Сведения о проблемах системы безопасности, устраняемых обновлением watchOS
8.1
В этом документе описываются проблемы системы безопасности, устраняемые
обновлением watchOS 8.1.
Сведения об обновлениях системы безопасности Apple
В целях защиты клиентов компания Apple не разглашает информацию о проблемах
безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор,
пока не будет завершено изучение соответствующей проблемы и не будут
опубликованы исправления или новые выпуски. Список последних выпусков
представлен на странице Обновления системы безопасности Apple.
В документах Apple о безопасности уязвимости обозначаются по коду CVE-ID,
когда это возможно.
Дополнительную информацию о безопасности см. на странице, посвященной
безопасности продуктов Apple.
watchOS 8.1
Дата выпуска: 25 октября 2021 г.
Audio
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Вредоносное приложение может повышать уровень привилегий.
Описание. Проблема целочисленного переполнения устранена путем улучшенной
проверки ввода.
CVE-2021-30907: пользователь Zweig из Kunlun Lab
ColorSync
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Обработка вредоносного изображения может приводить к выполнению
произвольного кода.
Описание. При обработке профилей ICC возникала проблема повреждения данных в
памяти. Эта проблема устранена путем улучшенной проверки ввода.
CVE-2021-30917: Alexandru-Vlad Niculae и Mateusz Jurczyk из подразделения
Google Project Zero
CoreAudio
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Обработка вредоносного файла может привести к раскрытию
сведений о пользователе.
Описание. Проблема чтения за границами выделенной области памяти устранена
путем улучшенной проверки границ.
CVE-2021-30905: Mickey Jin (@patch1t) из Trend Micro
CoreGraphics
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Обработка вредоносного файла PDF может приводить к выполнению
произвольного кода
Описание. Проблема записи за границами выделенной области памяти устранена
путем улучшенной проверки ввода.
CVE-2021-30919
FileProvider
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Распаковка вредоносного архива может приводить к выполнению
произвольного кода.
Описание. Проблема проверки ввода устранена путем улучшенной обработки
памяти.
CVE-2021-30881: Simon Huang (@HuangShaomang) и пользователь pjf из
подразделения IceSword Lab в Qihoo 360
Game Center
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Вредоносное приложение может получать доступ к контактам
пользователя.
Описание. Проблема с логикой устранена путем улучшения ограничений.
CVE-2021-30895: Денис Токарев (Denis Tokarev)
Game Center
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Вредоносное приложение может считывать данные игрового процесса
пользователя.
Описание. Проблема с логикой устранена путем улучшения ограничений.
CVE-2021-30896: Денис Токарев (Denis Tokarev)
iCloud
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Локальный злоумышленник может повысить свои привилегии.
Описание. Проблема устранена путем улучшения проверок.
CVE-2021-30906: Сиз Элзинга (Cees Elzinga)
IOMobileFrameBuffer
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Приложение может выполнять произвольный код с привилегиями
ядра. Компании Apple известно о сообщениях, что эта проблема могла активно
использоваться злоумышленниками.
Описание. Проблема с повреждением данных в памяти устранена путем улучшенной
обработки памяти.
CVE-2021-30883: анонимный исследователь
Kernel
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Приложение может выполнять произвольный код с привилегиями
ядра.
Описание. Проблема с использованием данных после освобождения памяти
устранена путем улучшенного управления памятью.
CVE-2021-30886: пользователь @0xalsr
Kernel
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Приложение может выполнять произвольный код с привилегиями
ядра.
Описание. Проблема с повреждением данных в памяти устранена путем улучшенной
обработки памяти.
CVE-2021-30909: пользователь Zweig из Kunlun Lab
UIKit
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Пользователь с физическим доступом к устройству может
определять характеристики пароля пользователя в поле безопасного ввода
текста.
Описание. Логическая проблема устранена путем улучшенного управления
состояниями.
CVE-2021-30915: Kostas Angelopoulos
WebKit
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Обработка вредоносного веб-содержимого может приводить к
неожиданной отмене правил обеспечения безопасности содержимого.
Описание. Проблема с логикой устранена путем улучшения ограничений.
CVE-2021-30887: Нарендра Бхати (Narendra Bhati, @imnarendrabhati) из
компании Suma Soft Pvt. Ltd.
WebKit
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Вредоносный веб-сайт, использующий отчеты политики безопасности
содержимого, может вызывать утечку данных за счет действий перенаправления.
Описание. Устранена проблема с утечкой данных.
CVE-2021-30888: пользователь Prakash (@1lastBr3ath)
WebKit
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. При обработке вредоносного веб-содержимого возможно выполнение
произвольного кода.
Описание. Проблема переполнения буфера устранена путем улучшенной обработки
памяти.
CVE-2021-30889: Чицзинь Чжоу (Chijin Zhou) из компании ShuiMuYuLin Ltd и
Tsinghua WingTecher Lab
WebKit
Целевые продукты: Apple Watch Series 3 и более поздние модели
Воздействие. Обработка вредоносного веб-содержимого может приводить к
выполнению универсальных межсайтовых сценариев.
Описание. Логическая проблема устранена путем улучшенного управления
состояниями.
CVE-2021-30890: анонимный исследователь
