CVE-2024-20413

CVE-2024-20413

Título es
CVE-2024-20413

Mié, 28/08/2024 – 17:15

Tipo
CWE-862

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-20413

Descripción en
A vulnerability in Cisco NX-OS Software could allow an authenticated, local attacker with privileges to access the Bash shell to elevate privileges to network-admin on an affected device.

This vulnerability is due to insufficient security restrictions when executing application arguments from the Bash shell. An attacker with privileges to access the Bash shell could exploit this vulnerability by executing crafted commands on the underlying operating system. A successful exploit could allow the attacker to create new users with the privileges of network-admin.

28/08/2024
28/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.70

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

Una mujer utilizó un AirTag para rastrear a un ladrón

En California, EE UU, una mujer aprovechó el AirTag, el pequeño rastreador de Apple presentado en 2021, para dar con algunos paquetes que le habían robado. Así lo informó la agencia de noticias Associated Press (AP).

Tras sufrir numerosos robos en el buzón de su oficina en Los Álamos, localidad californiana del mismo nombre que Nuevo México, la mujer decidió utilizar un AirTag para identificar a los autores. Al enviar un paquete con el rastreador a su propio buzón, pudo seguir la pista de los ladrones. Avisó a la policía, que localizó los paquetes robados y detuvo a los autores: Virginia Francesca Lara, de 27 años y Donald Ashton, de 37.

Según informó la oficina del sheriff del condado de Santa Bárbara en un comunicado emitido tras la detención, ambos eran responsables no solo del robo del correo de la mujer, sino también de usurpación de identidad, robo de tarjetas de crédito y conspiración criminal. El hombre, por su parte, está acusado de robo con allanamiento de morada, posesión de cheques con intención de cometer fraude, robo de tarjetas de crédito, usurpación de identidad y asociación ilícita para delinquir.


Herramientas de rastreo que ayudan a encontrar dispositivos perdidos.
Herramientas de rastreo que ayudan a encontrar dispositivos perdidos

Entre las AirTags de Apple, las SmartTags de Samsung y los rastreadores Tile, tienes muchas opciones para asegurarte de no perder tu teléfono o tus llaves.


Cómo funciona un AirTag

AirTag es una herramienta de rastreo que puede conectarse por Bluetooth a dispositivo de la familia Apple. La compañía lo lanzó en 2021 como una medida de seguridad para que los usuarios localizaran sus llaves y equipaje sin perder tiempo. En iPhone, Mac y iPad funcionan a través de la aplicación Encontrar. También está disponible a través del portal de iCloud, por lo que puede acceder a él a través de cualquier computadora con navegador web.

Dispositivo de rastreo Apple AirTag.

Cortesía: Apple

Funcionan un poco distinto a otros dispositivos conectados a tu cuenta iCloud, por ejemplo, no informan directamente su ubicación, usan Bluetooth y más precisamente, Ultra-Wideband, para comunicarse con tus dispositivos a corto alcance. Si este sale del radio de acción, puedes ver cuándo se conectó por última vez a tu teléfono, que por lo menos te dará una idea de si lo dejaste en casa o en la oficina.

CVE-2024-20411

CVE-2024-20411

Título es
CVE-2024-20411

Mié, 28/08/2024 – 17:15

Tipo
CWE-267

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-20411

Descripción en
A vulnerability in Cisco NX-OS Software could allow an authenticated, local attacker with privileges to access the Bash shell to execute arbitrary code as root on an affected device.

This vulnerability is due to insufficient security restrictions when executing commands from the Bash shell. An attacker with privileges to access the Bash shell could exploit this vulnerability by executing a specific crafted command on the underlying operating system. A successful exploit could allow the attacker to execute arbitrary code with the privileges of root.

28/08/2024
28/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.70

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-20289

CVE-2024-20289

Título es
CVE-2024-20289

Mié, 28/08/2024 – 17:15

Tipo
CWE-78

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-20289

Descripción en
A vulnerability in the CLI of Cisco NX-OS Software could allow an authenticated, low-privileged, local attacker to execute arbitrary commands on the underlying operating system of an affected device. 

This vulnerability is due to insufficient validation of arguments for a specific CLI command. An attacker could exploit this vulnerability by including crafted input as the argument of the affected command. A successful exploit could allow the attacker to execute arbitrary commands on the underlying operating system with the privileges of the currently logged-in user.

28/08/2024
28/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
4.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

Meredith Whittaker, presidenta de Signal, quiere demostrar que el capitalismo de la vigilancia es un error

Esta es una pregunta muy grosera, pero sobre este tema de ser esbelto, busqué tu 990, y te pagas a ti misma menos de … bueno, te pagas la mitad o un tercio de lo que algunos de tus ingenieros.

Sí, y nuestro objetivo es pagar a la gente lo más cerca posible de los salarios de Silicon Valley, para que podamos contratar a gente muy veterana, sabiendo que no tenemos capital que ofrecerles. Pagamos muy bien a los ingenieros. [Si alguien está buscando trabajo, pagamos muy, muy bien.]

Pero te pagas a ti misma muy modestamente en el esquema de las cosas.

Gano un sueldo muy bueno con el que estoy muy contenta.

Parece tabú hablar de esto. Pero realmente capta la rareza de Signal.

Bueno, mira, capta que estamos haciendo lo que podemos para construir un modelo que funciona en oposición a un modelo casi hegemónico al que nos enfrentamos. ¿Verdad? Va a parecer raro porque la norma no es lo que somos.

No me imagino que la mayoría de las organizaciones sin fines de lucro paguen a los ingenieros tanto como lo haces.

Sí, pero la mayoría de la tecnología no es una organización sin fines de lucro. Nombra otra organización tecnológica sin fines de lucro que transporte infraestructuras críticas que proporcionen comunicaciones en tiempo real por todo el mundo de forma fiable. No hay ninguna.

Esto no es un proyecto de hipótesis. No estamos en una habitación soñando con un futuro perfecto. Tenemos que hacerlo ahora. Tiene que funcionar. Si los servidores se caen, necesito a un tipo que se levante en mitad de la puta noche y esté en esa pantalla, diagnosticando el problema que sea, hasta que se solucione.

Así que tenemos que parecer una empresa tecnológica en algunos aspectos para poder hacer lo que hacemos.

Si pudiera entrar en la historia real de tu carrera, dijiste en tu blog inicial cuando asumiste el papel de presidenta que siempre has sido una defensora de Signal. ¿Creo que dijiste que usabas RedPhone y TextSecure?

Sí, los usé.

Los probé en su momento, lo suficiente como para escribir sobre ellos. ¡Pero eran bastante malos! Estoy impresionado o tal vez un poco extrañado de que los hayas usado en ese entonces.

Pero yo estaba en tecnología. Toda la gente «cool» en tecnología ya los usaba.

¿Y estabas en Google en ese momento?

Sí. Yo estaba con Google entonces.

¿Qué hacía alguien como tú en Google, honestamente?

¿Alguna vez has oído hablar de la necesidad de dinero para vivir y pagar el alquiler, Andy? ¿Has oído hablar de una sociedad en la que el acceso a los recursos está limitado por tu capacidad de hacer un trabajo productivo para una u otra empresa que te paga dinero?

¡Eso lo entiendo! Pero ahora eres una persona tan anti-Silicon Valley, anti-capitalismo de la vigilancia, que es difícil imaginar…

No soy anti-tecnología.

Sí, no he dicho eso. ¿Pero cómo acabaste en Google?

Bueno, soy licenciada en retórica y literatura inglesa por Berkeley. Fui a la escuela de arte toda mi vida. No estaba buscando un trabajo en tecnología. No me interesaba la tecnología en ese momento, pero buscaba trabajo porque me había licenciado en Berkeley y no tenía dinero. Puse mi currículum en Monster.com, que para la generación Z es como el LinkedIn de la vieja escuela.

CVE-2024-8195

CVE-2024-8195

Título es
CVE-2024-8195

Mié, 28/08/2024 – 14:15

Tipo
CWE-862

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8195

Descripción en
The Permalink Manager Lite plugin for WordPress is vulnerable to unauthorized access of data due to a missing capability check on the 'debug_data', 'debug_query', and 'debug_redirect' functions in all versions up to, and including, 2.4.4. This makes it possible for unauthenticated attackers to extract sensitive data including password, title, and content of password-protected posts.

28/08/2024
28/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-34198

CVE-2024-34198

Título es
CVE-2024-34198

Mié, 28/08/2024 – 15:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-34198

Descripción en
TOTOLINK AC1200 Wireless Router A3002RU V2.1.1-B20230720.1011 is vulnerable to Buffer Overflow. The formWlEncrypt CGI handler in the boa program fails to limit the length of the wlan_ssid field from user input. This allows attackers to craft malicious HTTP requests by supplying an excessively long value for the wlan_ssid field, leading to a stack overflow. This can be further exploited to execute arbitrary commands or launch denial-of-service attacks.

28/08/2024
28/08/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-42900

CVE-2024-42900

Título es
CVE-2024-42900

Mié, 28/08/2024 – 16:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-42900

Descripción en
Ruoyi v4.7.9 and before was discovered to contain a cross-site scripting (XSS) vulnerability via the sql parameter of the createTable() function at /tool/gen/create.

28/08/2024
28/08/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-42698

CVE-2024-42698

Título es
CVE-2024-42698

Mié, 28/08/2024 – 16:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-42698

Descripción en
Roughly Enough Items (REI) v.16.0.729 and before contains an Improper Validation of Specified Index, Position, or Offset in Input vulnerability. The specific issue is a failure to validate slot index and decrement stack count in the Roughly Enough Items (REI) mod for Minecraft, which allows in-game item duplication.

28/08/2024
28/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
4.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-7269

CVE-2024-7269

Título es
CVE-2024-7269

Mié, 28/08/2024 – 11:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-7269

Descripción en
Improper Neutralization of Input During Web Page Generation vulnerability in "Update of Personal Details" form in ConnX ESP HR Management allows Stored XSS attack. An attacker might inject a script to be run in user's browser. After multiple attempts to contact the vendor we did not receive any answer. The finder provided the information that this issue affects ESP HR Management versions before 6.6.

28/08/2024
28/08/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off