Watch OS 1.0.1'in güvenlik içeriği hakkında

Bu belgede Watch OS 1.0.1'in güvenlik içeriği açıklanmaktadır.

Apple, müşterilerini korumak amacıyla, tam denetim gerçekleştirilene ve gerekli yamalar veya sürümler kullanıma sunulana kadar güvenlik sorunlarını açıklamaz, tartışmaz veya onaylamaz. Apple Ürün Güvenliği hakkında daha fazla bilgi için Apple Ürün Güvenliği web sitesine bakın.

Apple Ürün Güvenliği PGP Anahtarı hakkında bilgi için Apple Ürün Güvenliği PGP Anahtarını kullanma başlıklı makaleye bakın.

Mümkün olduğunda, daha fazla bilgi sağlamak amacıyla güvenlik açıklarından söz edilirken CVE Kimlikleri kullanılır.

Diğer Güvenlik Güncellemeleri hakkında daha fazla bilgi için Apple Güvenlik Güncellemeleri başlıklı makaleye bakın.

Watch OS 1.0.1

• Sertifika Güven Politikası

  İlgili ürünler: Apple Watch Sport, Apple Watch ve Apple Watch Edition

  Etki: Sertifika güven politikası güncellendi

  Açıklama: Sertifika güven politikası güncellendi. Sertifikaların tam listesi https://support.apple.com/kb/HT204873?viewlocale=tr_TR adresinde görüntülenebilir

• FontParser

  İlgili ürünler: Apple Watch Sport, Apple Watch ve Apple Watch Edition

  Etki: Kötü amaçla oluşturulmuş bir font dosyasını işleme, rastgele kod yürütmeye neden olabilir

  Açıklama: Font dosyalarının işlenmesinde bir bellek bozulması sorunu vardı. Bu sorun sınırların denetimi iyileştirilerek giderildi.

  CVE kimliği

  CVE-2015-1093: Marc Schoenefeld

• Altyapı

  İlgili ürünler: Apple Watch Sport, Apple Watch ve Apple Watch Edition

  Etki: NSXML Parser kullanan bir uygulama, bilgilerin açıklanması için suistimal edilmiş olabilir

  Açıklama: NSXML Parser'ın XML'i işlemesinde bir XML Harici Varlık sorunu vardı. Bu sorun, harici varlıklar başlangıç nesnelerinde yüklenmeyerek çözümlendi.

  CVE kimliği

  CVE-2015-1092: Ikuya Fukumoto

• IOHIDFamily

  İlgili ürünler: Apple Watch Sport, Apple Watch ve Apple Watch Edition

  Etki: Kötü amaçlı bir uygulama çekirdek belleği düzenini belirleyebilir

  Açıklama: IOHIDFamily'de çekirdek belleği içeriğinin açığa çıkmasına neden olan bir sorun vardı. Bu sorun sınırların denetimi iyileştirilerek giderildi.

  CVE kimliği

  CVE-2015-1096: IOActive'den Ilja van Sprundel

• IOAcceleratorFamily

  İlgili ürünler: Apple Watch Sport, Apple Watch ve Apple Watch Edition

  Etki: Kötü amaçlı bir uygulama çekirdek belleği düzenini belirleyebilir

  Açıklama: IOAcceleratorFamily'de çekirdek belleği içeriğinin açığa çıkmasına neden olan bir sorun vardı. Bu sorun, gereksiz kod kaldırılarak giderildi.

  CVE kimliği

  CVE-2015-1094: Alibaba Mobile Security Team'den Cererdlong

• Çekirdek

  İlgili ürünler: Apple Watch Sport, Apple Watch ve Apple Watch Edition

  Etki: Kötü amaçlı olarak oluşturulmuş bir uygulama sistem servis reddine neden olabilir

  Açıklama: Çekirdeğin setruid sistem çağrısında yarış koşulu sorunu vardı. Bu sorun, durum yönetiminin geliştirilmesiyle giderildi.

  CVE kimliği

  CVE-2015-1099: Google Inc.'den Mark Mentovai

• Çekirdek

  İlgili ürünler: Apple Watch Sport, Apple Watch ve Apple Watch Edition

  Etki: Ayrıcalıklı ağ konumuna sahip bir saldırgan kullanıcı trafiğini rastgele sunuculara yönlendirebilir

  Açıklama: ICMP yeniden yönlendirmeleri saptanmış olarak etkindi. Bu sorun, ICMP yeniden yönlendirmeleri devre dışı bırakılarak giderildi.

  CVE kimliği

  CVE-2015-1103: Zimperium Mobile Security Labs

• Çekirdek

  İlgili ürünler: Apple Watch Sport, Apple Watch ve Apple Watch Edition

  Etki: Uzaktaki bir saldırgan servis reddine neden olabilir

  Açıklama: Bant verisi dışındaki TCP'nin işlenmesinde bir durum tutarsızlığı sorunu vardı. Bu sorun, durum yönetiminin geliştirilmesiyle giderildi.

  CVE kimliği

  CVE-2015-1105: Sandstorm.io'dan Kenton Varda

• Çekirdek

  İlgili ürünler: Apple Watch Sport, Apple Watch ve Apple Watch Edition

  Etki: Kötü amaçlı bir uygulama, azaltılmış ayrıcalıklarla çalışmayı amaçlayan riskli bir servisi kullanan ayrıcalıkları yönlendirebilir

  Açıklama: setreuid ve setregid sistem çağrıları, ayrıcalıkları kalıcı olarak bırakamıyordu. Bu sorun ayrıcalıklar doğru bir şekilde bırakılarak giderildi.

  CVE kimliği

  CVE-2015-1117: Google Inc.'den Mark Mentovai

• Çekirdek

  İlgili ürünler: Apple Watch Sport, Apple Watch ve Apple Watch Edition

  Etki: Bir uzak saldırgan ağ filtrelerini geçebilir

  Açıklama: Sistem, uzak ağ arabirimlerindeki bazı IPv6 paketlerine yerel paketler gibi davranabilir. Sorun, bu paketler reddedilerek giderildi.

  CVE kimliği

  CVE-2015-1104: Google Güvenlik Ekibi'nden Stephen Roettger

• Çekirdek

  İlgili ürünler: Apple Watch Sport, Apple Watch ve Apple Watch Edition

  Etki: Ayrıcalıklı bir ağ konumuna sahip bir saldırgan sistem reddine neden olabilir

  Açıklama: TCP başlıklarının işlenmesinde durum tutarsızlığı vardı. Bu sorun durum işlemesi iyileştirilerek giderildi.

  CVE kimliği

  CVE-2015-1102: Kaspersky Lab'den Andrey Khudyakov ve Maxim Zhuravlev

• Çekirdek

  İlgili ürünler: Apple Watch Sport, Apple Watch ve Apple Watch Edition

  Etki: Kötü amaçlı bir uygulama, sistemin beklenmedik şekilde sonlandırmasına neden olabilir veya çekirdek belleği okuyabilir

  Açıklama: Çekirdekte sınırların dışında bellek erişimi sorunu vardı. Bu sorun belleğin işlenmesi iyileştirilerek giderildi.

  CVE kimliği

  CVE-2015-1100: m00nbsd'den Maxime Villard

• Çekirdek

  İlgili ürünler: Apple Watch Sport, Apple Watch ve Apple Watch Edition

  Etki: Kötü amaçlı bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir

  Açıklama: Çekirdekte bir bellek bozulması sorunu vardı. Bu sorun belleğin işlenmesi iyileştirilerek giderildi.

  CVE kimliği

  CVE-2015-1101: HP's Zero Day Initiative ile çalışan lokihardt@ASRT

• Güvenli Aktarım

  İlgili ürünler: Apple Watch Sport, Apple Watch ve Apple Watch Edition

  Etki: Ayrıcalıklı ağ konumuna sahip bir saldırgan, SSL/TLS bağlantılarına erişim sağlayabilir

  Açıklama: Güvenli Aktarım, genellikle yalnızca tam güçlü RSA şifre paketleri kullanan bağlantılarda dışarı aktarım gücündeki RSA şifre paketlerinde kullanılan kısa ömürlü RSA anahtarlarını kabul ediyordu. FREAK olarak da bilinen bu sorun, yalnızca dışarı aktarma gücündeki RSA şifre paketlerini destekleyen sunuculara bağlantıları içeriyordu ve kısa ömürlü RSA anahtarları için destek kaldırılarak giderildi.

  CVE kimliği

  CVE-2015-1067: Prosecco, Inria Paris'ten Benjamin Beurdouche, Karthikeyan Bhargavan, Antoine Delignat-Lavaud, Alfredo Pironti ve Jean Karim Zinzindohoue