Проблеми системи безпеки, які усунено в оновленні watchOS 11.3

У цьому документі описано проблеми системи безпеки, які усунено в оновленні watchOS 11.3.

Про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски наведено на сторінці Випуски безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

watchOS 11.3

CoreAudio

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: аналіз файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2025-24160: група аналізу загроз Google

CVE-2025-24161: група аналізу загроз Google

CVE-2025-24163: група аналізу загроз Google

CoreMedia

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: аналіз файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2025-24123: Desmond у співпраці з компанією Trend Micro в межах ініціативи «Zero Day Initiative»

CVE-2025-24124: Pwn2car & Rotiple (HyeongSeok Jang) у співпраці з компанією Trend Micro в межах ініціативи «Zero Day Initiative»

CoreMedia

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: шкідлива програма може підвищувати рівень привілеїв. Компанії Apple відомо про те, що ця проблема могла активно використовуватися у версіях iOS, випущених до iOS 17.2.

Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.

CVE-2025-24085

CoreMedia Playback

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2025-24184: Song Hyun Bae (@bshyuunn) і Lee Dong Ha (Who4mI)

Display

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему з пошкодженням даних у пам’яті вирішено завдяки вдосконаленню керування станами.

CVE-2025-24111: Wang Yu із CyberServal

ImageIO

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: обробка зображення може призвести до відмови в обслуговуванні.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2025-24086: DongJun Kim (@smlijun) і JongSeong Kim (@nevul37) в Enki WhiteHat, D4m0n

Kernel

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: програма може спричинити витік конфіденційної інформації про стан ядра.

Опис: проблему витоку інформації вирішено шляхом видалення вразливого коду.

CVE-2025-24144: Mateusz Krzywicki (@krzywix)

Kernel

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: зловмисна програма може підвищувати рівень привілеїв до кореневого користувача.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2025-24107: анонімний дослідник

Kernel

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: програма може виконувати довільний код із привілеями ядра.

Опис: проблему з перевіркою вирішено завдяки поліпшенню логіки.

CVE-2025-24159: pattern-f (@pattern_F_)

LaunchServices

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: програма може знімати відбитки пальців користувача.

Опис: проблему вирішено завдяки вдосконаленню маскування конфіденційної інформації.

CVE-2025-24117: Michael (Biscuit) Thomas (@biscuit@social.lol)

libxslt

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу

Опис: це вразливість у відкритому вихідному коді, яка вплинула на програмне забезпечення Apple. Ідентифікатор CVE призначила стороння організація. Докладнішу інформацію про проблему й ідентифікатор CVE-ID наведено на сайті cve.org.

CVE-2024-55549: Ivan Fratric із Google Project Zero

CVE-2025-24855: Ivan Fratric із Google Project Zero

PackageKit

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: програма може змінювати захищені частини файлової системи.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2025-31262: Mickey Jin (@patch1t)

SceneKit

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: аналіз файлу може призводити до розкриття інформації про користувача.

Опис: проблему з читанням за межами виділеної області пам’яті вирішено завдяки вдосконаленню перевірки меж.

CVE-2025-24149: Michael DePlante (@izobashi), що співпрацює з компанією Trend Micro в межах ініціативи «Zero Day Initiative»

WebKit

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: обробка шкідливого вебконтенту може призводити до пошкодження пам’яті.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2025-24189: анонімний дослідник

WebKit

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: обробка вебконтенту може призводити до відмови в обслуговуванні.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2025-24158: Q1IQ (@q1iqF) із NUS CuriOSity і P1umer (@p1umer) з Imperial Global Singapore.

WebKit

Цільові продукти: Apple Watch Series 6 і новіші моделі

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу

Опис: проблему вирішено завдяки вдосконаленню керування станами.

CVE-2025-24162: linjy із HKUS3Lab і chluo з WHUSecLab

Додаткова подяка

Audio

Дякуємо за допомогу групі аналізу загроз Google.

CoreAudio

Дякуємо за допомогу групі аналізу загроз Google.

iCloud

Дякуємо за допомогу Abhay Kailasia (@abhay_kailasia) з Технологічного коледжу Лакшмі Нараян (Бхопал, Індія), George Kovaios і Srijan Poudel.

Passwords

Дякуємо за допомогу Talal Haj Bakry і Tommy Mysk із Mysk Inc. @mysk_co.

Static Linker

Дякуємо за допомогу Holger Fuhrmannek.