Відомості про оновлення системи безпеки Apple
Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски див. на сторінці Оновлення системи безпеки Apple.
У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.
Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.
watchOS 9.5
Дата випуску: 18 травня 2023 р.
Accessibility
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може обходити параметри приватності.
Опис: проблему з приватністю вирішено шляхом поліпшення редагування приватних даних для записів журналу.
CVE-2023-32388: користувач Kirin (@Pwnrin)
Accessibility
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: надані цій програмі дозволи та права на приватний доступ можуть бути використані шкідливою програмою.
Опис: цю проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-32400: Mickey Jin (@patch1t)
Accounts
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: зловмисник може спричиняти витік електронних листів облікових записів користувачів.
Опис: проблему з доступом вирішено завдяки вдосконаленню редагування конфіденційної інформації.
CVE-2023-34352: Сергій Кривоблоцький (Sergii Kryvoblotskyi) з MacPaw Inc.
Запис додано 5 вересня 2023 р.
Apple Neural Engine
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може отримувати вищий рівень привілеїв.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2023-32425: Мохамед Ганнам (Mohamed GHANNAM, @_simo36)
Запис додано 5 вересня 2023 р.
Core Location
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може отримувати доступ до конфіденційних даних про геопозицію.
Опис: цю проблему вирішено завдяки вдосконаленню обробки кешу.
CVE-2023-32399: користувач Adam M.
Запис оновлено 5 вересня 2023 р.
CoreServices
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може обходити параметри приватності.
Опис: проблему вирішено шляхом удосконалення редагування конфіденційної інформації.
CVE-2023-28191: Mickey Jin (@patch1t)
Face Gallery
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: зловмисник, який має фізичний доступ до заблокованого годинника Apple Watch, може переглядати фотографії чи контакти користувача за допомогою функції спеціальних можливостей.
Опис: цю проблему усунено за допомогою обмеження варіантів, пропонованих на замкненому пристрої.
CVE-2023-32417: Зітонг Ву (Zitong Wu (吴梓桐)) із Чжухайської середньої школи № 1 (珠海市第一中学)
GeoServices
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може отримувати доступ до конфіденційних даних про геопозицію.
Опис: проблему з приватністю вирішено шляхом поліпшення редагування приватних даних для записів журналу.
CVE-2023-32392: користувач Adam M.
Запис оновлено 5 вересня 2023 р.
ImageIO
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: обробка зображення може призводити до розкриття пам’яті процесів.
Опис: проблему з читанням за межами виділеної області пам’яті усунено завдяки вдосконаленню перевірки вводу.
CVE-2023-32372: Мейсам Фірузі (Meysam Firouzi, @R00tkitSMM) із MBition (Mercedes-Benz Innovation Lab), що співпрацює з компанією Trend Micro в межах ініціативи Zero Day Initiative
Запис оновлено 5 вересня 2023 р.
ImageIO
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: обробка зображення може призводити до виконання довільного коду.
Опис: проблему переповнення буфера вирішено завдяки вдосконаленню перевірки меж.
CVE-2023-32384: Meysam Firouzi (@R00tkitsmm), що співпрацює із Zero Day Initiative компанії Trend Micro
IOSurfaceAccelerator
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може розкривати дані з пам’яті ядра.
Опис: проблему з читанням за межами виділеної області пам’яті усунено завдяки вдосконаленню перевірки вводу.
CVE-2023-32354: Linus Henze з Pinauten GmbH (pinauten.de)
IOSurfaceAccelerator
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може спричиняти несподіване завершення роботи системи або зчитувати пам’ять ядра.
Опис: проблему з читанням за межами виділеної області пам’яті усунено завдяки вдосконаленню перевірки вводу.
CVE-2023-32420: команда CertiK SkyFall і Лінус Генце (Linus Henze) з Pinauten GmbH (pinauten.de)
Запис оновлено 5 вересня 2023 р.
Kernel
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може виконувати довільний код із привілеями ядра.
Опис: проблему з переплутуванням типів вирішено завдяки вдосконаленню перевірок.
CVE-2023-27930: 08Tc3wBB з Jamf
Kernel
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може виконувати довільний код із привілеями ядра.
Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.
CVE-2023-32398: Adam Doupé з ASU SEFCOM
Kernel
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може отримувати права кореневого користувача.
Опис: проблему з виникненням умови змагання вирішено завдяки вдосконаленню керування станами.
CVE-2023-32413: Eloi Benoist-Vanderbeken (@elvanderb) із Synacktiv (@Synacktiv), що співпрацює із Zero Day Initiative компанії Trend Micro
LaunchServices
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може обходити перевірки Gatekeeper.
Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.
CVE-2023-32352: Wojciech Reguła (@_r3ggi) із SecuRing (wojciechregula.blog)
MallocStackLogging
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може отримувати права кореневого користувача.
Опис: цю проблему вирішено завдяки вдосконаленню обробки файлів.
CVE-2023-32428: Гергелі Кальман (Gergely Kalman, @gergely_kalman)
Запис додано 5 вересня 2023 р.
Metal
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може обходити параметри приватності.
Опис: проблему з логікою вирішено завдяки вдосконаленню керування станами.
CVE-2023-32407: Гергелі Кальман (Gergely Kalman, @gergely_kalman)
Model I/O
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: обробка тривимірної моделі може призводити до розкриття пам’яті процесів.
Опис: проблему з читанням за межами виділеної області пам’яті усунено завдяки вдосконаленню перевірки вводу.
CVE-2023-32368: Mickey Jin (@patch1t)
NetworkExtension
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може отримувати доступ до конфіденційних даних про геопозицію.
Опис: цю проблему вирішено за допомогою покращеного редагування конфіденційної інформації.
CVE-2023-32403: користувач Adam M.
Запис оновлено 5 вересня 2023 р.
NSURLSession
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може виходити за межі ізольованого середовища.
Опис: проблему вирішено завдяки вдосконаленням у протоколі обробки файлів.
CVE-2023-32437: Тійс Алкемаде (Thijs Alkemade) із Computest Sector 7
Запис додано 5 вересня 2023 р.
Photos
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: фотографії з альбому «Приховані» можна переглядати без автентифікації через Візуальний пошук.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-32390: Julian Szulc
Sandbox
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: у програми може лишатися доступ до файлів конфігурації системи навіть після відкликання дозволу.
Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.
CVE-2023-32357: Yiğit Can YILMAZ (@yilmazcanyigit), Koh M. Nakagawa з FFRI Security, Inc., Kirin (@Pwnrin), Jeff Johnson (underpassapp.com) і Csaba Fitzl (@theevilbit) з Offensive Security
Share Sheet
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може отримувати доступ до конфіденційних даних користувача.
Опис: проблему з приватністю вирішено завдяки вдосконаленню обробки тимчасових файлів.
CVE-2023-32432: користувач Kirin (@Pwnrin)
Запис додано 5 вересня 2023 р.
Shortcuts
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: швидка команда може мати змогу використовувати конфіденційні дані з певними діями, не питаючи дозвіл у користувача.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-32391: Wenchao Li та Xiaolong Bai з Alibaba Group
Shortcuts
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може обходити параметри приватності.
Опис: проблему вирішено завдяки вдосконаленню дозволів.
CVE-2023-32404: Mickey Jin (@patch1t), Zhipeng Huo (@R3dF09) з Tencent Security Xuanwu Lab (xlab.tencent.com) і анонімний дослідник
Siri
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: користувач із фізичним доступом до пристрою може переглядати контактну інформацію із замкненого екрана.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-32394: Khiem Tran
SQLite
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може обходити параметри приватності.
Опис: проблему вирішено завдяки додаванню додаткових обмежень на ведення журналу SQLite.
CVE-2023-32422: Гергелі Кальман (Gergely Kalman @gergely_kalman) і Войцех Регула (Wojciech Reguła) із SecuRing (wojciechregula.blog)
Запис додано 5 вересня 2023 р.
StorageKit
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може змінювати захищені частини файлової системи.
Опис: проблему вирішено завдяки вдосконаленню дозволів.
CVE-2023-32376: Yiğit Can YILMAZ (@yilmazcanyigit)
System Settings
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: налаштування брандмауера програми може не набути чинності після виходу з програми «Параметри».
Опис: цю проблему вирішено шляхом вдосконалення керування станами.
CVE-2023-28202: Satish Panduranga й анонімний дослідник
Telephony
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: зловмисник може віддалено спричинити несподіване завершення роботи програми чи виконання довільного коду.
Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.
CVE-2023-32412: Ivan Fratric із Google Project Zero
TV App
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може отримувати доступ до конфіденційних даних про геопозицію.
Опис: цю проблему вирішено завдяки вдосконаленню обробки кешу.
CVE-2023-32408: Адам М. (Adam M.)
WebKit
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: обробка веб-контенту може призвести до розкриття конфіденційної інформації.
Опис: проблему з читанням за межами виділеної області пам’яті усунено завдяки вдосконаленню перевірки вводу.
WebKit Bugzilla: 255075
CVE-2023-32402: анонімний дослідник
WebKit
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: обробка веб-контенту може призвести до розкриття конфіденційної інформації.
Опис: проблему переповнення буфера вирішено завдяки поліпшенню обробки звернень до пам’яті.
WebKit Bugzilla: 254781
CVE-2023-32423: Ignacio Sanmillan (@ulexec)
WebKit
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: зловмисник може віддалено отримати можливість вийти з «пісочниці» для веб-контенту. Компанії Apple відомо, що цією проблемою могли активно користуватися.
Опис: проблему вирішено завдяки вдосконаленню перевірки меж.
WebKit Bugzilla: 255350
CVE-2023-32409: Clément Lecigne із групи аналізу загроз Google і Donncha Ó Cearbhaill із лабораторії безпеки Amnesty International
WebKit
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: обробка веб-контенту може призвести до розкриття конфіденційної інформації. Компанії Apple відомо, що цією проблемою могли активно користуватися.
Опис: проблему з читанням за межами виділеної області пам’яті усунено завдяки вдосконаленню перевірки вводу.
WebKit Bugzilla: 254930
CVE-2023-28204: анонімний дослідник
WebKit
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: обробка шкідливого вебконтенту може призводити до виконання довільного коду. Компанії Apple відомо, що цією проблемою могли активно користуватися.
Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.
WebKit Bugzilla: 254840
CVE-2023-32373: анонімний дослідник
Wi-Fi
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може розкривати дані з пам’яті ядра.
Опис: цю проблему вирішено за допомогою покращеного редагування конфіденційної інформації.
CVE-2023-32389: Pan ZhenPeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd.
Додаткова подяка
Accounts
Дякуємо за допомогу Sergii Kryvoblotskyi із MacPaw Inc.
CloudKit
Дякуємо за допомогу Iconic.
libxml2
Дякуємо за допомогу сервісу OSS-Fuzz і Ned Williamson із Google Project Zero.
Reminders
Дякуємо за допомогу Kirin (@Pwnrin).
Security
Дякуємо за допомогу Brandon Toms.
Share Sheet
Дякуємо за допомогу Kirin (@Pwnrin).
Wallet
Дякуємо за допомогу Джеймсу Даффі (James Duffy, mangoSecure).