CVE-2024-27730

CVE-2024-27730

Título es
CVE-2024-27730

Jue, 15/08/2024 – 19:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-27730

Descripción en
Insecure Permissions vulnerability in Friendica v.2023.12 allows a remote attacker to obtain sensitive information and execute arbitrary code via the cid parameter of the calendar event feature.

15/08/2024
15/08/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-27729

CVE-2024-27729

Título es
CVE-2024-27729

Jue, 15/08/2024 – 19:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-27729

Descripción en
Cross Site Scripting vulnerability in Friendica v.2023.12 allows a remote attacker to obtain sensitive information via the location parameter of the calendar event feature.

15/08/2024
15/08/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-27728

CVE-2024-27728

Título es
CVE-2024-27728

Jue, 15/08/2024 – 19:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-27728

Descripción en
Cross Site Scripting vulnerability in Friendica v.2023.12 allows a remote attacker to obtain sensitive information via the text parameter of the babel debug feature.

15/08/2024
15/08/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-25633

CVE-2024-25633

Título es
CVE-2024-25633

Jue, 15/08/2024 – 19:15

Tipo
CWE-266

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-25633

Descripción en
eLabFTW is an open source electronic lab notebook for research labs. In an eLabFTW system, one might disallow user creation except for by system administrators, administrators and trusted services. If administrators are allowed to create new users (which is the default), the vulnerability allows any user to create new users in teams where they are members. The new users are automatically validated and administrators are not notified. This can allow a user with permanent or temporary access to a user account or API key to maintain persistence in an eLabFTW system. Additionally, it allows the user to create separate account under a different name, and produce misleading revision histories. No additional privileges are granted to the new user. Users should upgrade to version 5.0.0 to receive a patch. As a workaround, disabling both options that allow *administrators* to create users will provide a mitigation.

15/08/2024
15/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-42757

CVE-2024-42757

Título es
CVE-2024-42757

Jue, 15/08/2024 – 19:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-42757

Descripción en
Command injection vulnerability in Asus RT-N15U 3.0.0.4.376_3754 allows a remote attacker to execute arbitrary code via the netstat function page.

15/08/2024
15/08/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-42476

CVE-2024-42476

Título es
CVE-2024-42476

Jue, 15/08/2024 – 19:15

Tipo
CWE-352

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-42476

Descripción en
In the OAuth library for nim prior to version 0.11, the Authorization Code grant and Implicit grant both rely on the `state` parameter to prevent cross-site request forgery (CSRF) attacks where a resource owner might have their session associated with protected resources belonging to an attacker. When this project is compiled with certain compiler flags set, it is possible that the `state` parameter will not be checked at all, creating a CSRF vulnerability. Version 0.11 checks the `state` parameter using a regular `if` statement or `doAssert` instead of relying on a plain `assert`. `doAssert` will achieve the desired behavior even if `-d:danger` or `–assertions:off` is set.

15/08/2024
15/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-42475

CVE-2024-42475

Título es
CVE-2024-42475

Jue, 15/08/2024 – 19:15

Tipo
CWE-330

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-42475

Descripción en
In the OAuth library for nim prior to version 0.11, the `state` values generated by the `generateState` function do not have sufficient entropy. These can be successfully guessed by an attacker allowing them to perform a CSRF vs a user, associating the user's session with the attacker's protected resources. While `state` isn't exactly a cryptographic value, it should be generated in a cryptographically secure way. `generateState` should be using a CSPRNG. Version 0.11 modifies the `generateState` function to generate `state` values of at least 128 bits of entropy while using a CSPRNG.

15/08/2024
15/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-42472

CVE-2024-42472

Título es
CVE-2024-42472

Jue, 15/08/2024 – 19:15

Tipo
CWE-74

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-42472

Descripción en
Flatpak is a Linux application sandboxing and distribution framework. Prior to versions 1.14.0 and 1.15.10, a malicious or compromised Flatpak app using persistent directories could access and write files outside of what it would otherwise have access to, which is an attack on integrity and confidentiality.

When `persistent=subdir` is used in the application permissions (represented as `–persist=subdir` in the command-line interface), that means that an application which otherwise doesn't have access to the real user home directory will see an empty home directory with a writeable subdirectory `subdir`. Behind the scenes, this directory is actually a bind mount and the data is stored in the per-application directory as `~/.var/app/$APPID/subdir`. This allows existing apps that are not aware of the per-application directory to still work as intended without general home directory access.

However, the application does have write access to the application directory `~/.var/app/$APPID` where this directory is stored. If the source directory for the `persistent`/`–persist` option is replaced by a symlink, then the next time the application is started, the bind mount will follow the symlink and mount whatever it points to into the sandbox.

Partial protection against this vulnerability can be provided by patching Flatpak using the patches in commits ceec2ffc and 98f79773. However, this leaves a race condition that could be exploited by two instances of a malicious app running in parallel. Closing the race condition requires updating or patching the version of bubblewrap that is used by Flatpak to add the new `–bind-fd` option using the patch and then patching Flatpak to use it. If Flatpak has been configured at build-time with `-Dsystem_bubblewrap=bwrap` (1.15.x) or `–with-system-bubblewrap=bwrap` (1.14.x or older), or a similar option, then the version of bubblewrap that needs to be patched is a system copy that is distributed separately, typically `/usr/bin/bwrap`. This configuration is the one that is typically used in Linux distributions. If Flatpak has been configured at build-time with `-Dsystem_bubblewrap=` (1.15.x) or with `–without-system-bubblewrap` (1.14.x or older), then it is the bundled version of bubblewrap that is included with Flatpak that must be patched. This is typically installed as `/usr/libexec/flatpak-bwrap`. This configuration is the default when building from source code.

For the 1.14.x stable branch, these changes are included in Flatpak 1.14.10. The bundled version of bubblewrap included in this release has been updated to 0.6.3. For the 1.15.x development branch, these changes are included in Flatpak 1.15.10. The bundled version of bubblewrap in this release is a Meson "wrap" subproject, which has been updated to 0.10.0. The 1.12.x and 1.10.x branches will not be updated for this vulnerability. Long-term support OS distributions should backport the individual changes into their versions of Flatpak and bubblewrap, or update to newer versions if their stability policy allows it. As a workaround, avoid using applications using the `persistent` (`–persist`) permission.

15/08/2024
15/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
10.00

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

CVE-2024-43357

CVE-2024-43357

Título es
CVE-2024-43357

Jue, 15/08/2024 – 19:15

Tipo
CWE-248

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-43357

Descripción en
ECMA-262 is the language specification for the scripting language ECMAScript. A problem in the ECMAScript (JavaScript) specification of async generators, introduced by a May 2021 spec refactor, may lead to mis-implementation in a way that could present as a security vulnerability, such as type confusion and pointer dereference.

The internal async generator machinery calls regular promise resolver functions on IteratorResult (`{ done, value }`) objects that it creates, assuming that the IteratorResult objects will not be then-ables. Unfortunately, these IteratorResult objects inherit from `Object.prototype`, so these IteratorResult objects can be made then-able, triggering arbitrary behaviour, including re-entering the async generator machinery in a way that violates some internal invariants.

The ECMAScript specification is a living standard and the issue has been addressed at the time of this advisory's public disclosure. JavaScript engine implementors should refer to the latest specification and update their implementations to comply with the `AsyncGenerator` section.

## References

– https://github.com/tc39/ecma262/commit/1e24a286d0a327d08e1154926b3ee79820232727
– https://bugzilla.mozilla.org/show_bug.cgi?id=1901411
– https://github.com/boa-dev/boa/security/advisories/GHSA-f67q-wr6w-23jq
– https://bugs.webkit.org/show_bug.cgi?id=275407
– https://issues.chromium.org/issues/346692561
– https://www.cve.org/CVERecord?id=CVE-2024-7652

15/08/2024
15/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.60

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

Instagram no protege a las mujeres políticas del discurso de odio

Algunos comentarios, como uno que utilizaba un insulto racial para referirse al diputado Crockett, parecen violar claramente las normas comunitarias de Meta. Otros, como uno dirigido a la vicepresidenta Harris en el que decía «¡Vete a la frontera, pedazo de mierda inútil!», son lo que los investigadores definen como «tóxicos», no necesariamente una amenaza directa o un insulto, sino un «comentario grosero, irrespetuoso o irrazonable que puede hacer que alguien abandone un debate». Aunque puede que no lleguen a utilizar un lenguaje sexual o racial que justifique su eliminación, los comentarios tóxicos forman parte de lo que, según los investigadores, crea un entorno hostil para las mujeres políticas en Internet. Según el análisis del CCDH, aproximadamente uno de cada 25 comentarios contenía contenido tóxico.

Contra la participación

Ahmed afirma que esto crea un entorno en el que «cualquier mujer que quiera acceder a un cargo público tiene que ser capaz de hacer frente a abusos extremos», lo que crea una «barrera cada vez mayor para la entrada de las mujeres» en la política.

En todo el mundo, las mujeres políticas se enfrentan constantemente a amenazas y acoso, tanto en la red como fuera de ella. Un informe del Instituto para el Diálogo Estratégico que analizaba los abusos en línea dirigidos a políticos en Twitter y Facebook durante las elecciones estadounidenses de 2020 descubrió que las mujeres políticas eran más propensas a sufrir abusos en Twitter. En Facebook concretamente, el informe descubrió que «las mujeres demócratas recibieron diez veces más comentarios abusivos que sus homólogos masculinos, mientras que las mujeres republicanas recibieron el doble de comentarios abusivos que sus compañeros republicanos masculinos.»

Este abuso tiene efectos concretos. En 2019, grupos de mujeres del Reino Unido destacaron que varias parlamentarias decidieron no presentarse a la reelección alegando abusos. Un estudio de 2020 sobre el abuso en línea contra políticos canadienses descubrió que «algunas mujeres indicaron que el gendertrolling podría impedirles presentarse (de nuevo) en el futuro» Y en un estudio de 2021, las mujeres políticas en el Reino Unido informaron sentirse «significativamente más inseguras» que sus homólogos masculinos, debido a diversas formas de acoso, de las cuales el abuso en las redes sociales fue una de las más comunes.

Las mujeres políticas de color, como Harris, son especialmente propensas a sufrir abusos en internet, y lo hacen en mayor proporción. Un comentario identificado por el CCDH en el Instagram de Harris decía: «No queremos negros a nuestro alrededor, sean quienes sean».

Un informe de 2022 del Centro para la Democracia y la Tecnología encontró que durante las elecciones de 2020, las mujeres de color que se postulaban para un cargo tenían más probabilidades de ser blanco de desinformación que cualquier otro grupo. «Estamos viendo esto con Harris y con otras mujeres políticas de color, pero Harris en particular ahora», refiere Dhanaraj Thakur, director de investigación de CDT.

¿Y qué hace Meta?

Meta es consciente de que sus plataformas pueden ser utilizadas para abusar y atacar a las mujeres políticas. Desde 2021, tiene una sección independiente en su sitio web titulada «Seguridad en línea para las mujeres en el gobierno», que anima a los usuarios a denunciar contenidos odiosos o abusivos. La página también incluye un enlace a la guía #SheLeads (ella lidera) de la compañía, que dice que fue «creada para proporcionar a las mujeres líderes consejos de seguridad y mejores prácticas para protegerse en nuestra plataforma». El enlace dirige a una página que dice «URL signature expired» (la firma de URL ha expirado).

Cindy Southworth, responsable de seguridad de las mujeres en Meta, declara: «Proporcionamos herramientas para que cualquiera pueda controlar quién puede comentar sus publicaciones, filtrar automáticamente comentarios, frases o emojis ofensivos y ocultar automáticamente los comentarios de las personas que no las siguen. Trabajamos con cientos de socios de seguridad en todo el mundo para mejorar continuamente nuestras políticas, herramientas, detección y aplicación, y revisaremos el informe de CCDH y tomaremos medidas sobre cualquier contenido que infrinja nuestras políticas.»