Acerca del contenido de seguridad de watchOS 10.6

En este documento, se describe el contenido de seguridad de watchOS 10.6.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Versiones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

Para obtener más información sobre la seguridad, consulta la página Seguridad de los productos Apple.

watchOS 10.6

AppleMobileFileIntegrity

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que una app pueda omitir las preferencias de privacidad.

Descripción: Se solucionó un problema de reducción de la versión mediante restricciones adicionales de firma de código.

CVE-2024-40774: Mickey Jin (@patch1t)

CoreGraphics

Disponible para: Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2024-40799: D4m0n

dyld

Disponible para: Apple Watch Series 4 y versiones posteriores

Impacto: Un atacante malintencionado con una función de lectura y escritura arbitraria podía omitir la autenticación del puntero.

Descripción: Se solucionó un problema de condición de carrera mediante validaciones adicionales.

CVE-2024-40815: w0wbox

Family Sharing

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación

Descripción: Para solucionar este problema, se mejoró la protección de datos.

CVE-2024-40795: Csaba Fitzl (@theevilbit) de Kandji

ImageIO

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: El procesamiento de una imagen podía provocar una denegación de servicio

Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.

CVE-2023-6277

CVE-2023-52356

ImageIO

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2024-40806: Yisumi

ImageIO

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró la comprobación de límites para solucionar un problema de acceso fuera de los límites.

CVE-2024-40777: Junsung Lee en colaboración con el programa Zero Day Initiative de Trend Micro, Amir Bazine y Karsten König de CrowdStrike Counter Adversary Operations

ImageIO

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró la validación de entradas para solucionar un problema de desbordamiento de enteros.

CVE-2024-40784: Junsung Lee en colaboración con el programa Zero Day Initiative de Trend Micro y Gandalf4a

Kernel

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que un atacante local pueda determinar el diseño de memoria del kernel.

Descripción: Para solucionar un problema de divulgación de información, se mejoró la redacción de datos privados de las entradas de registro.

CVE-2024-27863: Equipo de Certik Skyfall

Kernel

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que un atacante local pueda provocar un apagado inesperado del sistema.

Descripción: se mejoró el manejo de la memoria para solucionar un problema de confusión de tipo.

CVE-2024-40788: Minghao Lin y Jiaxun Zhu de Zhejiang University

libxpc

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que una app pueda omitir las preferencias de privacidad.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40805

Phone

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que un atacante con acceso físico pueda utilizar Siri para acceder a datos confidenciales del usuario

Descripción: Se mejoró la administración de estados para solucionar un problema de bloqueo de pantalla.

CVE-2024-40813: Jacob Braun

Sandbox

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que una app pueda omitir las preferencias de privacidad.

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2024-40824: Wojciech Regula de SecuRing (wojciechregula.blog) y Zhongquan Li (@Guluisacat) de Dawn Security Lab de JingDong

Shortcuts

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que un acceso directo pueda usar los datos confidenciales con determinadas acciones sin solicitarle al usuario

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2024-40835: Un investigador anónimo

CVE-2024-40836: Un investigador anónimo

Shortcuts

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Una función rápida podía omitir los requisitos de acceso a Internet.

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2024-40809: Un investigador anónimo

CVE-2024-40812: Un investigador anónimo

Shortcuts

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Una función rápida podía omitir los requisitos de acceso a Internet.

Descripción: Para solucionar este problema, se agregó una solicitud de consentimiento del usuario adicional.

CVE-2024-40787: Un investigador anónimo

Shortcuts

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.

CVE-2024-40793: Kirin (@Pwnrin)

Siri

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que un atacante con acceso físico pueda utilizar Siri para acceder a datos confidenciales del usuario

Descripción: Para solucionar este problema, se restringieron las opciones que se ofrecían en un dispositivo bloqueado.

CVE-2024-40818: Bistrit Dahal y Srijan Poudel

Siri

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que un atacante con acceso físico a un dispositivo pueda acceder a los contactos desde la pantalla de bloqueo.

Descripción: Para solucionar este problema, se restringieron las opciones que se ofrecían en un dispositivo bloqueado.

CVE-2024-40822: Srijan Poudel

VoiceOver

Disponible para: Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que un atacante pueda ver contenido restringido desde la pantalla de bloqueo.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-40829: Abhay Kailasia (@abhay_kailasia) de Lakshmi Narain College of Technology Bhopal, India

WebKit

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2024-40776: Huang Xilin de Ant Group Light-Year Security Lab

CVE-2024-40782: Maksymilian Motyl

WebKit

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso.

Descripción: Para solucionar un problema de lectura fuera de los límites, se mejoró la comprobación de límites.

CVE-2024-40779: Huang Xilin de Ant Group Light-Year Security Lab

CVE-2024-40780: Huang Xilin de Ant Group Light-Year Security Lab

WebKit

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados ocasione un ataque de scripts de sitios

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2024-40785: Johan Carlsson (joaxcar)

WebKit

Disponible para Apple Watch Series 4 y versiones posteriores

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso.

Descripción: Se mejoró la comprobación de límites para solucionar un problema de acceso fuera de los límites.

CVE-2024-40789: Seunghyun Lee (@0x10n) de KAIST Hacking Lab en colaboración con el programa Zero Day Initiative de Trend Micro

Otros agradecimientos

Shortcuts

Nos gustaría darle las gracias a un investigador anónimo por su ayuda.