Over de beveiligingsinhoud van watchOS 11

In dit document wordt de beveiligingsinhoud van watchOS 11 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsreleases.

Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

watchOS 11

Accessibility

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: een aanvaller met fysieke toegang tot een vergrendeld apparaat kan mogelijk apparaten in de buurt bedienen via toegankelijkheidsfuncties

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

CVE-2024-44171: Jake Derouin (jakederouin.com)

Game Center

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een probleem met bestandstoegang is verholpen door verbeterde invoervalidatie.

CVE-2024-40850: Denis Tokarev (@illusionofcha0s)

ImageIO

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigd bestand kan leiden tot het onverwacht beëindigen van apps

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2024-27880: Junsung Lee

ImageIO

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: het verwerken van een afbeelding kan leiden tot een denial-of-service

Beschrijving: een probleem met de toegang buiten het bereik is verholpen door verbeterde bereikcontrole.

CVE-2024-44176: dw0r van ZeroPointer Lab in samenwerking met Trend Micro Zero Day Initiative en een anonieme onderzoeker

IOSurfaceAccelerator

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: een app kan zorgen voor het onverwacht beëindigen van het systeem

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2024-44169: Antonio Zekić

Kernel

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: een app kan ongeoorloofde toegang verkrijgen tot Bluetooth

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

CVE-2024-44191: Alexander Heinrich, SEEMOO, DistriNet, KU Leuven (@vanhoefm), TU Darmstadt (@Sn0wfreeze) en Mathy Vanhoef

LaunchServices

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: een kwaadaardige app kan mogelijk andere apps wijzigen zonder toestemming van App Management

Beschrijving: een logicaprobleem is verholpen door verbeterde controles.

CVE-2024-54560: Kirin (@Pwnrin), en Jeff Johnson (underpassapp.com)

libxml2

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: een probleem met overloop van gehele getallen is verholpen door verbeterde invoervalidatie.

CVE-2024-44198: OSS-Fuzz, en Ned Williamson van Google Project Zero

mDNSResponder

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: een app kan mogelijk een denial-of-service veroorzaken

Beschrijving: een logicaprobleem is verholpen door een verbeterde behandeling van fouten.

CVE-2024-44183: Olivier Levon

Safari

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: kwaadwillig vervaardigd webmateriaal kan het iframe sandbox-beleid schenden

Beschrijving: een probleem met de verwerking van een aangepast URL-schema is verholpen door verbeterde invoervalidatie.

CVE-2024-44155: Narendra Bhati, Manager of Cyber Security bij Suma Soft Pvt. Ltd, Pune (India)

SceneKit

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigd bestand kan leiden tot het onverwacht beëindigen van apps

Beschrijving: een bufferoverloop is verholpen door verbeterde groottevalidatie.

CVE-2024-44144: 냥냥

Siri

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een privacyprobleem is verholpen door vertrouwelijke gegevens naar een veiligere locatie te verplaatsen.

CVE-2024-44170: K宝, LFY (@secsys), Smi1e, yulige, Cristian Dinca (icmd.tech), en Rodolphe BRUNETTI (@eisw0lf)

WebKit

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: een kwaadaardige website kan gegevens 'cross-origin' exfiltreren

Beschrijving: een probleem met het beheer van cookies is verholpen door verbeterd statusbeheer.

CVE-2024-54467: Narendra Bhati, Manager of Cyber Security bij Suma Soft Pvt. Ltd, Pune (India)

WebKit

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2024-44192: Tashita Software Security

WebKit

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot universele cross-site-scripting

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

CVE-2024-40857: Ron Masas

WebKit

Beschikbaar voor: Apple Watch Series 6 en nieuwer

Impact: een kwaadaardige website kan gegevens 'cross-origin' exfiltreren

Beschrijving: er was een cross-origin-probleem met iframe-elementen. Dit is verholpen door een verbeterde tracking van beveiligingsbronnen.

CVE-2024-44187: Narendra Bhati, Manager of Cyber Security bij Suma Soft Pvt. Ltd, Pune (India)

Aanvullende erkenning

dyld

Met dank aan Pietro Francesco Tirenna, Davide Silvetti, en Abdel Adim Oisfi van Shielder (shielder.com) voor de hulp.

Kernel

Met dank aan Braxton Anderson en Fakhri Zulkifli (@d0lph1n98) van PixiePoint Security voor de hulp.

Maps

Met dank aan Kirin (@Pwnrin) voor de hulp.

Photos

Met dank aan Junior Vergara voor de hulp.

Shortcuts

Met dank aan Cristian Dinca van 'Tudor Vianu' National High School of Computer Science, Romania, Jacob Braun en een anonieme onderzoeker voor de hulp.

Siri

Met dank aan Abhay Kailasia (@abhay_kailasia) van Lakshmi Narain College of Technology Bhopal India, Rohan Paudel en een anonieme onderzoeker voor de hulp.

Voice Memos

Met dank aan Lisa B voor de hulp.

WebKit

Met dank aan Avi Lumelsky van Oligo Security, Uri Katz van Oligo Security, Eli Grey (eligrey.com) en Johan Carlsson (joaxcar) voor de hulp.