Проблеми системи безпеки, які усунено в оновленні watchOS 10.3

У цьому документі описано проблеми системи безпеки, які усунено в оновленні watchOS 10.3.

Відомості про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски див. в статті Оновлення системи безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

watchOS 10.3

Apple Neural Engine

Доступно для пристроїв з Apple Neural Engine: Apple Watch Series 9 і Apple Watch Ultra 2

Вплив: програма може виконувати довільний код із привілеями ядра.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2024-23212: Ye Zhang із Baidu Security

CoreCrypto

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: зловмисник може розшифрувати застарілі шифротексти RSA PKCS#1 версії 1.5 без приватного ключа.

Опис: проблему побічних каналів синхронізації усунено через поліпшення обчислень постійного часу в криптографічних функціях.

CVE-2024-23218: Clemens Lang

Kernel

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може виконувати довільний код із привілеями ядра.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2024-23208: користувачі fmyy(@binary_fmyy) і lime із TIANGONG Team of Legendsec у QI-ANXIN Group

libxpc

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може спричинити відмову в обслуговуванні.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2024-23201: Koh M. Nakagawa з FFRI Security, Inc. і анонімний дослідник

Mail Search

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему вирішено шляхом удосконалення редагування конфіденційної інформації.

CVE-2024-23207: Noah Roskin-Frazee, користувач Prof. J. (ZeroClicks.ai Lab) та Ian de Marcellus

NSSpellChecker

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з приватністю вирішено завдяки вдосконаленню обробки файлів.

CVE-2024-23223: Noah Roskin-Frazee та користувач Prof. J. (ZeroClicks.ai Lab)

Safari

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: дії користувача в режимі Приватного перегляду можна побачити в програмі «Параметри».

Опис: проблему з приватністю усунено завдяки вдосконаленню обробки користувацьких налаштувань.

CVE-2024-23211: Mark Bowers

Shortcuts

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: швидка команда може мати змогу використовувати конфіденційні дані з певними діями, не питаючи дозвіл у користувача.

Опис: проблему усунуто завдяки додатковим перевіркам дозволів.

CVE-2024-23204: Jubaer Alnazi (@h33tjubaer)

Shortcuts

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може обходити певні параметри приватності

Опис: проблему з приватністю вирішено завдяки вдосконаленню обробки тимчасових файлів.

CVE-2024-23217: Kirin (@Pwnrin)

TCC

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему вирішено завдяки вдосконаленню обробки тимчасових файлів.

CVE-2024-23215: Zhongquan Li (@Guluisacat)

Time Zone

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: програма може переглядати номер телефону користувача в системних журналах.

Опис: проблему вирішено шляхом удосконалення редагування конфіденційної інформації.

CVE-2024-23210: Noah Roskin-Frazee та користувач Prof. J. (ZeroClicks.ai Lab)

WebKit

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: шкідлива вебсторінка може ідентифікувати користувача.

Опис: проблему вирішено завдяки вдосконаленню обмежень доступу.

CVE-2024-23206: анонімний дослідник

WebKit

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: обробка вебконтенту може призводити до виконання довільного коду.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2024-23213: Wangtaiyu із Zhongfu info

WebKit

Цільові продукти: Apple Watch Series 4 та новіші моделі

Вплив: шкідливий вебсайт може несподівано призвести до неправильної поведінки.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

CVE-2024-23271: James Lee (@Windowsrcer)

Додаткова подяка

NetworkExtension

Дякуємо за допомогу користувачу Nils Rollshausen.