Zawartość związana z zabezpieczeniami w systemie watchOS 2.1

Ten dokument zawiera informacje o zawartości związanej z zabezpieczeniami w systemie watchOS 2.1.

W celu ochrony swoich klientów firma Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń zabezpieczeń przed ich pełnym zbadaniem i udostępnieniem wszelkich niezbędnych poprawek lub wersji oprogramowania. Więcej informacji o bezpieczeństwie produktów firmy Apple można znaleźć w witrynie Bezpieczeństwo produktów firmy Apple.

Informacje o kluczu PGP serwisu Bezpieczeństwo produktów firmy Apple zawiera artykuł Używanie klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Tam, gdzie jest to możliwe, w odniesieniu do luk w zabezpieczeniach są używane identyfikatory CVE, aby ułatwić uzyskanie dalszych informacji.

Informacje o innych uaktualnieniach zabezpieczeń zawiera artykuł Uaktualnienia zabezpieczeń firmy Apple.

watchOS 2.1

• Piaskownica aplikacji

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: złośliwa aplikacja może zachować dostęp do kontaktów po cofnięciu tego dostępu.

  Opis: w procedurze obsługi łączy stałych przez piaskownicę aplikacji występował błąd. Ten problem rozwiązano przez dodatkowe zabezpieczenie piaskownicy aplikacji.

  Identyfikator CVE

  CVE-2015-7001: Razvan Deaconescu i Mihai Bucicoiu z uczelni University POLITEHNICA of Bucharest; Luke Deshotels i William Enck z uczelni North Carolina State University; Lucas Vincenzo Davi i Ahmad-Reza Sadeghi z uczelni TU Darmstadt

• Kompresja

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może doprowadzić do wykonania dowolnego kodu

  Opis: w bibliotece zlib występował błąd dostępu do niezainicjowanej pamięci. Ten problem rozwiązano przez poprawienie mechanizmu inicjowania pamięci i zastosowanie dodatkowego sprawdzania poprawności strumieni zlib.

  Identyfikator CVE

  CVE-2015-7054: j00ru

• CoreGraphics

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: przetworzenie złośliwie spreparowanego pliku czcionki może doprowadzić do wykonania dowolnego kodu.

  Opis: w procedurze przetwarzania plików czcionek występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedury walidacji danych wejściowych.

  Identyfikator CVE

  CVE-2015-7105: John Villamil (@day6reak) z zespołu Yahoo Pentest Team

• Odtwarzanie w aplikacji CoreMedia

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może doprowadzić do wykonania dowolnego kodu

  Opis: w procedurze przetwarzania nieprawidłowych plików multimedialnych występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedur obsługi pamięci.

  Identyfikator CVE

  CVE-2015-7075

• dyld

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi

  Opis: w procesie dyld występował błąd sprawdzania poprawności segmentów. Ten błąd naprawiono przez poprawienie mechanizmu oczyszczania środowiska.

  Identyfikator CVE

  CVE-2015-7072: Apple

• FontParser

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: przetworzenie złośliwie spreparowanego pliku czcionki może doprowadzić do wykonania dowolnego kodu.

  Opis: w procedurze obsługi plików czcionek występowały liczne błędy powodujące uszkodzenie zawartości pamięci. Te błędy naprawiono przez poprawienie mechanizmu sprawdzania ograniczeń.

  Identyfikator CVE

  CVE-2015-6978: Jaanus Kp, Clarified Security, w ramach programu Zero Day Initiative firmy HP

• GasGauge

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi

  Opis: w jądrze występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedur obsługi pamięci.

  Identyfikator CVE

  CVE-2015-6979: PanguTeam

• ImageIO

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.

  Opis: w klasie ImageIO występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedur obsługi pamięci.

  Identyfikator CVE

  CVE-2015-7053: Apple

• IOHIDFamily

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi

  Opis: w rozszerzeniu IOHIDFamily występowały liczne błędy powodujące uszkodzenie zawartości pamięci. Te błędy naprawiono przez poprawienie obsługi pamięci.

  Identyfikator CVE

  CVE-2015-7111: użytkownicy beist i ABH z organizacji BoB

  CVE-2015-7112: Ian Beer z grupy Google Project Zero

• IOKit SCSI

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

  Opis: procedura obsługi niektórych typów klienta użytkownika zawierała dereferencję do wskaźnika null. Ten błąd naprawiono przez poprawienie procedury walidacji.

  Identyfikator CVE

  CVE-2015-7068: Ian Beer z grupy Google Project Zero

• Jądro

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: aplikacja lokalna może spowodować atak typu „odmowa usługi”.

  Opis: poprawiono obsługę pamięci w celu wyeliminowania wielu problemów mogących prowadzić do ataków typu „odmowa usługi”.

  Identyfikator CVE

  CVE-2015-7040: Lufeng Li z grupy Qihoo 360 Vulcan Team

  CVE-2015-7041: Lufeng Li z grupy Qihoo 360 Vulcan Team

  CVE-2015-7042: Lufeng Li z grupy Qihoo 360 Vulcan Team

  CVE-2015-7043: Tarjei Mandt (@kernelpool)

• Jądro

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: użytkownik lokalny może wykonać dowolny kod z uprawnieniami jądra.

  Opis: w procedurze analizowania komunikatów mach występował błąd. Ten problem rozwiązano przez ulepszenie procedury sprawdzania poprawności komunikatów mach.

  Identyfikator CVE

  CVE-2015-7047: Ian Beer z grupy Google Project Zero

• Jądro

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: użytkownik lokalny może wykonać dowolny kod z uprawnieniami jądra.

  Opis: w jądrze występowały liczne błędy powodujące uszkodzenie zawartości pamięci. Te błędy naprawiono przez poprawienie obsługi pamięci.

  Identyfikator CVE

  CVE-2015-7083: Ian Beer z grupy Google Project Zero

  CVE-2015-7084: Ian Beer z grupy Google Project Zero

• Usługi uruchamiania

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi

  Opis: w procedurze przetwarzania nieprawidłowych plików plist występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedur obsługi pamięci.

  Identyfikator CVE

  CVE-2015-7113: Olivier Goguel z organizacji Free Tools Association

• libarchive

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może doprowadzić do wykonania dowolnego kodu

  Opis: w procedurze przetwarzania archiwów występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedur obsługi pamięci.

  Identyfikator CVE

  CVE-2011-2895: @practicalswift

• Biblioteka libc

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: przetworzenie złośliwie spreparowanego pakietu może doprowadzić do wykonania dowolnego kodu.

  Opis: w bibliotece standardowej języka C występowało szereg błędów przepełnienia bufora. Te błędy naprawiono przez poprawienie mechanizmu sprawdzania ograniczeń.

  Identyfikator CVE

  CVE-2015-7038: Brian D. Wells z firmy E. W. Scripps, Narayan Subramanian z firmy Symantec Corporation/Veritas LLC

  CVE-2015-7039 : Maksymilian Arciemowicz (CXSECURITY.COM)

  Pozycja uaktualniona 3 marca 2017 r.

• mDNSResponder

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: aplikacja lokalna może spowodować atak typu „odmowa usługi”.

  Opis: błąd dereferencji wskaźnika null został naprawiony przez poprawienie procedury obsługi pamięci.

  Identyfikator CVE

  CVE-2015-7988: Alexandre Helie

• OpenGL

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może doprowadzić do wykonania dowolnego kodu

  Opis: w bibliotece OpenGL występowały liczne błędy powodujące uszkodzenie zawartości pamięci. Te błędy naprawiono przez poprawienie obsługi pamięci.

  Identyfikator CVE

  CVE-2015-7064: Apple

  CVE-2015-7066: Tongbo Luo i Bo Qu z firmy Palo Alto Networks

• Piaskownica

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: złośliwa aplikacja z uprawnieniami root może ominąć mechanizm losowego wybierania układu przestrzeni adresowej jądra.

  Opis: w bibliotece xnu występował błąd niedostatecznego oddzielania uprawnień. Ten problem rozwiązano przez poprawienie procedury sprawdzania autoryzacji.

  Identyfikator CVE

  CVE-2015-7046: Apple

• Zabezpieczenia

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: atakujący zdalnie może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu

  Opis: w procedurze obsługi uzgadniania SSL występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedur obsługi pamięci.

  Identyfikator CVE

  CVE-2015-7073: Benoit Foucher z firmy ZeroC, Inc.

• Zabezpieczenia

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: przetworzenie złośliwie spreparowanego certyfikatu może doprowadzić do wykonania dowolnego kodu.

  Opis: w dekoderze ASN.1 występowały liczne błędy powodujące uszkodzenie zawartości pamięci. Te problemy rozwiązano przez poprawienie procedury sprawdzania poprawności danych wejściowych

  Identyfikator CVE

  CVE-2015-7059: David Keeler z firmy Mozilla

  CVE-2015-7060: Tyson Smith z firmy Mozilla

  CVE-2015-7061: Ryan Sleevi z firmy Google

• Zabezpieczenia

  Dostępne dla: zegarków Apple Watch Sport, Apple Watch, Apple Watch Edition i Apple Watch Hermès

  Zagrożenie: ocena zaufania, którą skonfigurowano w celu sprawdzania odwołania, może zakończyć się powodzeniem nawet w przypadku niepowodzenia sprawdzania odwołania.

  Opis: flaga kSecRevocationRequirePositiveResponse była określona, ale nie została zaimplementowana. Ten problem rozwiązano przez zaimplementowanie flagi.

  Identyfikator CVE

  CVE-2015-6997: Apple