Відомості про оновлення системи безпеки Apple
Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски див. в статті Оновлення системи безпеки Apple.
У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.
Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.
watchOS 10.5
Випущено 13 травня 2024 р.
AppleAVD
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може спричинити несподіване завершення роботи системи.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2024-27804: Meysam Firouzi (@R00tkitSMM)
Запис оновлено 15 травня 2024 р.
AppleMobileFileIntegrity
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: зловмисник може отримувати доступ до даних користувача.
Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.
CVE-2024-27816: Mickey Jin (@patch1t)
Core Data
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може отримувати доступ до конфіденційних даних користувача.
Опис: проблему вирішено завдяки вдосконаленню перевірки змінних середовища.
CVE-2024-27805: Kirin (@Pwnrin) і 小来来 (@Smi1eSEC)
Запис додано 10 червня 2024 р.
Disk Images
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може підвищувати рівень привілеїв.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2024-27832: анонімний дослідник
Запис додано 10 червня 2024 р.
Foundation
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може підвищувати рівень привілеїв.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2024-27801: команда CertiK SkyFall
Запис додано 10 червня 2024 р.
IOSurface
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може виконувати довільний код із привілеями ядра.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2024-27828: Pan ZhenPeng (@Peterpan0927) із STAR Labs SG Pte. Ltd.
Запис додано 10 червня 2024 р.
Kernel
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: зловмисник, який уже дійшов до виконання коду в ядрі, може обходити засоби захисту пам’яті ядра.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2024-27840: анонімний дослідник
Запис додано 10 червня 2024 р.
Kernel
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може виконувати довільний код із привілеями ядра.
Опис: проблему записування за межами виділеної пам’яті вирішено завдяки вдосконаленню перевірки вводу.
CVE-2024-27815: анонімний дослідник і Joseph Ravichandran (@0xjprx) з MIT CSAIL
Запис додано 10 червня 2024 р.
libiconv
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може підвищувати рівень привілеїв.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2024-27811: Nick Wellnhofer
Запис додано 10 червня 2024 р.
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: зловмисник із фізичним доступом може спричинити витік облікових даних Пошти.
Опис: проблему з автентифікацією усунено завдяки поліпшенню керування станами.
CVE-2024-23251: Gil Pedersen
Запис додано 10 червня 2024 р.
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: шкідливий електронний лист може ініціювати виклики FaceTime без дозволу користувача.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2024-23282: Dohyun Lee (@l33d0hyun)
Запис додано 10 червня 2024 р.
Maps
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може отримувати доступ до конфіденційних даних про геопозицію.
Опис: проблему з обробкою шляху вирішено завдяки поліпшенню перевірки.
CVE-2024-27810: LFY@secsys з Університету Фудань
Messages
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: обробка шкідливого повідомлення може призводити до відмови в обслуговуванні.
Опис: проблему вирішено шляхом видалення вразливого коду.
CVE-2024-27800: Daniel Zajork і Joshua Zajork
Запис додано 10 червня 2024 р.
Phone
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: користувач із фізичним доступом до пристрою може переглядати контактну інформацію із замкненого екрана.
Опис: цю проблему вирішено шляхом вдосконалення керування станами.
CVE-2024-27814: Dalibor Milanovic
Запис додано 10 червня 2024 р.
RemoteViewServices
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: зловмисник може отримувати доступ до даних користувача.
Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.
CVE-2024-27816: Mickey Jin (@patch1t)
Shortcuts
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: швидка команда могла видавати конфіденційні дані користувача без його згоди.
Опис: проблему з обробкою шляху вирішено завдяки поліпшенню перевірки.
CVE-2024-27821: Kirin (@Pwnrin), zbleet і Csaba Fitzl (@theevilbit) із Kandji
Spotlight
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: програма може отримувати доступ до конфіденційних даних користувача.
Опис: цю проблему вирішено завдяки поліпшенню очищення середовища.
CVE-2024-27806
Запис додано 10 червня 2024 р.
WebKit
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: зловмисник із довільними можливостями зчитування й запису може обійти автентифікацію вказівника
Опис: проблему вирішено завдяки вдосконаленню перевірок.
WebKit Bugzilla: 272750
CVE-2024-27834: Manfred Paul (@_manfp), що співпрацює з компанією Trend Micro в межах ініціативи Zero Day Initiative
WebKit
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: шкідлива вебсторінка може ідентифікувати користувача.
Опис: проблему вирішено завдяки додаванню додаткової логіки.
WebKit Bugzilla: 262337
CVE-2024-27838: Emilio Cobos із Mozilla
Запис додано 10 червня 2024 р.
WebKit
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: обробка вебконтенту може призводити до виконання довільного коду.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
WebKit Bugzilla: 268221
CVE-2024-27808: Lukas Bernhard із CISPA Helmholtz Center for Information Security
Запис додано 10 червня 2024 р.
WebKit
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: обробка шкідливого вебвмісту може призводити до виконання довільного коду.
Опис: проблему вирішено завдяки вдосконаленню перевірки меж.
WebKit Bugzilla: 272106
CVE-2024-27851: Nan Wang (@eternalsakura13) з 360 Vulnerability Research Institute
Запис додано 10 червня 2024 р.
WebKit
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: зловмисник із довільними можливостями зчитування й запису може обійти автентифікацію вказівника.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
WebKit Bugzilla: 272750
CVE-2024-27834: Manfred Paul (@_manfp), що співпрацює з компанією Trend Micro в межах ініціативи Zero Day Initiative
Запис додано 10 червня 2024 р.
WebKit Canvas
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: шкідлива вебсторінка може ідентифікувати користувача.
Опис: цю проблему вирішено шляхом вдосконалення керування станами.
WebKit Bugzilla: 271159
CVE-2024-27830: Joe Rutkowski (@Joe12387) з Crawless і користувач @abrahamjuliot
Запис додано 10 червня 2024 р.
WebKit Web Inspector
Цільові продукти: Apple Watch Series 4 та новіші моделі
Вплив: обробка вебконтенту може призводити до виконання довільного коду.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
WebKit Bugzilla: 270139
CVE-2024-27820: Jeff Johnson з underpassapp.com
Запис додано 10 червня 2024 р.
Додаткова подяка
App Store
Дякуємо за допомогу анонімному досліднику.
AppleMobileFileIntegrity
Дякуємо за допомогу користувачу Mickey Jin (@patch1t).
Запис додано 10 червня 2024 р.
CoreHAP
Дякуємо за допомогу Adrian Cable.
Disk Images
Дякуємо за допомогу користувачу Mickey Jin (@patch1t).
Запис додано 10 червня 2024 р.
HearingCore
Дякуємо за допомогу анонімному досліднику.
ImageIO
Дякуємо за допомогу анонімному досліднику.
Запис додано 10 червня 2024 р.
Managed Configuration
Дякуємо за допомогу 遥遥领先 (@晴天组织).
Siri
Дякуємо за допомогу користувачу Abhay Kailasia (@abhay_kailasia) з Технологічного коледжу Лакшмі Нараян у Бхопалі, Індія.
Запис додано 10 червня 2024 р.
Transparency
Дякуємо за допомогу користувачу Mickey Jin (@patch1t).
Запис додано 10 червня 2024 р.