Informace o bezpečnostním obsahu watchOS 3.1
Tento dokument popisuje bezpečnostní obsah watchOS 3.1.
Informace o bezpečnostních aktualizacích Apple
Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.
Podrobnější informace o zabezpečení najdete na této stránce. Komunikaci se společností Apple můžete zašifrovat pomocí klíče PGP zabezpečení produktů Apple.
Pokud je to možné, bezpečnostní dokumenty Apple se na bezpečnostní slabiny odkazují prostřednictvím identifikátorů CVE-ID.
watchOS 3.1
AppleMobileFileIntegrity
K dispozici pro: Všechny modely Apple Watch
Dopad: Podepsaný spustitelný soubor může nahradit kód jiným kódem se stejným ID týmu.
Popis: Ve zpracování podpisů kódu existoval problém s ověřováním. Problém byl vyřešen dodatečným ověřováním.
CVE-2016-7584: Mark Mentovai a Boris Vidolov ze společnosti Google Inc.
CoreGraphics
K dispozici pro: Všechny modely Apple Watch
Dopad: Zobrazení škodlivého souboru JPEG může vést ke spuštění libovolného kódu.
Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.
CVE-2016-4673: Marco Grassi (@marcograss) ze společnosti KeenLab (@keen_lab), Tencent
FontParser
K dispozici pro: Všechny modely Apple Watch
Dopad: Parsování škodlivého písma může vést k odhalení citlivých uživatelských informací.
Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.
CVE-2016-4660: Ke Liu z týmu Xuanwu Lab společnosti Tencent
FontParser
K dispozici pro: Všechny modely Apple Watch
Dopad: Zpracování škodlivého souboru písma může vést ke spuštění libovolného kódu.
Popis: Ve zpracování souborů písem existoval problém s přetečením vyrovnávací paměti. Problém byl vyřešen vylepšením kontroly rozsahu.
CVE-2016-4688: Simon Huang ze společnosti Alipay, thelongestusernameofall@gmail.com
Jádro
K dispozici pro: Všechny modely Apple Watch
Dopad: Místnímu uživateli se může podařit způsobit neočekávané ukončení systému nebo spustit libovolný kód v jádru.
Popis: V generovaném kódu MIG existovalo několik problémů s ověřováním vstupů. Problémy byly vyřešeny vylepšením ověřování.
CVE-2016-4669: Ian Beer z týmu Google Project Zero
Jádro
K dispozici pro: Všechny modely Apple Watch
Dopad: Aplikaci se může podařit odhalit obsah paměti jádra.
Popis: Problém s ověřováním byl vyřešen vylepšením sanitizace vstupů.
CVE-2016-4680: Max Bazaliy ze společnosti Lookout a in7egral
Jádro
K dispozici pro: Všechny modely Apple Watch
Dopad: Místní aplikaci se může podařit spustit libovolný kód s kořenovými oprávněními.
Popis: Ve vytváření nových procesů existovalo několik problémů s životností objektů. Problémy byly vyřešeny vylepšením ověřování.
CVE-2016-7613: Ian Beer z týmu Google Project Zero
libarchive
K dispozici pro: Všechny modely Apple Watch
Dopad: Škodlivému archivu se může podařit přepsat libovolné soubory.
Popis: Existoval problém v logice ověřování cest u symbolických odkazů. Problém byl vyřešen vylepšením sanitizace cesty.
CVE-2016-4679: Omer Medan ze společnosti enSilo Ltd
libxpc
K dispozici pro: Všechny modely Apple Watch
Dopad: Aplikaci se může podařit spustit libovolný kód s kořenovými oprávněními.
Popis: Problém v logice byl vyřešen přidáním dalších omezení.
CVE-2016-4675: Ian Beer z týmu Google Project Zero
Profily sandboxu
K dispozici pro: Všechny modely Apple Watch
Dopad: Aplikaci se může podařit získat metadata z úložišť fotek.
Popis: Problém s přístupem byl vyřešen přidáním dalších omezení sandboxu pro aplikace jiných výrobců.
CVE-2016-4664: Razvan Deaconescu, Mihai Bucicoiu z Polytechnické univerzity v Bukurešti; Luke Deshotels, William Enck ze Státní univerzity v Severní Karolíně; Lucas Vincenzo Davi, Ahmad-Reza Sadeghi z Technické univerzity Darmstad
Profily sandboxu
K dispozici pro: Všechny modely Apple Watch
Dopad: Aplikaci se může podařit získat metadata z úložišť zvukových záznamů.
Popis: Problém s přístupem byl vyřešen přidáním dalších omezení sandboxu pro aplikace jiných výrobců.
CVE-2016-4665: Razvan Deaconescu, Mihai Bucicoiu z Polytechnické univerzity v Bukurešti; Luke Deshotels, William Enck ze Státní univerzity v Severní Karolíně; Lucas Vincenzo Davi, Ahmad-Reza Sadeghi z Technické univerzity Darmstad
Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. Další informace vám poskytne příslušný výrobce.