Obsah zabezpečenia v systéme watchOS 11.1

V tomto dokumente sa popisuje obsah zabezpečenia v systéme watchOS 11.1.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Aktuálne vydania sú uvedené na stránke Vydania zabezpečenia Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Ďalšie informácie o zabezpečení si prečítajte na stránke Zabezpečenie produktov Apple.

watchOS 11.1

Accessibility

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Útočiaca osoba s fyzickým prístupom k zamknutému zariadeniu môže byť schopná zobraziť si citlivé informácie používateľa

Popis: Tento problém bol vyriešený vylepšením overovania.

CVE-2024-44274: Rizki Maulana (rmrizki.my.id), Matthew Butler, Jake Derouin

App Support

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Apka so škodlivým kódom môže byť schopná spúšťať ľubovoľné skratky bez súhlasu používateľa

Popis: Dochádzalo k problému so spracovaním ciest, ktorý bol vyriešený vylepšením logiky.

CVE-2024-44255: anonymný výskumník

AppleAVD

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Analýza súboru videa so škodlivým kódom môže viesť k neočakávanému ukončeniu systému

Popis: Tento problém bol vyriešený vylepšením kontrol obmedzení.

CVE-2024-44232: Ivan Fratric (Google Project Zero)

CVE-2024-44233: Ivan Fratric (Google Project Zero)

CVE-2024-44234: Ivan Fratric (Google Project Zero)

CoreMedia Playback

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Apka so škodlivým kódom môže byť schopná získať prístup k súkromným informáciám

Popis: Tento problém bol vyriešený vylepšením spracovania symbolických odkazov.

CVE-2024-44273: pattern-f (@pattern_F_), Hikerell z tímu Loadshine Lab

CoreText

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Spracovanie písma so škodlivým kódom môže mať za následok odhalenie operačnej pamäte

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2024-44240: Hossein Lotfi (@hosselot) z tímu projektu Zero Day Initiative spoločnosti Trend Micro

CVE-2024-44302: Hossein Lotfi (@hosselot) z tímu projektu Zero Day Initiative spoločnosti Trend Micro

Foundation

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Analýza súboru môže viesť k sprístupneniu informácií používateľa

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2024-44282: Hossein Lotfi (@hosselot) z tímu projektu Zero Day Initiative spoločnosti Trend Micro

ImageIO

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Spracovanie obrázka môže mať za následok odhalenie operačnej pamäte

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2024-44215: Junsung Lee v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

ImageIO

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Spracovanie správy so škodlivým kódom môže viesť k odmietnutiu služby.

Popis: Tento problém bol vyriešený vylepšením kontrol obmedzení.

CVE-2024-44297: Jex Amro

IOSurface

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Apka môže byť schopná spôsobiť neočakávané ukončenie systému alebo poškodiť pamäť jadra

Popis: Dochádzalo k problému s použitím po uvoľnení, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2024-44285: anonymný výskumník

Kernel

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Apka môže byť schopná spôsobiť únik citlivých informácií o stave jadra

Popis: Dochádzalo k problému so zverejnením informácií, ktorý bol vyriešený vylepšením redigovania súkromných dát v položkách záznamov.

CVE-2024-44239: Mateusz Krzywicki (@krzywix)

Security

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Vzdialený útočník môže byť schopný spôsobiť odmietnutie služby

Popis: Dochádzalo k problému s odopretím služby, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2024-54538: Bing Shi, Wenchao Li a Xiaolong Bai z tímu Alibaba Group a Luyi Xing z Indiana University v Bloomingtone

Shortcuts

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Popis: Tento problém bol vyriešený vylepšením redigovania citlivých informácií.

CVE-2024-44254: Kirin (@Pwnrin)

Shortcuts

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Apka so škodlivým kódom môže používať skratky na získanie prístupu k súborom s obmedzeným prístupom

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením kontrol.

CVE-2024-44269: Kirin (@Pwnrin) a anonymný výskumník

Siri

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Popis: Tento problém bol vyriešený vylepšením redigovania citlivých informácií.

CVE-2024-44194: Rodolphe Brunetti (@eisw0lf)

Siri

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Apka v sandboxe môže byť schopná získať prístup k citlivým používateľským dátam v systémových protokoloch

Popis: Dochádzalo k problému so zverejnením informácií, ktorý bol vyriešený vylepšením redigovania súkromných dát v položkách záznamov.

CVE-2024-44278: Kirin (@Pwnrin)

Weather

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Apka môže byť schopná určiť aktuálnu polohu používateľa

Popis: Tento problém bol vyriešený vylepšením redigovania citlivých informácií.

CVE-2024-44290: Kirin (@Pwnrin)

WebKit

Dostupné pre: Apple Watch Series 6 a novšie

Dosah: Súbory cookie z jednej domény sa môžu odoslať na inú doménu

Popis: Dochádzalo k problému so správou súborov cookie, ktorý bol vyriešený vylepšením správy stavu.

CVE-2024-44212: Wojciech Regula zo spoločnosti SecuRing (wojciechregula.blog)

WebKit

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Spracovanie webového obsahu so škodlivým kódom môže zabrániť vynúteniu zásad CSP (Content Security Policy)

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2024-44296: Narendra Bhati, manažér kybernetickej bezpečnosti v spoločnosti Suma Soft Pvt. Ltd, Pune (India)

WebKit

Dostupné pre: Apple Watch Series 6 a novšie

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k neočakávanému zlyhaniu procesu

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2024-44244: anonymný výskumník, Q1IQ (@q1iqF) a P1umer (@p1umer)

Ďalšie poďakovanie

Calculator

Poďakovanie za pomoc si zaslúži Kenneth Chew.

Calendar

Poďakovanie za pomoc si zaslúži K宝(@Pwnrin).

ImageIO

Poďakovanie za pomoc si zaslúžia Amir Bazine a Karsten König z tímu Counter Adversary Operations spoločnosti CrowdStrike, ako aj anonymný výskumník.

Messages

Poďakovanie za pomoc si zaslúžia Collin Potter a anonymný výskumník.

NetworkExtension

Poďakovanie za pomoc si zaslúži Patrick Wardle zo spoločnosti DoubleYou a organizácie Objective-See Foundation.

Photos

Poďakovanie za pomoc si zaslúži James Robertson.

Siri

Poďakovanie za pomoc si zaslúži Bistrit Dahal.