Over de beveiligingsinhoud van watchOS 8.7

In dit document wordt de beveiligingsinhoud van watchOS 8.7 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

watchOS 8.7

APFS

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app met rootbevoegdheden kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2022-32832: Tommy Muir (@Muirey03)

AppleAVD

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een externe gebruiker kan het uitvoeren van kernelcode veroorzaken

Beschrijving: een probleem met bufferoverloop is verholpen door een verbeterde bereikcontrole.

CVE-2022-32788: Natalie Silvanovich van Google Project Zero

AppleAVD

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app kan mogelijk het kernelgeheugen vrijgeven

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2022-32824: Antonio Zekic (@antoniozekic) en John Aakerblom (@jaakerblom)

AppleMobileFileIntegrity

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app kan toegang krijgen tot rootbevoegdheden

Beschrijving: een autorisatieprobleem is verholpen door verbeterd statusbeheer.

CVE-2022-32826: Mickey Jin (@patch1t) van Trend Micro

Apple Neural Engine

Beschikbaar voor apparaten met Apple Neural Engine: Apple Watch Series 4 en nieuwer

Impact: een app kan buiten zijn sandbox komen

Beschrijving: dit probleem is verholpen door verbeterde controles.

CVE-2022-32845: Mohamed Ghannam (@_simo36)

Apple Neural Engine

Beschikbaar voor apparaten met Apple Neural Engine: Apple Watch Series 4 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: dit probleem is verholpen door verbeterde controles.

CVE-2022-32840: Mohamed Ghannam (@_simo36)

Apple Neural Engine

Beschikbaar voor apparaten met Apple Neural Engine: Apple Watch Series 4 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2022-32810: Mohamed Ghannam (@_simo36)

Audio

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2022-32820: een anonieme onderzoeker

Audio

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app kan mogelijk het kernelgeheugen vrijgeven

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2022-32825: John Aakerblom (@jaakerblom)

CoreText

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een externe gebruiker kan het onverwacht beëindigen van de app of het uitvoeren van willekeurige code veroorzaken

Beschrijving: het probleem is verholpen door verbeterde bereikcontroles.

CVE-2022-32839: STAR Labs (@starlabs_sg)

File System Events

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app kan toegang krijgen tot rootbevoegdheden

Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.

CVE-2022-32819: Joshua Mason van Mandiant

GPU Drivers

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app kan mogelijk het kernelgeheugen vrijgeven

Beschrijving: meerdere problemen met het schrijven buiten het bereik zijn verholpen door een verbeterde bereikcontrole.

CVE-2022-32793: een anonieme onderzoeker

GPU Drivers

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.

CVE-2022-32821: John Aakerblom (@jaakerblom)

ICU

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde bereikcontrole.

CVE-2022-32787: Dohyun Lee (@l33d0hyun) van SSD Secure Disclosure Labs & DNSLab, Korea Univ.

ImageIO

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot openbaarmaking van procesgeheugen

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2022-32841: hjy79425575

JavaScriptCore

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: het verwerken van webmateriaal kan leiden tot het uitvoeren van willekeurige code

Beschrijving: het probleem is verholpen door verbeterde bereikcontroles.

CVE-2022-48503: Dongzhuo Zhao in samenwerking met ADLab van Venustech en ZhaoHai van Cyberpeace Tech Co., Ltd.

Kernel

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app met rootbevoegdheden kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2022-32813: Xinru Chi van Pangu Lab

CVE-2022-32815: Xinru Chi van Pangu Lab

Kernel

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app kan mogelijk het kernelgeheugen vrijgeven

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.

CVE-2022-32817: Xinru Chi van Pangu Lab

Kernel

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app met willekeurige kernellees- en -schrijfcapaciteiten kan Pointer Authentication omzeilen

Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.

CVE-2022-32844: Sreejith Krishnan R (@skr0x1c0)

Liblouis

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app kan onverwachte beëindiging van de app of willekeurige code-uitvoering veroorzaken

Beschrijving: dit probleem is verholpen door verbeterde controles.

CVE-2022-26981: Hexhive (hexhive.epfl.ch), NCNIPC van China (nipc.org.cn)

libxml2

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app kan vertrouwelijke gebruikersinformatie vrijgeven

Beschrijving: een probleem met geheugeninitialisatie is verholpen door een verbeterde verwerking van het geheugen.

CVE-2022-32823

Multi-Touch

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een type confusion-probleem is verholpen door verbeterde controles.

CVE-2022-32814: Pan ZhenPeng (@Peterpan0927)

Multi-Touch

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een type confusion-probleem is verholpen door een verbeterde statusverwerking.

CVE-2022-32814: Pan ZhenPeng (@Peterpan0927)

Software Update

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een gebruiker in een geprivilegieerde netwerkpositie kan de activiteit van een gebruiker bijhouden

Beschrijving: dit probleem is verholpen door HTTPS te gebruiken bij het verzenden van informatie over het netwerk.

CVE-2022-32857: Jeffrey Paul (sneak.berlin)

WebKit

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2022-32863: P1umer(@p1umer), afang(@afang5472) en xmzyshypnc(@xmzyshypnc1)

WebKit

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een bezoek aan een website met kwaadaardige inhoud kan leiden tot het vervalsen van de gebruikersinterface

Beschrijving: het probleem is verholpen door een verbeterde verwerking in de gebruikersinterface.

CVE-2022-32816: Dohyun Lee (@l33d0hyun) van SSD Secure Disclosure Labs & DNSLab, Korea Univ.

WebKit

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2022-32792: Manfred Paul (@_manfp) in samenwerking met het Zero Day Initiative van Trend Micro

Wi-Fi

Beschikbaar voor: Apple Watch Series 3 en nieuwer

Impact: een externe gebruiker kan het onverwacht beëindigen van het systeem of het beschadigen van het kernelgeheugen veroorzaken

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2022-32847: Wang Yu van Cyberserval

Aanvullende erkenning

AppleMobileFileIntegrity

Met dank aan Csaba Fitzl (@theevilbit) van Offensive Security, Mickey Jin (@patch1t) van Trend Micro en Wojciech Reguła (@_r3ggi) van SecuRing voor de hulp.

configd

Met dank aan Csaba Fitzl (@theevilbit) van Offensive Security, Mickey Jin (@patch1t) van Trend Micro en Wojciech Reguła (@_r3ggi) van SecuRing voor de hulp.