CVE-2024-37769

CVE-2024-37769

Título es
CVE-2024-37769

Vie, 05/07/2024 – 16:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-37769

Descripción en
Insecure permissions in 14Finger v1.1 allow attackers to escalate privileges from normal user to Administrator via a crafted POST request.

05/07/2024
05/07/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-37768

CVE-2024-37768

Título es
CVE-2024-37768

Vie, 05/07/2024 – 16:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-37768

Descripción en
14Finger v1.1 was discovered to contain an arbitrary user deletion vulnerability via the component /api/admin/user?id.

05/07/2024
05/07/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-6505

CVE-2024-6505

Título es
CVE-2024-6505

Vie, 05/07/2024 – 14:15

Tipo
CWE-125

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6505

Descripción en
A flaw was found in the virtio-net device in QEMU. When enabling the RSS feature on the virtio-net network card, the indirections_table data within RSS becomes controllable. Setting excessively large values may cause an index out-of-bounds issue, potentially resulting in heap overflow access. This flaw allows a privileged user in the guest to crash the QEMU process on the host.

05/07/2024
05/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.00

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

Las fallas de seguridad de OpenAI ponen en jaque a ChatGPT

Ha sido una semana turbulenta para OpenAI, que se vio afectada por una gran controversia en relación con la seguridad de su chatbot de IA. De hecho, hace solo unos días, el desarrollador de Swift Pedro José Pereira Vieito reveló públicamente que la aplicación ChatGPT para Mac “almacena todas las conversaciones en ‘texto plano’ en una ubicación desprotegida”, lo que las deja accesibles a “cualquier otra aplicación/malware”.

Esto se debe a que, como la app no está disponible en la App Store de Apple, no tiene que cumplir los requisitos de sandboxing de la compañía, es decir, un sistema que permite que la aplicación se ejecute en un entorno seguro y aislado, evitando comprometer otras apps instaladas en el dispositivo.

X content

This content can also be viewed on the site it originates from.


ChatGPT Mac
La app de ChatGPT para Mac ya está disponible y es gratis: ¿cómo instalarla y qué ofrece?

La aplicación nativa de ChatGPT para Mac representa un avance sustancial en la estrategia de alcance de OpenAI.


Datos vulnerables de los usuarios de ChatGPT

En cuestión de horas, las declaraciones de Vieito habían dado la vuelta a la red, hasta el punto de convertirse en el tema principal de un artículo de The Verge, que parece haber convencido a OpenAI para que publique inmediatamente una actualización que añade encriptación a las conversaciones guardadas en la memoria local de la computadora, con el fin de resolver el asunto de una vez por todas

Pero los problemas de la compañía no acabaron ahí. Una brecha en los sistemas de mensajería interna de OpenAI, a la que accedió ilegalmente un hacker en la primavera de 2023, podría afectar el estado actual de seguridad de la empresa.

Según declaró Leopold Aschenbrenner, director técnico de la empresa, a The New York Times, la brecha del año pasado implicaba vulnerabilidades internas de las que podrían haberse aprovechado ciberdelincuentes extranjeros, posiblemente vinculados a grupos rusos o chinos. Una aseveración importante, que dejaba lugar a especulaciones sobre la posibilidad de que los hackers se apoderaran de los datos almacenados por OpenAI.

En respuesta, la compañía comentó que no estaba de acuerdo con las afirmaciones de Aschenbrenner, que fue despedido por revelar información confidencial. Sin embargo, parece que los comentarios de OpenAI no bastaron para aplacar a los expertos en seguridad, que temen que la empresa no sea capaz de gestionar la enorme cantidad de datos que posee.

Artículo publicado originalmente en WIRED Italia. Adaptado por Andrei Osornio.


Ilustración de carpetas con archivos
Cómo usar la función Memoria de ChatGPT (y no perder tu privacidad en el intento)

The latest update to OpenAI’s chatbot improves the AI’s ability to remember user details, but the feature is not yet available for all ChatGPT accounts.

CVE-2024-6524

CVE-2024-6524

Título es
CVE-2024-6524

Vie, 05/07/2024 – 12:15

Tipo
CWE-918

Gravedad v2.0
6.50

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2024-6524

Descripción en
A vulnerability was found in ShopXO up to 6.1.0. It has been declared as critical. Affected by this vulnerability is an unknown functionality of the file extend/base/Uploader.php. The manipulation of the argument source leads to server-side request forgery. The attack can be launched remotely. The exploit has been disclosed to the public and may be used. The associated identifier of this vulnerability is VDB-270367. NOTE: The original disclosure confuses CSRF with SSRF.

05/07/2024
05/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:S/C:P/I:P/A:P

Gravedad 3.1 (CVSS 3.1 Base Score)
5.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-6523

CVE-2024-6523

Título es
CVE-2024-6523

Vie, 05/07/2024 – 11:15

Tipo
CWE-79

Gravedad v2.0
4.00

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2024-6523

Descripción es
Se encontró una vulnerabilidad en ZKTeco BioTime hasta 9.5.2. Ha sido clasificada como problemática. Una función desconocida del componente system-group-add Handler es afectada por esta vulnerabilidad. La manipulación del argumento usuario con la entrada conduce a cross site scripting. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-270366 es el identificador asignado a esta vulnerabilidad. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.

Descripción en
A vulnerability was found in ZKTeco BioTime up to 9.5.2. It has been classified as problematic. Affected is an unknown function of the component system-group-add Handler. The manipulation of the argument user with the input alert('XSS') leads to cross site scripting. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. VDB-270366 is the identifier assigned to this vulnerability. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.

05/07/2024
05/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N

Vector CVSS:2.0
AV:N/AC:L/Au:S/C:N/I:P/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
3.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW

Enviar en el boletín
Off

CVE-2024-6298

CVE-2024-6298

Título es
CVE-2024-6298

Vie, 05/07/2024 – 11:15

Tipo
CWE-20

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6298

Descripción es
Vulnerabilidad de validación de entrada incorrecta en ABB ASPECT-Enterprise en Linux, ABB NEXUS Series en Linux, ABB MATRIX Series en Linux permite la inclusión remota de código. Este problema afecta a ASPECT-Enterprise: hasta 3.08.01; Serie NEXUS: hasta el 3.08.01; Serie MATRIX: hasta el 3.08.01.

Descripción en
Improper Input Validation vulnerability in ABB ASPECT-Enterprise on Linux, ABB NEXUS Series on Linux, ABB MATRIX Series on Linux allows Remote Code Inclusion.This issue affects ASPECT-Enterprise: through 3.08.01; NEXUS Series: through 3.08.01; MATRIX Series: through 3.08.01.

05/07/2024
05/07/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-6209

CVE-2024-6209

Título es
CVE-2024-6209

Vie, 05/07/2024 – 11:15

Tipo
CWE-552

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6209

Descripción es
Acceso no autorizado a archivos en WEB Server en ABB ASPECT – Enterprise v <=3.08.01; Serie NEXUS v <=3.08.01; MATRIX Series v<=3.08.01 permite a un atacante acceder a archivos no autorizados

Descripción en
Unauthorized file access in WEB Server in ABB ASPECT – Enterprise v

05/07/2024
05/07/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-39484

CVE-2024-39484

Título es
CVE-2024-39484

Vie, 05/07/2024 – 07:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-39484

Descripción en
In the Linux kernel, the following vulnerability has been resolved:

mmc: davinci: Don't strip remove function when driver is builtin

Using __exit for the remove function results in the remove callback being
discarded with CONFIG_MMC_DAVINCI=y. When such a device gets unbound (e.g.
using sysfs or hotplug), the driver is just removed without the cleanup
being performed. This results in resource leaks. Fix it by compiling in the
remove callback unconditionally.

This also fixes a W=1 modpost warning:

WARNING: modpost: drivers/mmc/host/davinci_mmc: section mismatch in
reference: davinci_mmcsd_driver+0x10 (section: .data) ->
davinci_mmcsd_remove (section: .exit.text)

05/07/2024
05/07/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off