Проблеми системи безпеки, які усунено в оновленні watchOS 10.1

У цьому документі описано проблеми системи безпеки, які усунено в оновленні watchOS 10.1.

Відомості про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски див. в статті Оновлення системи безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

watchOS 10.1

Core Recents

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему було вирішено завдяки очищенню від журналів.

CVE-2023-42823

Find My

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може отримувати доступ до конфіденційних даних про геопозицію.

Опис: цю проблему вирішено завдяки вдосконаленню обробки кешу.

CVE-2023-40413: Adam M.

Find My

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з приватністю вирішено завдяки вдосконаленню обробки файлів.

CVE-2023-42834: Csaba Fitzl (@theevilbit) з Offensive Security

Game Center

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2023-42953: Michael (Biscuit) Thomas (@biscuit@social.lol)

ImageIO

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: обробка шкідливого зображення може призводити до пошкодження динамічної пам’яті.

Опис: проблему вирішено завдяки вдосконаленню перевірки меж.

CVE-2023-42848: користувач JZ

Kernel

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: зловмисник, який уже дійшов до виконання коду в ядрі, може обходити засоби захисту пам’яті ядра.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2023-42849: Linus Henze із Pinauten GmbH (pinauten.de)

libxpc

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: зловмисна програма може підвищувати рівень привілеїв до кореневого користувача.

Опис: проблему усунено завдяки поліпшенню обробки символьних посилань.

CVE-2023-42942: Mickey Jin (@patch1t)

Mail Drafts

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: функція «Сховати мою е‑адресу» може несподівано деактивуватися.

Опис: проблему з узгодженістю стану інтерфейсу користувача вирішено шляхом поліпшення керування станами.

CVE-2023-40408: Grzegorz Riegel

mDNSResponder

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: можливість пасивного відстеження пристрою за його MAC-адресою Wi-Fi.

Опис: проблему вирішено шляхом видалення вразливого коду.

CVE-2023-42846: Talal Haj Bakry й Tommy Mysk із Mysk Inc. (@mysk_co)

Sandbox

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: цю проблему вирішено шляхом вдосконалення керування станами.

CVE-2023-42839: Yiğit Can YILMAZ (@yilmazcanyigit)

Share Sheet

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з приватністю вирішено шляхом поліпшення редагування приватних даних для записів журналу.

CVE-2023-42878: Kirin (@Pwnrin), Wojciech Regula з SecuRing (wojciechregula.blog) і Cristian Dinca з Національної вищої школи комп’ютерних наук імені Тудора Віану (Румунія)

Siri

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: зловмисник із фізичним доступом може отримати доступ до конфіденційних даних користувача за допомогою Siri.

Опис: цю проблему усунено за допомогою обмеження варіантів, що пропонуються на замкненому пристрої.

CVE-2023-41982: Bistrit Dahal

CVE-2023-41997: Bistrit Dahal

CVE-2023-41988: Bistrit Dahal

Siri

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може спричинити витік конфіденційної інформації користувача.

Опис: проблему вирішено шляхом удосконалення редагування конфіденційної інформації.

CVE-2023-42946

Weather

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з приватністю вирішено шляхом поліпшення редагування приватних даних для записів журналу.

CVE-2023-41254: Cristian Dinca з Національної вищої школи комп’ютерних наук імені Тудора Віану, Румунія

WebKit

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: обробка вебконтенту може призводити до виконання довільного коду.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2023-40447: 이준성 (Junsung Lee) з Cross Republic

WebKit

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: обробка вебконтенту може призводити до виконання довільного коду.

Опис: проблему Use-After-Free усунено завдяки вдосконаленню керування пам’яттю.

CVE-2023-41976: 이준성(Junsung Lee)

WebKit

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: обробка вебконтенту може призводити до виконання довільного коду.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

CVE-2023-42852: Pedro Ribeiro (@pedrib1337) і Vitor Pedreira (@0xvhp_) з Agile Information Security

Додаткова подяка

VoiceOver

Дякуємо за допомогу користувачу Abhay Kailasia (@abhay_kailasia) з Технологічного коледжу Лакшмі Нараян у Бхопалі, Індія.

WebKit

Дякуємо за допомогу анонімному досліднику.