CVE-2024-7925

CVE-2024-7925

Título es
CVE-2024-7925

Lun, 19/08/2024 – 18:15

Tipo
CWE-200

Gravedad v2.0
4.00

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2024-7925

Descripción en
A vulnerability was found in ZZCMS 2023. It has been rated as problematic. This issue affects some unknown processing of the file 3/E_bak5.1/upload/eginfo.php. The manipulation of the argument phome with the input ShowPHPInfo leads to information disclosure. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used.

19/08/2024
19/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Vector CVSS:2.0
AV:N/AC:L/Au:S/C:P/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
4.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-7924

CVE-2024-7924

Título es
CVE-2024-7924

Lun, 19/08/2024 – 18:15

Tipo
CWE-22

Gravedad v2.0
5.00

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2024-7924

Descripción en
A vulnerability was found in ZZCMS 2023. It has been declared as critical. This vulnerability affects unknown code of the file /I/list.php. The manipulation of the argument skin leads to path traversal. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.

19/08/2024
19/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Vector CVSS:2.0
AV:N/AC:L/Au:N/C:P/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-39306

CVE-2024-39306

Título es
CVE-2024-39306

Lun, 19/08/2024 – 14:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-39306

Descripción en
Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: CVE-2024-39304. Reason: This candidate is a duplicate of CVE-2024-39304. Notes: All CVE users should reference CVE-2024-39304 instead of this candidate. This CVE was issued to a vulnerability that is dependent on CVE-2024-39304. According to rule 4.2.15 of the CVE CNA rules, "CNAs MUST NOT assign a different CVE ID to a Vulnerability that is fully interdependent with another Vulnerability. The Vulnerabilities are effectively the same single Vulnerability and MUST use one CVE ID."

19/08/2024
19/08/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-43372

CVE-2024-43372

Título es
CVE-2024-43372

Lun, 19/08/2024 – 14:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-43372

Descripción en
Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: CVE-2024-43369. Reason: This candidate is a duplicate of CVE-2024-43369. Notes: All CVE users should reference CVE-2024-43369 instead of this candidate. This CVE was issued to a vulnerability that is dependent on CVE-2024-43369. According to rule 4.2.15 of the CVE CNA rules, "CNAs MUST NOT assign a different CVE ID to a Vulnerability that is fully interdependent with another Vulnerability. The Vulnerabilities are effectively the same single Vulnerability and MUST use one CVE ID."

19/08/2024
19/08/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2022-1443

CVE-2022-1443

Título es
CVE-2022-1443

Lun, 19/08/2024 – 15:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2022-1443

Descripción en
Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: CVE-2024-1789. Reason: This candidate is a reservation duplicate of CVE-2024-1789. Notes: All CVE users should reference CVE-2024-1789 instead of this candidate. All references and descriptions in this candidate have been removed to prevent accidental usage.

19/08/2024
19/08/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-43380

CVE-2024-43380

Título es
CVE-2024-43380

Lun, 19/08/2024 – 15:15

Tipo
CWE-400

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-43380

Descripción en
fugit contains time tools for flor and the floraison group. The fugit "natural" parser, that turns "every wednesday at 5pm" into "0 17 * * 3", accepted any length of input and went on attempting to parse it, not returning promptly, as expected. The parse call could hold the thread with no end in sight. Fugit dependents that do not check (user) input length for plausibility are impacted. A fix was released in fugit 1.11.1.

19/08/2024
19/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
5.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-43379

CVE-2024-43379

Título es
CVE-2024-43379

Lun, 19/08/2024 – 15:15

Tipo
CWE-918

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-43379

Descripción en
TruffleHog is a secrets scanning tool. Prior to v3.81.9, this vulnerability allows a malicious actor to craft data in a way that, when scanned by specific detectors, could trigger the detector to make an unauthorized request to an endpoint chosen by the attacker. For an exploit to be effective, the target endpoint must be an unauthenticated GET endpoint that produces side effects. The victim must scan the maliciously crafted data and have such an endpoint targeted for the exploit to succeed. The vulnerability has been resolved in TruffleHog v3.81.9 and later versions.

19/08/2024
19/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:N/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
3.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW

Enviar en el boletín
Off

CVE-2024-7922

CVE-2024-7922

Título es
CVE-2024-7922

Lun, 19/08/2024 – 15:15

Tipo
CWE-77

Gravedad v2.0
6.50

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2024-7922

Descripción en
A vulnerability was found in D-Link DNS-120, DNR-202L, DNS-315L, DNS-320, DNS-320L, DNS-320LW, DNS-321, DNR-322L, DNS-323, DNS-325, DNS-326, DNS-327L, DNR-326, DNS-340L, DNS-343, DNS-345, DNS-726-4, DNS-1100-4, DNS-1200-05 and DNS-1550-04 up to 20240814 and classified as critical. Affected by this issue is the function cgi_audio_search/cgi_create_playlist/cgi_get_album_all_tracks/cgi_get_alltracks_editlist/cgi_get_artist_all_album/cgi_get_genre_all_tracks/cgi_get_tracks_list/cgi_set_airplay_content/cgi_write_playlist of the file /cgi-bin/myMusic.cgi. The manipulation leads to command injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used. NOTE: This vulnerability only affects products that are no longer supported by the maintainer. NOTE: Vendor was contacted early and confirmed that the product is end-of-life. It should be retired and replaced.

19/08/2024
19/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:S/C:P/I:P/A:P

Gravedad 3.1 (CVSS 3.1 Base Score)
6.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-43399

CVE-2024-43399

Título es
CVE-2024-43399

Lun, 19/08/2024 – 15:15

Tipo
CWE-23

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-43399

Descripción en
Mobile Security Framework (MobSF) is a pen-testing, malware analysis and security assessment framework capable of performing static and dynamic analysis. Before 4.0.7, there is a flaw in the Static Libraries analysis section. Specifically, during the extraction of .a extension files, the measure intended to prevent Zip Slip attacks is improperly implemented. Since the implemented measure can be bypassed, the vulnerability allows an attacker to extract files to any desired location within the server running MobSF. This vulnerability is fixed in 4.0.7.

19/08/2024
19/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.00

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

“Hellscape”, la estrategia del Pentágono para defender Taiwán

«La mayoría de los componentes de los drones kamikaze de visión en primera persona, utilizados en Ucrania, provienen de China. Incluso Ucrania ha tratado de destetarse de las fuentes chinas y no ha encontrado nada a un precio comparable», añade.


Avión de Combate Colaborativo Fury de Anduril
Enjambres de drones y aviones de combate colaborativos, el sueño del Pentágono parece cumplirse

El ejército de Estados Unidos pretende mantener su dominio construyendo drones de ataque autónomos que colaboren con los humanos y superen las fuerzas de defensa en forma de enjambres.


El infierno de la producción en masa

Planificar un «paisaje infernal» de cientos de miles de drones es una cosa, pero hacerlo realidad es otra. Una evaluación de abril de 2023 de la Rand Corporation indicaba que el aumento de la demanda de drones armamentísticos probablemente “pondría a prueba” la capacidad de la base industrial de defensa estadounidense existente. Del mismo modo, otro informe del CNAS de junio de 2023 afirmaba que la guerra de Ucrania y el papel del gobierno estadounidense como principal proveedor de ayuda a la seguridad de Kiev, ha “sacado a la luz graves deficiencias” en la capacidad del Pentágono para ampliar rápidamente la producción de armas clave, como las municiones guiadas de precisión en comparación con Rusia.

«Ucrania ha sido sistemáticamente pionera en nuevos enfoques de la guerra con aviones no tripulados, pero Rusia se ha adaptado rápidamente y ha escalado la producción de aviones no tripulados de una manera que Ucrania no puede igualar», proclama el informe del CNAS de junio de 2024. «Las innovaciones tecnológicas y tácticas son necesarias, pero no suficientes. La producción masiva de una combinación asequible de drones también es necesaria para apoyar un conflicto grande y probablemente prolongado».

El informe adhiere que la base industrial de defensa de EE UU puede no ser «capaz de producir las cantidades de aviones no tripulados necesarios para una guerra con China».

Al igual que Rusia, el régimen autocrático de China ha permitido a la base industrial de defensa del país acelerar rápidamente la I+D (investigación y desarrollo) y la producción de armas, hasta el punto de que Pekín está «invirtiendo fuertemente en municiones y adquiriendo sistemas y equipos de armas de alta gama entre cinco y seis veces más rápido que Estados Unidos», según una comparación de marzo del CSIS. Por el contrario, el ecosistema industrial de defensa estadounidense se ha consolidado en las últimas décadas en un puñado de grandes contratistas «principales» como Lockheed Martin y Raytheon, una evolución que amenaza no solamente con ahogar la innovación, sino con obstaculizar la producción de sistemas críticos necesarios para la próxima gran guerra.

«En general, el ecosistema industrial de defensa estadounidense carece de la capacidad, la capacidad de respuesta, la flexibilidad y la capacidad de reacción necesarias para satisfacer las necesidades de producción y de combate del ejército estadounidense, a menos que se produzcan cambios urgentes, Estados Unidos corre el riesgo de debilitar la disuasión y socavar sus capacidades de combate», afianza el informe del CSIS.

Con ese fin, el último informe del CNAS recomienda que el Pentágono y el Congreso trabajen para fomentar la base industrial de aviones no tripulados tanto comerciales como militares «para ampliar la producción y crear una capacidad de aumento» que permita reemplazar rápidamente los aviones no tripulados perdidos en un futuro conflicto. En lo que respecta a Ucrania, el Pentágono ha confiado en programas de adquisición plurianuales y de grandes lotes para obtener municiones de grandes «proveedores primarios» y «proporcionar a la industria la estabilidad que necesita para ampliar su capacidad de producción». Según el informe 2023 del CNAS, la iniciativa Replicator está diseñada explícitamente no sólo para proporcionar más estabilidad a los fabricantes de drones, sino también para atraer a actores «no tradicionales» de la industria de defensa, como empresas de nueva creación como Anduril o el fabricante de barcos para drones Saronic, que recientemente recibió 175 millones de dólares en financiación de serie B para ampliar su capacidad de fabricación.

Replicator «proporciona al sector comercial una señal de demanda que permite a las empresas realizar inversiones en la creación de capacidad, fortaleciendo tanto la cadena de suministro como la base industrial», según la Unidad de Innovación de Defensa, el órgano del Pentágono responsable de capitalizar las tecnologías comerciales emergentes. «Las inversiones de Replicator incentivan a los actores tradicionales y no tradicionales de la industria para que entreguen volúmenes récord de sistemas autónomos que pueden ser utilizados en todos los dominios, en línea con el ambicioso calendario establecido por el subsecretario de Defensa».

«Todo se reduce a los contratos, donde Replicator puede tener un mayor impacto es donde el Pentágono compra algo que conserva durante unos años antes de adquirir algo nuevo para una misión diferente, de modo que el Departamento de Defensa no mantiene un sistema en su inventario durante décadas. Para impulsar la innovación y proporcionar las capacidades que se necesitan, es necesario establecer esas prácticas, conseguir esos contratos y destinar el dinero suficiente para que haya competencia y resistencia en la industria», concluye Pettyjohn.

No está claro si Estados Unidos estará realmente preparado para defender Taiwán cuando llegue el momento; como dijo el legendario comandante militar prusiano Helmuth von Moltke, «ningún plan sobrevive al primer contacto con el enemigo», pero con la preparación, la financiación y la formación adecuadas y un poco de suerte, el Pentágono y sus socios taiwaneses podrían acabar echando por tierra los supuestos planes de invasión de China inundando la zona de drones letales.

La guerra es un infierno, pero cuando se produzca el próximo gran conflicto en el Indo-Pacífico, Estados Unidos quiere garantizar que será un auténtico infierno, al menos para los militares chinos.

Artículo publicado originalmente en WIRED. Adaptado por Alondra Flores.