เกี่ยวกับรายการอัพเดทความปลอดภัยของ Apple
เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการสืบสวนโดยละเอียด และมีแพตช์หรือมีการเปิดตัวที่จำเป็นออกมาแล้ว รายการที่เปิดตัวล่าสุดจะแสดงอยู่ในหน้ารายการอัพเดทความปลอดภัยของ Apple
สำหรับข้อมูลเพิ่มเติมเกี่ยวกับความปลอดภัย โปรดดูที่หน้าความปลอดภัยของผลิตภัณฑ์ Apple คุณสามารถเข้ารหัสการสื่อสารกับ Apple ได้โดยใช้คีย์ PGP สำหรับความปลอดภัยของผลิตภัณฑ์ Apple
เอกสารด้านความปลอดภัยของ Apple จะอ้างอิงช่องโหว่ต่างๆ ตาม CVE-ID หากทำได้
watchOS 3.1
เปิดตัวเมื่อวันที่ 24 ตุลาคม 2016
AppleMobileFileIntegrity
มีให้สำหรับ: Apple Watch ทุกรุ่น
ผลกระทบ: โปรแกรมปฏิบัติงานที่ลงชื่อแล้วอาจใช้แทนรหัสที่มี Team ID เดียวกัน
คำอธิบาย: มีปัญหาการตรวจสอบในการจัดการลายเซ็นรหัส ปัญหานี้ได้รับการแก้ไขแล้วผ่านการตรวจสอบเพิ่มเติม
CVE-2016-7584: Mark Mentovai และ Boris Vidolov จาก Google Inc.
เพิ่มรายการเมื่อวันที่ 6 ธันวาคม 2016
CoreGraphics
มีให้สำหรับ: Apple Watch ทุกรุ่น
ผลกระทบ: การดูไฟล์ JPEG ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้เกิดการใช้รหัสโดยอำเภอใจ
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2016-4673: Marco Grassi (@marcograss) จาก KeenLab (@keen_lab), Tencent
FontParser
มีให้สำหรับ: Apple Watch ทุกรุ่น
ผลกระทบ: การแยกวิเคราะห์แบบอักษรที่ออกแบบมาเพื่อประสงค์ร้ายอาจเปิดเผยข้อมูลที่ละเอียดอ่อนของผู้ใช้
คำอธิบาย: ปัญหาการอ่านข้อมูลนอกขอบเขตได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-2016-4660: Ke Liu จาก Xuanwu Lab ของ Tencent
FontParser
มีให้สำหรับ: Apple Watch ทุกรุ่น
ผลกระทบ: การประมวลผลไฟล์แบบอักษรที่สร้างขึ้นโดยมีประสงค์ร้ายอาจนำไปสู่การเรียกใช้รหัสโดยพลการ
คำอธิบาย: มีบัฟเฟอร์ล้นในการจัดการไฟล์แบบอักษร ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-2016-4688: Simon Huang จาก Alipay company thelongestusernameofall@gmail.com
เพิ่มรายการเมื่อวันที่ 27 พฤศจิกายน 2016
เคอร์เนล
มีให้สำหรับ: Apple Watch ทุกรุ่น
ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจทำให้ระบบหยุดโดยไม่คาดคิดหรือการใช้รหัสโดยอำเภอใจในเคอร์เนล
คำอธิบาย: มีปัญหาหลายประการเกี่ยวกับการตรวจสอบอินพุตเกิดขึ้นในรหัสที่สร้างโดย MIG ปัญหาเหล่านี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น
CVE-2016-4669: Ian Beer จาก Google Project Zero
อัพเดทรายการเมื่อวันที่ 2 พฤศจิกายน 2016
เคอร์เนล
มีให้สำหรับ: Apple Watch ทุกรุ่น
ผลกระทบ: แอพพลิเคชั่นอาจสามารถเปิดเผยหน่วยความจำเคอร์เนลได้
คำอธิบาย: ปัญหาการตรวจสอบยืนยันได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2016-4680: Max Bazaliy จาก Lookout และ in7egral
เคอร์เนล
มีให้สำหรับ: Apple Watch ทุกรุ่น
ผลกระทบ: แอพพลิเคชั่นเฉพาะที่อาจสามารถใช้รหัสที่มีสิทธิ์ในระดับรากได้โดยอำเภอใจ
คำอธิบาย: มีปัญหาอายุการใช้งานหลายวัตถุเกิดขึ้นในการวางกระบวนการใหม่ ปัญหาเหล่านี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการตรวจสอบให้ดีขึ้น
CVE-2016-7613: Ian Beer จาก Google Project Zero
เพิ่มรายการเมื่อวันที่ 1 พฤศจิกายน 2016
libarchive
มีให้สำหรับ: Apple Watch ทุกรุ่น
ผลกระทบ: ข้อมูลเก็บถาวรที่เป็นอันตรายอาจสามารถเขียนทับไฟล์ Arbitrary ได้
คำอธิบาย: มีปัญหาภายในตรรกะการตรวจสอบเส้นทางสำหรับ symlinks ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการดูแลสภาพเส้นทางให้ดียิ่งขึ้น
CVE-2016-4679: Omer Medan จาก enSilo Ltd
libxpc
มีให้สำหรับ: Apple Watch ทุกรุ่น
ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้รหัสที่มีสิทธิ์ในระดับรากได้โดยอำเภอใจ
คำอธิบาย: ปัญหาตรรกะได้รับการแก้ไขแล้วผ่านการจำกัดเพิ่มเติม
CVE-2016-4675: Ian Beer จาก Google Project Zero
โปรไฟล์ Sandbox
มีให้สำหรับ: Apple Watch ทุกรุ่น
ผลกระทบ: แอพพลิเคชั่นอาจสามารถดึงเมตาดาต้าของไดเร็กทอรี่รูปภาพ
คำอธิบาย: ปัญหาในการเข้าถึงได้รับการแก้ไขแล้วโดยการจำกัด Sandbox เพิ่มเติมในแอพพลิเคชั่นของผู้ให้บริการรายอื่น
CVE-2016-4664: Razvan Deaconescu, Mihai Chiroiu (University POLITEHNICA of Bucharest); Luke Deshotels, William Enck (North Carolina State University); Lucas Vincenzo Davi, Ahmad-Reza Sadeghi (TU Darmstadt)
โปรไฟล์ Sandbox
มีให้สำหรับ: Apple Watch ทุกรุ่น
ผลกระทบ: แอพพลิเคชั่นอาจสามารถดึงเมตาดาต้าของไดเร็กทอรี่การบันทึกเสียง
คำอธิบาย: ปัญหาในการเข้าถึงได้รับการแก้ไขแล้วโดยการจำกัด Sandbox เพิ่มเติมในแอพพลิเคชั่นของผู้ให้บริการรายอื่น
CVE-2016-4665: Razvan Deaconescu, Mihai Chiroiu (University POLITEHNICA of Bucharest); Luke Deshotels, William Enck (North Carolina State University); Lucas Vincenzo Davi, Ahmad-Reza Sadeghi (TU Darmstadt)