen.
Kernel
Vi vill tacka Tarek Joumaa (@tjkr0wn) för hjälpen.
libxml2
Vi vill tacka OSS-Fuzz och Ned Williamson på Google Project Zero för hjälpen.
libxpc
Vi vill tacka Rasmus Sten, F-Secure (Mastodon: @pajp@blog.dll.nu) och en anonym forskare för hjälpen.
Power Management
Vi vill tacka Pan ZhenPeng (@Peterpan0927) på STAR Labs SG Pte. Ltd. för hjälpen.
Sandbox
Vi vill tacka Zhongquan Li (@Guluisacat) för hjälpen.
Siri
Vi vill tacka Bistrit Dahal för hjälpen.
Software Update
Vi vill tacka Bin Zhang på Dublin City University för hjälpen.
WebKit
Vi vill tacka Nan Wang (@eternalsakura13) på 360 Vulnerability Research Institute, Valentino Dalla Valle, Pedro Bernardo, Marco Squarcina och Lorenzo Veronese på TU Wien för hjälpen.