Проблеми системи безпеки, які усунено в оновленні watchOS 11.1

У цьому документі описано проблеми системи безпеки, які усунено в оновленні watchOS 11.1.

Про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски наведено на сторінці Випуски безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

Проблеми системи безпеки, які усунено в оновленні watchOS 11.1

Accessibility

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: зловмисник, який має фізичний доступ до заблокованого пристрою, може переглянути конфіденційну інформацію користувача.

Опис: цю проблему усунено завдяки вдосконаленню автентифікації.

CVE-2024-44274: Rizki Maulana (rmrizki.my.id), Matthew Butler, Jake Derouin

App Support

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: шкідлива програма може виконувати довільні швидкі команди без згоди користувача.

Опис: проблему з обробкою шляху вирішено завдяки поліпшенню логіки.

CVE-2024-44255: анонімний дослідник

AppleAVD

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: аналіз шкідливого відеофайлу може призводити до неочікуваного завершення роботи системи.

Опис: проблему вирішено завдяки вдосконаленню перевірки меж.

CVE-2024-44232: Ivan Fratric із Google Project Zero

CVE-2024-44233: Ivan Fratric із Google Project Zero

CVE-2024-44234: Ivan Fratric із Google Project Zero

CoreMedia Playback

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: шкідлива програма може отримувати доступ до приватної інформації.

Опис: проблему усунено завдяки поліпшенню обробки символьних посилань.

CVE-2024-44273: pattern-f (@pattern_F_), Hikerell of Loadshine Lab

CoreText

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: обробка шкідливого шрифту може призводити до розкриття пам’яті процесів.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2024-44240: Hossein Lotfi (@hosselot), що співпрацює з компанією Trend Micro в рамках ініціативи Zero Day Initiative

CVE-2024-44302: Hossein Lotfi (@hosselot), що співпрацює з компанією Trend Micro в рамках ініціативи Zero Day Initiative

Foundation

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: аналіз файлу може призводити до розкриття інформації про користувача.

Опис: проблему з читанням за межами виділеної області пам’яті усунено завдяки вдосконаленню перевірки вводу.

CVE-2024-44282: Hossein Lotfi (@hosselot), що співпрацює з компанією Trend Micro в рамках ініціативи Zero Day Initiative

ImageIO

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: обробка зображення може призводити до розкриття пам’яті процесів.

Опис: цю проблему вирішено завдяки вдосконаленню перевірок.

CVE-2024-44215: Junsung Lee, що співпрацює з компанією Trend Micro в рамках ініціативи Zero Day Initiative

ImageIO

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: обробка шкідливого повідомлення може призводити до відмови в обслуговуванні.

Опис: проблему вирішено завдяки вдосконаленню перевірки меж.

CVE-2024-44297: Jex Amro

IOSurface

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: програма може спричиняти несподіване завершення роботи системи або пошкоджувати пам’ять ядра.

Опис: проблему Use-After-Free усунено завдяки вдосконаленню керування пам’яттю.

CVE-2024-44285: анонімний дослідник

Kernel

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: програма може спричинити витік конфіденційної інформації про стан ядра.

Опис: проблему з розкриттям інформації вирішено шляхом поліпшення редагування приватних даних для записів журналу.

CVE-2024-44239: Mateusz Krzywicki (@krzywix)

Shortcuts

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему вирішено шляхом удосконалення редагування конфіденційної інформації.

CVE-2024-44254: Kirin (@Pwnrin)

Shortcuts

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: шкідлива програма може за допомогою швидких команд отримувати доступ до файлів з обмеженим доступом.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

CVE-2024-44269: анонімний дослідник

Siri

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему вирішено шляхом удосконалення редагування конфіденційної інформації.

CVE-2024-44194: Rodolphe Brunetti (@eisw0lf)

Siri

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: програма в ізольованому програмному середовищі може отримувати доступ до конфіденційних даних користувача в системних журналах.

Опис: проблему з розкриттям інформації вирішено шляхом поліпшення редагування приватних даних для записів журналу.

CVE-2024-44278: Kirin (@Pwnrin)

WebKit

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: обробка зловмисного вебвмісту може завадити застосуванню політики безпеки вмісту.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2024-44296: Narendra Bhati, менеджер із кібербезпеки в Suma Soft Pvt. Ltd., м. Пуне (Індія)

WebKit

Цільові продукти: Apple Watch Series 6 та новіші моделі

Вплив: обробка шкідливого вебвмісту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему з пошкодженням даних у пам’яті вирішено завдяки поліпшенню перевірки вводу.

CVE-2024-44244: анонімний дослідник, Q1IQ (@q1iqF) і P1umer (@p1umer)

Додаткова подяка

Calculator

Дякуємо за допомогу Kenneth Chew.

Calendar

Дякуємо за допомогу K宝(@Pwnrin).

ImageIO

Дякуємо за допомогу Amir Bazine і Karsten König із CrowdStrike Counter Adversary Operations, а також анонімному досліднику.

Messages

Дякуємо за допомогу Collin Potter і анонімному досліднику.

NetworkExtension

Дякуємо за допомогу Patrick Wardle із DoubleYou та команді Objective-See Foundation.

Photos

Дякуємо за допомогу користувачу James Robertson.

Security

Дякуємо за допомогу Bing Shi, Wenchao Li та Xiaolong Bai з Alibaba Group.

Siri

Дякуємо за допомогу Bistrit Dahal.