เกี่ยวกับรายการอัปเดตความปลอดภัยของ Apple
เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการตรวจสอบ และมีแพตช์หรือรายการอัปเดตออกมาแล้ว รายการที่เผยแพร่ล่าสุดจะแสดงอยู่ในหน้ารายการอัปเดตความปลอดภัยของ Apple
เอกสารด้านความปลอดภัยของ Apple จะอ้างอิงช่องโหว่ต่างๆ ตาม CVE-ID หากทำได้
สำหรับข้อมูลเพิ่มเติมเกี่ยวกับความปลอดภัย โปรดดูที่หน้าความปลอดภัยของผลิตภัณฑ์ Apple
watchOS 10.4
เปิดตัวเมื่อวันที่ 7 มีนาคม 2024
Accessibility
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: แอปที่เป็นอันตรายอาจสามารถดูข้อมูลของผู้ใช้ในรายการบันทึกที่เกี่ยวข้องกับการแจ้งเตือนคุณสมบัติการช่วยการเข้าถึงได้
คำอธิบาย: ปัญหาความเป็นส่วนตัวได้รับการแก้ไขแล้วด้วยการปรับปรุงการปกปิดข้อมูลส่วนตัวสำหรับรายการล็อกให้ดียิ่งขึ้น
CVE-2024-23291
AppleMobileFileIntegrity
มีให้บริการสำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: แอปอาจสามารถเข้าถึงสิทธิ์ในระดับที่สูงขึ้น
คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วโดยการนำรหัสที่มีความเสี่ยงออก
CVE-2024-23288: Wojciech Regula จาก SecuRing (wojciechregula.blog) และ Kirin (@Pwnrin)
CoreBluetooth - LE
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: แอปอาจสามารถเข้าถึงไมโครโฟนที่เชื่อมต่อผ่านบลูทูธได้โดยไม่ได้รับอนุญาตจากผู้ใช้
คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงข้อจำกัดการเข้าถึงให้ดียิ่งขึ้น
CVE-2024-23250: Guilherme Rambo จาก Best Buddy Apps (rambo.codes)
file
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: การประมวลผลไฟล์อาจทำให้เกิด Denial of Service หรืออาจเปิดเผยคอนเทนต์ในหน่วยความจำได้
คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น
CVE-2022-48554
ImageIO
มีให้บริการสำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: การประมวลผลภาพอาจทำให้มีการรันโค้ดโดยพลการ
คำอธิบาย: ปัญหา Buffer Overflow ได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2024-23286: Junsung Lee ซึ่งทำงานร่วมกับ Trend Micro Zero Day Initiative, Amir Bazine และ Karsten König จาก CrowdStrike Counter Adversary Operations, Dohyun Lee (@l33d0hyun) และ Lyutoon และ Mr.R
อัปเดตรายการเมื่อวันที่ 31 พฤษภาคม 2024
Kernel
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: แอปอาจเข้าถึงข้อมูลที่ละเอียดอ่อนของผู้ใช้ได้
คำอธิบาย: ปัญหาสภาวะการแข่งขันได้รับการแก้ไขแล้วด้วยการตรวจสอบข้อมูลเพิ่มเติม
CVE-2024-23235
Kernel
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: แอปอาจทำให้ระบบหยุดทำงานโดยไม่คาดคิดหรือมีการเขียนข้อมูลหน่วยความจำเคอร์เนล
คำอธิบาย: ช่องโหว่ด้านหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการล็อคให้ดียิ่งขึ้น
CVE-2024-23265: Xinru Chi จาก Pangu Lab
Kernel
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: ผู้โจมตีที่มีความสามารถในการอ่านและการเขียนข้อมูลเคอร์เนลโดยพลการอาจสามารถบายพาสการป้องกันหน่วยความจำเคอร์เนลได้ Apple รับทราบถึงรายงานที่แจ้งว่ามีการตั้งใจใช้ประโยชน์จากปัญหานี้
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น
CVE-2024-23225
libxpc
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: แอปอาจสามารถทะลุผ่าน Sandbox ได้
คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบ
CVE-2024-23278: นักวิจัยนิรนาม
libxpc
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: แอปอาจสามารถรันโค้ดโดยพลการนอก Sandbox หรือด้วยสิทธิ์ระดับสูงบางอย่าง
คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงหน่วยความจำให้ดียิ่งขึ้น
CVE-2024-0258: ali yabuz
MediaRemote
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: แอปพลิเคชันที่ประสงค์ร้ายอาจเข้าถึงข้อมูลส่วนตัวได้
คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบ
CVE-2024-23297: scj643
Messages
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: แอปอาจเข้าถึงข้อมูลที่ละเอียดอ่อนของผู้ใช้ได้
คำอธิบาย: ปัญหาความเป็นส่วนตัวได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการไฟล์ชั่วคราว
CVE-2024-23287: Kirin (@Pwnrin)
RTKit
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: ผู้โจมตีที่มีความสามารถในการอ่านและการเขียนข้อมูลเคอร์เนลโดยพลการอาจสามารถบายพาสการป้องกันหน่วยความจำเคอร์เนลได้ Apple รับทราบถึงรายงานที่แจ้งว่ามีการตั้งใจใช้ประโยชน์จากปัญหานี้
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น
CVE-2024-23296
Sandbox
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: แอปอาจทำให้ข้อมูลที่ละเอียดอ่อนของผู้ใช้รั่วไหลได้
คำอธิบาย: ปัญหาสภาวะการแข่งขันได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น
CVE-2024-23239: Mickey Jin (@patch1t)
Sandbox
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: แอปอาจเข้าถึงข้อมูลที่ละเอียดอ่อนของผู้ใช้ได้
คำอธิบาย: ปัญหาตรรกะได้รับการแก้ไขแล้วด้วยการปรับปรุงการจำกัดให้ดียิ่งขึ้น
CVE-2024-23290: Wojciech Regula จาก SecuRing (wojciechregula.blog)
Share Sheet
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: แอปอาจเข้าถึงข้อมูลที่ละเอียดอ่อนของผู้ใช้ได้
คำอธิบาย: ปัญหาความเป็นส่วนตัวได้รับการแก้ไขแล้วด้วยการปรับปรุงข้อมูลส่วนตัวของรายการบันทึก
CVE-2024-23231: Kirin (@Pwnrin) และ luckyu (@uuulucky)
Siri
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: ผู้ที่สามารถเข้าใช้งานตัวเครื่องของอุปกรณ์อาจสามารถใช้ Siri เพื่อเข้าถึงข้อมูลปฏิทินส่วนตัวได้
คำอธิบาย: ปัญหาหน้าจอล็อคได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น
CVE-2024-23289: Lewis Hardy
Siri
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: ผู้โจมตีที่สามารถเข้าถึงตัวเครื่องอาจสามารถใช้ Siri เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนของผู้ใช้ได้
คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น
CVE-2024-23293: Bistrit Dahal
UIKit
มีให้บริการสำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: แอปอาจสามารถทะลุผ่าน Sandbox ได้
คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วโดยการนำรหัสที่มีความเสี่ยงออก
CVE-2024-23246: Deutsche Telekom Security GmbH สนับสนุนโดย Bundesamt für Sicherheit in der Informationstechnik
WebKit
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: การประมวลผลคอนเทนต์บนเว็บอาจทำให้มีการรันโค้ดโดยพลการ
คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงหน่วยความจำให้ดียิ่งขึ้น
WebKit Bugzilla: 259694
CVE-2024-23226: Pwn2car
WebKit
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: เว็บไซต์ที่ประสงค์ร้ายอาจลักลอบถอนข้อมูลเสียงข้ามต้นทาง
คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการ UI ให้ดียิ่งขึ้น
WebKit Bugzilla: 263795
CVE-2024-23254: James Lee (@Windowsrcer)
WebKit
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจป้องกันไม่ให้บังคับใช้นโยบายความปลอดภัยคอนเทนต์
คำอธิบาย: ปัญหาตรรกะได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น
WebKit Bugzilla: 264811
CVE-2024-23263: Johan Carlsson (joaxcar)
WebKit
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: หน้าเว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจสามารถสร้างเอกลักษณ์ที่ใช้ยืนยันตัวตนของผู้ใช้ได้
คำอธิบาย: ปัญหาการป้อนได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น
WebKit Bugzilla: 266703
CVE-2024-23280: นักวิจัยนิรนาม
WebKit
มีให้สำหรับ: Apple Watch Series 4 และใหม่กว่า
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจป้องกันไม่ให้บังคับใช้นโยบายความปลอดภัยคอนเทนต์
คำอธิบาย: ปัญหาตรรกะได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น
WebKit Bugzilla: 267241
CVE-2024-23284: Georg Felber และ Marco Squarcina
คำขอบคุณพิเศษ
CoreAnimation
เราขอขอบคุณสำหรับความช่วยเหลือจาก Junsung Lee
CoreMotion
เราขอขอบคุณสำหรับความช่วยเหลือจาก Eric Dorphy จาก Twin Cities App Dev LLC
Find My
Matthew White Meng Zhang (鲸落) of NorthSea
Kernel
เราขอขอบคุณสำหรับความช่วยเหลือจาก Tarek Joumaa (@tjkr0wn)
libxml2
เราขอขอบคุณสำหรับความช่วยเหลือจาก OSS-Fuzz และ Ned Williamson จาก Google Project Zero
libxpc
เราขอขอบคุณสำหรับความช่วยเหลือจาก Rasmus Sten, F-Secure (Mastodon: @pajp@blog.dll.nu) และนักวิจัยนิรนาม
Power Management
เราขอขอบคุณสำหรับความช่วยเหลือจาก Pan ZhenPeng (@Peterpan0927) จาก STAR Labs SG Pte. Ltd.
Sandbox
เราขอขอบคุณสำหรับความช่วยเหลือจาก Zhongquan Li (@Guluisacat)
Siri
เราขอขอบคุณสำหรับความช่วยเหลือจาก Bistrit Dahal
Software Update
เราขอขอบคุณสำหรับความช่วยเหลือจาก Bin Zhang of Dublin City University
WebKit
เราขอขอบคุณสำหรับความช่วยเหลือจาก Nan Wang (@eternalsakura13) จาก 360 Vulnerability Research Institute, Valentino Dalla Valle, Pedro Bernardo, Marco Squarcina และ Lorenzo Veronese จาก TU Wien