Informace o bezpečnostním obsahu watchOS 11

Tento dokument popisuje bezpečnostní obsah watchOS 11.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

watchOS 11

Accessibility

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Útočníkovi s fyzickým přístupem k zamčenému zařízení se může podařit ovládat zařízení v okolí pomocí funkcí zpřístupnění.

Popis: Problém byl vyřešen vylepšením správy stavů.

CVE-2024-44171: Jake Derouin

Game Center

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s přístupem k souborům byl vyřešen vylepšením ověřování vstupů.

CVE-2024-40850: Denis Tokarev (@illusionofcha0s)

ImageIO

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupu.

CVE-2024-27880: Junsung Lee

ImageIO

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování obrázku může vést k odepření služby.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2024-44176: dw0r ze ZeroPointer Lab ve spolupráci s iniciativou Zero Day Initiative společnosti Trend Micro, anonymní výzkumník

IOSurfaceAccelerator

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2024-44169: Antonio Zekić

Kernel

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikace může získat neoprávněný přístup k Bluetooth.

Popis: Problém byl vyřešen vylepšením správy stavů.

CVE-2024-44191: Alexander Heinrich, SEEMOO, DistriNet, KU Leuven (@vanhoefm), TU Darmstadt (@Sn0wfreeze) a Mathy Vanhoef

libxml2

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Přetečení celých čísel bylo vyřešeno vylepšením ověřování vstupů.

CVE-2024-44198: OSS-Fuzz, Ned Williamson z týmu Google Project Zero

mDNSResponder

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit způsobit odmítnutí služby.

Popis: Chyba v logice byla vyřešena vylepšením zpracování chyb.

CVE-2024-44183: Olivier Levon

Safari

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Škodlivý webový obsah může porušit zásady sandboxování rámců iframe.

Popis: Problém ve zpracování vlastních schémat URL byl vyřešen vylepšením ověřování vstupů.

CVE-2024-44155: Narendra Bhati, manažer týmu kybernetické bezpečnosti ve společnosti Suma Soft Pvt. Ltd, Pune (Indie)

SceneKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém s přetečením zásobníku byl vyřešen vylepšením ověřování velikosti.

CVE-2024-44144: 냥냥

Siri

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s ochranou soukromí byl vyřešen přesunutím citlivých dat na bezpečnější místo.

CVE-2024-44170: K宝, LFY (@secsys), Smi1e, yulige, Cristian Dinca (icmd.tech), Rodolphe BRUNETTI (@eisw0lf)

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého webového obsahu může vést k univerzálnímu skriptování napříč weby.

Popis: Problém byl vyřešen vylepšením správy stavů.

CVE-2024-40857: Ron Masas

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Škodlivý web může získat data napříč původy.

Popis: V prvcích iframe existoval problém se získáváním dat napříč původy. Problém byl vyřešen vylepšením sledování bezpečnostních původů.

CVE-2024-44187: Narendra Bhati, manažer týmu kybernetické bezpečnosti ve společnosti Suma Soft Pvt. Ltd, Pune (Indie)

Další poděkování

Kernel

Poděkování za pomoc zaslouží Braxton Anderson, Fakhri Zulkifli (@d0lph1n98) ze společnosti PixiePoint Security.

Maps

Poděkování za pomoc zaslouží Kirin (@Pwnrin).

Shortcuts

Poděkování za pomoc zaslouží Cristian Dinca z Národní střední školy informatiky „Tudor Vianu“, Rumunsko, Jacob Braun a anonymní výzkumník

Siri

Poděkování za pomoc zaslouží Abhay Kailasia (@abhay_kailasia) z Lakshmi Narain College of Technology, Bhopal v Indii, Rohan Paudel a anonymní výzkumník.

Voice Memos

Poděkování za pomoc zaslouží Lisa B.

WebKit

Poděkování za pomoc zaslouží Avi Lumelsky a Uri Katz ze společnosti Oligo Security, Eli Grey (eligrey.com), Johan Carlsson (joaxcar).