watchOS 5.2'nin güvenlik içeriği hakkında
Bu belgede watchOS 5.2'nin güvenlik içeriği açıklanmaktadır.
Apple güvenlik güncellemeleri hakkında
Apple, müşterilerini korumak amacıyla, tam bir inceleme gerçekleştirilene ve yamalar veya sürümler kullanıma sunulana kadar güvenlik sorunlarını açıklamaz, tartışmaz veya onaylamaz. Son sürümler Apple güvenlik güncellemeleri sayfasında listelenmektedir.
Apple güvenlik belgelerinde güvenlik açıkları mümkün olduğunca CVE Kimliği ile belirtilir.
Güvenlik hakkında daha fazla bilgi için Apple Ürün Güvenliği sayfasına bakın.
watchOS 5.2
Hesaplar
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlarla oluşturulmuş bir vcf dosyasının işlenmesi servis reddine yol açabilir
Açıklama: Doğrulama işlemi iyileştirilerek bir servis reddi sorunu giderildi.
CVE-2019-8538: Trevor Spiniolas (@TrevorSpiniolas)
CFString
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlarla oluşturulmuş bir dizenin işlenmesi servis reddine yol açabilir
Açıklama: Mantık iyileştirilerek bir doğrulama sorunu giderildi.
CVE-2019-8516: Frifee Inc. şirketinden SWIPS Team
configd
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlı bir uygulama ayrıcalıkları yükseltebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek ilklendirme sorunu giderildi.
CVE-2019-8552: Mohamed Ghannam (@_simo36)
Kişiler
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlı bir uygulama ayrıcalıkları yükseltebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bir arabellek taşması sorunu giderildi.
CVE-2019-8511: anonim bir araştırmacı
CoreCrypto
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlı bir uygulama ayrıcalıkları yükseltebilir
Açıklama: Sınır denetimi iyileştirilerek bir arabellek taşması sorunu giderildi.
CVE-2019-8542: anonim bir araştırmacı
file
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlarla oluşturulmuş bir dosyanın işlenmesi kullanıcı bilgilerini açığa çıkarabilir
Açıklama: Sınır denetimi iyileştirilerek sınırların dışında okuma sorunu giderildi.
CVE-2019-8906: Francisco Alonso
Foundation
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Bir uygulama, yükseltilmiş ayrıcalıklar elde edebilir
Açıklama: Giriş doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2019-7286: anonim bir araştırmacı, Google Threat Analysis Group'tan Clement Lecigne, Google Project Zero'dan Ian Beer ve Google Project Zero'dan Samuel Groß
GeoServices
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlı bir SMS bağlantısının tıklanması rastgele kod yürütülmesine neden olabilir
Açıklama: Doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2019-8553: anonim bir araştırmacı
iAP
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlı bir uygulama ayrıcalıkları yükseltebilir
Açıklama: Sınır denetimi iyileştirilerek bir arabellek taşması sorunu giderildi.
CVE-2019-8542: anonim bir araştırmacı
IOHIDFamily
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Yerel bir kullanıcı, sistemin beklenmedik bir şekilde sonlandırılmasına neden olabilir veya çekirdek belleği okuyabilir
Açıklama: Durum yönetimi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2019-8545: Zimperium zLabs Team'den Adam Donenfeld (@doadam)
Çekirdek
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Uzaktaki bir saldırgan ağ trafiği verilerini değiştirebilir
Açıklama: IPv6 paketlerinin işlenmesinde bir bellek bozulması sorunu vardı. Bellek yönetimi iyileştirilerek bu sorun giderildi.
CVE-2019-5608: Apple
Çekirdek
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Uzaktaki bir saldırgan, bellekteki bilgileri sızdırabilir
Açıklama: Çekirdek belleğinin açığa çıkmasına neden olan bir sınırların dışında okuma sorunu vardı. Giriş doğrulama işlemi iyileştirilerek bu sorun giderildi.
CVE-2019-8547: derrek (@derrekr6)
Çekirdek
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Durum yönetimi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2019-8525: Qihoo 360 Nirvan Team'den Zhuo Liang ve shrek_wzw
Çekirdek
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Uzaktaki bir saldırgan, sistemin beklenmedik bir şekilde sonlandırılmasına neden olabilir veya çekirdek belleği bozabilir
Açıklama: Boyut doğrulama işlemi iyileştirilerek bir arabellek taşması sorunu giderildi.
CVE-2019-8527: derrek (@derrekr6) ve Google'dan Ned Williamson
Çekirdek
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Bellek yönetimi iyileştirilerek, boşaltılan belleğin kullanılmasıyla ilgili bir sorun giderildi.
CVE-2019-8528: Fabiano Anemone (@anoane), Qihoo 360 Vulcan Team'den Zhao Qixun (@S0rryMybad)
Çekirdek
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlı bir uygulama, çekirdek belleği düzenini belirleyebilir
Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek ilklendirme sorunu giderildi.
CVE-2019-8540: Qihoo 360 Nirvan Team'den Weibo Wang (@ma1fan)
Çekirdek
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Bir uygulama, yükseltilmiş ayrıcalıklar elde edebilir
Açıklama: Durum yönetimi iyileştirilerek bir mantık sorunu giderildi.
CVE-2019-8514: Google Project Zero'dan Samuel Groß
Çekirdek
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlı bir uygulama, çekirdek belleği düzenini belirleyebilir
Açıklama: Çekirdek belleğinin açığa çıkmasına neden olan bir sınırların dışında okuma sorunu vardı. Giriş doğrulama işlemi iyileştirilerek bu sorun giderildi.
CVE-2019-6207: Qihoo 360 Nirvan Team'den Weibo Wang (@ma1fan)
CVE-2019-8510: Antid0te UG şirketinden Stefan Esser
Çekirdek
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Yerel bir kullanıcı çekirdek belleğini okuyabilir
Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2019-7293: Google'dan Ned Williamson
MediaLibrary
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlı bir uygulama, sınırlanmış dosyalara erişebilir
Açıklama: Savunmasız kod kaldırılarak ve yeni denetimler eklenerek bir izin sorunu giderildi.
CVE-2019-8532: Alibaba Inc. şirketinden Angel Ramirez, Min (Spark) Zheng ve Xiaolong Bai
Mesajlar
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Yerel bir kullanıcı hassas kullanıcı bilgilerini görüntüleyebilir
Açıklama: Ek korumalı alan sınırlamalarıyla bir erişim sorunu giderildi.
CVE-2019-8546: ChiYuan Chang
Parola
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kısmen girilen bir parola, aygıt uyku moduna girdiğinde silinmeyebilir
Açıklama: Kısmen girilen parolaların aygıt uyku moduna girdiğinde silinmemesine neden olan bir sorun vardı. Kilitli bir aygıt uyku moduna girdiğinde parola silinerek bu sorun giderildi.
CVE-2019-8548: Tobias Sachs
Güç Yönetimi
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlı bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: MIG tarafından oluşturulan kodda çeşitli giriş doğrulama sorunları vardı. Doğrulama işlemi iyileştirilerek bu sorunlar giderildi.
CVE-2019-8549: SSD Secure Disclosure'dan (ssd-disclosure.com) Mohamed Ghannam (@_simo36)
Gizlilik
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlı bir uygulama, yüklemeler arasında kullanıcıları izleyebilir
Açıklama: Hareket sensörü kalibrasyonunda bir gizlilik sorunu vardı. Hareket sensörü işlemi iyileştirilerek bu sorun giderildi.
CVE-2019-8541: Cambridge Üniversitesi'nden Stan (Jiexin) Zhang ve Alastair R. Beresford, Polymath Insight Limited şirketinden Ian Sheret
Korumalı Alan (Sandbox)
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Korumalı alandaki bir işlem, korumalı alan sınırlamalarını atlayabilir
Açıklama: Sınırlamalar iyileştirilerek bir mantık sorunu giderildi.
CVE-2019-8618: Brandon Azad
Güvenlik
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Güvenilmeyen bir radius sunucu sertifikasına güvenilebilir
Açıklama: Güven Çıpası Yönetimi'nde (Trust Anchor Management) bir doğrulama sorunu vardı. Doğrulama işlemi iyileştirilerek bu sorun giderildi.
CVE-2019-8531: anonim bir araştırmacı, SecureW2'den QA ekibi
Siri
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlı bir uygulama, kullanıcı yetkilendirmesi olmadan bir Dikte isteği başlatabilir
Açıklama: Dikte isteklerinin işlenmesiyle ilgili bir API sorunu vardı. Doğrulama işlemi iyileştirilerek bu sorun giderildi.
CVE-2019-8502: North Carolina Eyalet Üniversitesi'nden Luke Deshotels, North Carolina Eyalet Üniversitesi'nden Jordan Beichler, North Carolina Eyalet Üniversitesi'nden William Enck, Bükreş POLITEHNICA Üniversitesi'nden Costin Carabaș ve Bükreş POLITEHNICA Üniversitesi'nden Răzvan Deaconescu
TrueTypeScaler
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlarla oluşturulmuş bir fontun işlenmesi işlem belleğinin açığa çıkmasına neden olabilir
Açıklama: Sınır denetimi iyileştirilerek sınırların dışında okuma sorunu giderildi.
CVE-2019-8517: VulWar Corp'tan riusksk (Trend Micro'nun Zero Day Initiative programıyla)
WebKit
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.
CVE-2019-8536: Apple
CVE-2019-8544: anonim bir araştırmacı
WebKit
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Belleğin işlenmesi iyileştirilerek türle ilgili bir karışıklık sorunu giderildi.
CVE-2019-8506: Google Project Zero'dan Samuel Groß
WebKit
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Belleğin işlenmesi iyileştirilerek birden fazla bellek bozulması sorunu giderildi.
CVE-2019-8518: Google Project Zero'dan Samuel Groß
CVE-2019-8558: Google Project Zero'dan Samuel Groß
CVE-2019-8559: Apple
CVE-2019-8563: Apple
CVE-2019-8638: OSS-Fuzz tarafından bulundu
CVE-2019-8639: OSS-Fuzz tarafından bulundu
WebKit
İlgili ürünler: Apple Watch Series 1 ve sonraki modeller
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi işlem belleğinin açığa çıkmasına neden olabilir
Açıklama: Mantık iyileştirilerek bir doğrulama sorunu giderildi.
CVE-2019-7292: 360 ESG Codesafe Team'den Zhunki ve Zhiyi Zhang
Ek teşekkür listesi
Hesaplar
Darmstadt Teknik Üniversitesi'ndeki Secure Mobile Networking Lab'den Milan Stute'ye yardımı için teşekkür ederiz.
Çekirdek
Google Project Zero'dan Brandon Azad, Brandon Azad ve Ilan Ramon Lisesi'nden Raz Mashat'a (@RazMashat) yardımları için teşekkür ederiz.
Apple tarafından üretilmeyen ürünler veya Apple tarafından denetlenmeyen veya test edilmeyen bağımsız web siteleri hakkındaki bilgiler bir öneri veya onay niteliği taşımadan sunulmuştur. Üçüncü taraf web sitelerinin veya ürünlerinin seçilmesi, performansı veya kullanılması konusunda Apple hiçbir sorumluluk kabul etmez. Apple, üçüncü taraf web sitelerinin doğruluğu veya güvenilirliğiyle ilgili herhangi bir beyanda bulunmamaktadır. Ek bilgi için tedarikçi ile irtibat kurun.