Acerca del contenido de seguridad de watchOS 10.6

En este documento se describe el contenido de seguridad de watchOS 10.6.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, comunicará ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Encontrarás una lista de las últimas versiones en la página Versiones de seguridad de Apple.

Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante CVE-ID.

Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.

watchOS 10.6

AppleMobileFileIntegrity

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: una app podría evitar las preferencias de privacidad.

Descripción: se ha solucionado un problema de degradación con restricciones adicionales de firma de código.

CVE-2024-40774: Mickey Jin (@patch1t)

CoreGraphics

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: el procesamiento de un archivo creado con fines malintencionados podría provocar el cierre inesperado de la app.

Descripción: se ha solucionado un problema de lectura fuera de los límites al mejorar la validación de las entradas.

CVE-2024-40799: D4m0n

dyld

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: un atacante malintencionado que tenga funciones arbitrarias de lectura y escritura podría ser capaz de omitir la autenticación de puntero.

Descripción: se ha solucionado una condición de carrera mediante una validación adicional.

CVE-2024-40815: w0wbox

Family Sharing

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: es posible que una app pueda leer información de ubicación confidencial.

Descripción: este problema se ha solucionado con una protección de datos mejorada.

CVE-2024-40795: Csaba Fitzl (@theevilbit) de Kandji

ImageIO

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: procesar una imagen podría provocar una denegación de servicio.

Descripción: se trata de una vulnerabilidad en el código fuente abierto y el Software Apple se encuentra entre los proyectos afectados. El CVE-ID fue asignado por un tercero. Más información sobre el tema y el CVE-ID en cve.org.

CVE-2023-6277

CVE-2023-52356

ImageIO

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: el procesamiento de un archivo creado con fines malintencionados podría provocar el cierre inesperado de la app.

Descripción: se ha solucionado un problema de lectura fuera de los límites al mejorar la validación de las entradas.

CVE-2024-40806: Yisumi

ImageIO

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: el procesamiento de un archivo creado con fines malintencionados podría provocar el cierre inesperado de la app.

Descripción: se ha solucionado un problema de acceso fuera de los límites al mejorar la comprobación de los límites.

CVE-2024-40777: Junsung Lee en colaboración con Trend Micro Zero Day Initiative, Amir Bazine y Karsten König de CrowdStrike Counter Adversary Operations

ImageIO

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: el procesamiento de un archivo creado con fines malintencionados podría provocar el cierre inesperado de la app.

Descripción: se ha solucionado un desbordamiento de enteros mediante la mejora de la validación de las entradas.

CVE-2024-40784: Junsung Lee en colaboración con Trend Micro Zero Day Initiative y Gandalf4a

Kernel

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: un atacante local podría determinar el diseño de memoria de kernel.

Descripción: se ha solucionado un problema de revelación de información mediante mejorando la eliminación de datos privados para las entradas de registro.

CVE-2024-27863: CertiK SkyFall Team

Kernel

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: un atacante local podría provocar un apagado inesperado del sistema.

Descripción: se ha solucionado un problema de confusión de tipo mejorando la gestión de la memoria.

CVE-2024-40788: Minghao Lin y Jiaxun Zhu de Zhejiang University

libxpc

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: una app podría evitar las preferencias de privacidad.

Descripción: se ha solucionado un problema de permisos con restricciones adicionales.

CVE-2024-40805

Phone

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: un atacante con acceso físico puede ser capaz de utilizar Siri para acceder a datos sensibles del usuario.

Descripción: se ha solucionado un problema de bloqueo de pantalla mejorando la gestión del estado.

CVE-2024-40813: Jacob Braun

Sandbox

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: una app podría evitar las preferencias de privacidad.

Descripción: para resolver este problema se ha mejorado la gestión del estado.

CVE-2024-40824: Wojciech Regula de SecuRing (wojciechregula.blog) y Zhongquan Li (@Guluisacat) de Dawn Security Lab JingDong

Shortcuts

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: un acceso directo podría utilizar información confidencial mediante ciertas acciones sin preguntar al usuario.

Descripción: se ha solucionado un problema de lógica mejorando las comprobaciones.

CVE-2024-40835: investigador anónimo

CVE-2024-40836: investigador anónimo

Shortcuts

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: un acceso directo podría ser capaz de omitir los requisitos de permisos de Internet.

Descripción: se ha solucionado un problema de lógica mejorando las comprobaciones.

CVE-2024-40809: investigador anónimo

CVE-2024-40812: investigador anónimo

Shortcuts

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: un acceso directo podría ser capaz de omitir los requisitos de permisos de Internet.

Descripción: este problema se ha solucionado añadiendo una solicitud adicional de consentimiento del usuario.

CVE-2024-40787: investigador anónimo

Shortcuts

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: una app podría acceder a datos confidenciales de los usuarios.

Descripción: el problema se ha solucionado eliminando el código vulnerable.

CVE-2024-40793: Kirin (@Pwnrin)

Siri

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: un atacante con acceso físico puede ser capaz de utilizar Siri para acceder a datos sensibles del usuario

Descripción: este problema se ha solucionado restringiendo las opciones que se ofrecen en un dispositivo bloqueado.

CVE-2024-40818: Bistrit Dahal y Srijan Poudel

Siri

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: un atacante con acceso físico a un dispositivo podría acceder a los contactos desde la pantalla bloqueada.

Descripción: este problema se ha solucionado restringiendo las opciones que se ofrecen en un dispositivo bloqueado.

CVE-2024-40822: Srijan Poudel

VoiceOver

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: un atacante podría ver contenido restringido desde la pantalla de bloqueo.

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

CVE-2024-40829: Abhay Kailasia (@abhay_kailasia) de la Universidad técnica de Lakshmi Narain en Bhopal, India

WebKit

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: el procesamiento de contenido web creado con fines malintencionados puede provocar un fallo inesperado del proceso.

Descripción: se ha solucionado un problema de uso posterior a la liberación mediante la mejora de la gestión de la memoria.

CVE-2024-40776: Huang Xilin de Ant Group Light-Year Security Lab

CVE-2024-40782: Maksymilian Motyl

WebKit

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: el procesamiento de contenido web creado con fines malintencionados puede provocar un fallo inesperado del proceso.

Descripción: se ha solucionado una lectura fuera de los límites mejorando la comprobación de límites.

CVE-2024-40779: Huang Xilin de Ant Group Light-Year Security Lab

CVE-2024-40780: Huang Xilin de Ant Group Light-Year Security Lab

WebKit

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar un ataque de ejecución de secuencias de comandos entre sitios

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2024-40785: Johan Carlsson (joaxcar)

WebKit

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: el procesamiento de contenido web creado con fines malintencionados puede provocar un fallo inesperado del proceso.

Descripción: se ha solucionado un problema de acceso fuera de los límites al mejorar la comprobación de los límites.

CVE-2024-40789: Seunghyun Lee (@0x10n) de KAIST Hacking Lab en colaboración con Trend Micro Zero Day Initiative

WebKit

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: el procesamiento de contenido web creado con fines malintencionados puede provocar un fallo inesperado del proceso.

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

CVE-2024-44185: Gary Kwong

WebKit

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: un usuario puede ser capaz de saltarse algunas restricciones de contenido web.

Descripción: se ha solucionado un problema en la gestión de protocolos URL mejorando la lógica.

CVE-2024-44206: Andreas Jaegersberger y Ro Achterberg

Otros agradecimientos

Shortcuts

Queremos dar las gracias a un investigador anónimo por su ayuda.