Acerca del contenido de seguridad de watchOS  11.2

En este documento se describe el contenido de seguridad de watchOS 11.2.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, comunicará ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Encontrarás una lista de las últimas versiones en la página Versiones de seguridad de Apple.

Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante CVE-ID.

Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.

watchOS 11.2

APFS

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: una app podría acceder a datos confidenciales de los usuarios.

Descripción: para resolver este problema se ha mejorado la gestión del estado.

CVE-2024-54541: Arsenii Kostromin (0x3c3e) y un investigador anónimo

AppleMobileFileIntegrity

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: una app creada con fines malintencionados podría tener acceso a información privada.

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

CVE-2024-54526: Mickey Jin (@patch1t), Arsenii Kostromin (0x3c3e)

AppleMobileFileIntegrity

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: una app podría acceder a la información confidencial del usuario.

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2024-54527: Mickey Jin (@patch1t)

Crash Reporter

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: una app podría acceder a la información confidencial del usuario.

Descripción: se ha solucionado un problema de permisos con restricciones adicionales.

CVE-2024-54513: investigador anónimo

Face Gallery

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: un binario del sistema podría utilizarse para tomar la huella digital de la cuenta de Apple de un usuario.

Descripción: el problema se ha solucionado eliminando los indicadores correspondientes.

CVE-2024-54512: Bistrit Dahal

FontParser

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: procesar un sitio web creado con fines malintencionados podría provocar la revelación de la memoria de procesos.

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

CVE-2024-54486: Hossein Lotfi (@hosselot) de Trend Micro Zero Day Initiative

ICU

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: el procesamiento de contenido web creado con fines malintencionados puede provocar un fallo inesperado del proceso.

Descripción: se ha solucionado un problema de acceso fuera de los límites al mejorar la comprobación de los límites.

CVE-2024-54478: Gary Kwong

ImageIO

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: procesar una imagen creada con fines malintencionados podría provocar la ejecución de código arbitrario.

Descripción: se ha solucionado un problema de uso posterior a la liberación mediante la mejora de la gestión de la memoria.

CVE-2024-54499: anónimo en colaboración con Trend Micro Zero Day Initiative

ImageIO

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: procesar una imagen creada con fines malintencionados podría provocar la revelación de la memoria de procesos.

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

CVE-2024-54500: Junsung Lee trabajando con Trend Micro Zero Day Initiative

IOMobileFrameBuffer

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: una app podría dañar la memoria del coprocesador

Descripción: el problema se ha solucionado mediante la mejora de la comprobación de límites.

CVE-2024-54517: Ye Zhang (@VAR10CK) de Baidu Security

CVE-2024-54518: Ye Zhang (@VAR10CK) de Baidu Security

CVE-2024-54522: Ye Zhang (@VAR10CK) de Baidu Security

CVE-2024-54523: Ye Zhang (@VAR10CK) de Baidu Security

Kernel

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: una app podría salir de su zona protegida.

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

CVE-2024-54468: investigador anónimo

Kernel

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: un atacante puede ser capaz de crear una asignación de memoria de solo lectura en la que se pueda escribir.

Descripción: se ha solucionado una condición de carrera mediante una validación adicional.

CVE-2024-54494: sohybbyk

Kernel

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: una app podría filtrar información confidencial sobre el estado del kernel.

Descripción: se ha solucionado una condición de carrera con una mejora del bloqueo.

CVE-2024-54510: Joseph Ravichandran (@0xjprx) de MIT CSAIL

libexpat

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: un atacante remoto podría hacer que una app se cierre de forma inesperada o se ejecute código arbitrario.

Descripción: se trata de una vulnerabilidad en el código fuente abierto y el Software Apple se encuentra entre los proyectos afectados. El CVE-ID fue asignado por un tercero. Más información sobre el tema y el CVE-ID en cve.org.

CVE-2024-45490

libxpc

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: una app podría salir de su zona protegida.

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

CVE-2024-54514: investigador anónimo

libxpc

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: una app podría obtener privilegios de alto nivel.

Descripción: se ha solucionado un problema de lógica mejorando las comprobaciones.

CVE-2024-44225: 风沐云烟(@binary_fmyy)

Passkeys

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: el autocompletado de contraseñas puede rellenar las contraseñas después de un error de autenticación.

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

CVE-2024-54530: Abhay Kailasia (@abhay_kailasia) de C-DAC Thiruvananthapuram India, Rakeshkumar Talaviya

QuartzCore

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: procesar contenido web podría provocar una denegación de servicio.

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

CVE-2024-54497: anónimo en colaboración con Trend Micro Zero Day Initiative

Safari Private Browsing

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: se puede acceder a las pestañas de navegación privada sin autenticación

Descripción: se ha solucionado el problema de autenticación mejorando la gestión del estado.

CVE-2024-54542: Rei (@reizydev), Kenneth Chew

SceneKit

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: el procesamiento de un archivo . creado con fines malintencionados podría originar la denegación del servicio

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

CVE-2024-54501: Michael DePlante (@izobashi) de Trend Micro Zero Day Initiative

Vim

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: procesar un archivo creado con fines malintencionados puede provocar daños en la memoria heap.

Descripción: se trata de una vulnerabilidad en el código fuente abierto y el Software Apple se encuentra entre los proyectos afectados. El CVE-ID fue asignado por un tercero. Obtén más información sobre el problema y el CVE-ID en cve.org.

CVE-2024-45306

WebKit

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: el procesamiento de contenido web creado con fines malintencionados puede provocar un fallo inesperado del proceso.

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

CVE-2024-54479: Seunghyun Lee

CVE-2024-54502: Brendon Tiszka de Google Project Zero

WebKit

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: el procesamiento de contenido web creado con fines malintencionados puede provocar un fallo inesperado del proceso.

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.

CVE-2024-54508: linjy of HKUS3Lab y chluo de WHUSecLab, Xiangwei Zhang de Tencent Security YUNDING LAB

WebKit

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la corrupción de la memoria.

Descripción: se ha solucionado un problema de confusión de tipo mejorando la gestión de la memoria.

CVE-2024-54505: Gary Kwong

WebKit

Disponible para: Apple Watch Series 6 y modelos posteriores

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la corrupción de la memoria.

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.

CVE-2024-54534: Tashita Software Security

CVE-2024-54543: Lukas Bernhard, Gary Kwong y un investigador anónimo

Otros agradecimientos

FaceTime

Queremos dar las gracias por su ayuda a 椰椰.

Proximity

Queremos dar las gracias a Junming C. (@Chapoly1305) y al Profesor Qiang Zeng de la George Mason University por su ayuda.

Swift

Queremos dar las gracias a Marc Schoenefeld, Dr. rer. NAT .

WebKit

Queremos dar las gracias por su ayuda a Hafiizh.