CVE-2024-27730
Jue, 15/08/2024 – 19:15
CVE-2024-27730
CVE-2024-27730
Jue, 15/08/2024 – 19:15
CVE-2024-27730
CVE-2024-27729
Jue, 15/08/2024 – 19:15
CVE-2024-27729
CVE-2024-27728
Jue, 15/08/2024 – 19:15
CVE-2024-27728
CVE-2024-25633
Jue, 15/08/2024 – 19:15
CVE-2024-25633
CVE-2024-42757
Jue, 15/08/2024 – 19:15
CVE-2024-42757
CVE-2024-42476
Jue, 15/08/2024 – 19:15
CVE-2024-42476
CVE-2024-42475
Jue, 15/08/2024 – 19:15
CVE-2024-42475
CVE-2024-42472
Jue, 15/08/2024 – 19:15
CVE-2024-42472
When `persistent=subdir` is used in the application permissions (represented as `–persist=subdir` in the command-line interface), that means that an application which otherwise doesn't have access to the real user home directory will see an empty home directory with a writeable subdirectory `subdir`. Behind the scenes, this directory is actually a bind mount and the data is stored in the per-application directory as `~/.var/app/$APPID/subdir`. This allows existing apps that are not aware of the per-application directory to still work as intended without general home directory access.
However, the application does have write access to the application directory `~/.var/app/$APPID` where this directory is stored. If the source directory for the `persistent`/`–persist` option is replaced by a symlink, then the next time the application is started, the bind mount will follow the symlink and mount whatever it points to into the sandbox.
Partial protection against this vulnerability can be provided by patching Flatpak using the patches in commits ceec2ffc and 98f79773. However, this leaves a race condition that could be exploited by two instances of a malicious app running in parallel. Closing the race condition requires updating or patching the version of bubblewrap that is used by Flatpak to add the new `–bind-fd` option using the patch and then patching Flatpak to use it. If Flatpak has been configured at build-time with `-Dsystem_bubblewrap=bwrap` (1.15.x) or `–with-system-bubblewrap=bwrap` (1.14.x or older), or a similar option, then the version of bubblewrap that needs to be patched is a system copy that is distributed separately, typically `/usr/bin/bwrap`. This configuration is the one that is typically used in Linux distributions. If Flatpak has been configured at build-time with `-Dsystem_bubblewrap=` (1.15.x) or with `–without-system-bubblewrap` (1.14.x or older), then it is the bundled version of bubblewrap that is included with Flatpak that must be patched. This is typically installed as `/usr/libexec/flatpak-bwrap`. This configuration is the default when building from source code.
For the 1.14.x stable branch, these changes are included in Flatpak 1.14.10. The bundled version of bubblewrap included in this release has been updated to 0.6.3. For the 1.15.x development branch, these changes are included in Flatpak 1.15.10. The bundled version of bubblewrap in this release is a Meson "wrap" subproject, which has been updated to 0.10.0. The 1.12.x and 1.10.x branches will not be updated for this vulnerability. Long-term support OS distributions should backport the individual changes into their versions of Flatpak and bubblewrap, or update to newer versions if their stability policy allows it. As a workaround, avoid using applications using the `persistent` (`–persist`) permission.
CVE-2024-43357
Jue, 15/08/2024 – 19:15
CVE-2024-43357
The internal async generator machinery calls regular promise resolver functions on IteratorResult (`{ done, value }`) objects that it creates, assuming that the IteratorResult objects will not be then-ables. Unfortunately, these IteratorResult objects inherit from `Object.prototype`, so these IteratorResult objects can be made then-able, triggering arbitrary behaviour, including re-entering the async generator machinery in a way that violates some internal invariants.
The ECMAScript specification is a living standard and the issue has been addressed at the time of this advisory's public disclosure. JavaScript engine implementors should refer to the latest specification and update their implementations to comply with the `AsyncGenerator` section.
## References
– https://github.com/tc39/ecma262/commit/1e24a286d0a327d08e1154926b3ee79820232727
– https://bugzilla.mozilla.org/show_bug.cgi?id=1901411
– https://github.com/boa-dev/boa/security/advisories/GHSA-f67q-wr6w-23jq
– https://bugs.webkit.org/show_bug.cgi?id=275407
– https://issues.chromium.org/issues/346692561
– https://www.cve.org/CVERecord?id=CVE-2024-7652
Algunos comentarios, como uno que utilizaba un insulto racial para referirse al diputado Crockett, parecen violar claramente las normas comunitarias de Meta. Otros, como uno dirigido a la vicepresidenta Harris en el que decía «¡Vete a la frontera, pedazo de mierda inútil!», son lo que los investigadores definen como «tóxicos», no necesariamente una amenaza directa o un insulto, sino un «comentario grosero, irrespetuoso o irrazonable que puede hacer que alguien abandone un debate». Aunque puede que no lleguen a utilizar un lenguaje sexual o racial que justifique su eliminación, los comentarios tóxicos forman parte de lo que, según los investigadores, crea un entorno hostil para las mujeres políticas en Internet. Según el análisis del CCDH, aproximadamente uno de cada 25 comentarios contenía contenido tóxico.
Ahmed afirma que esto crea un entorno en el que «cualquier mujer que quiera acceder a un cargo público tiene que ser capaz de hacer frente a abusos extremos», lo que crea una «barrera cada vez mayor para la entrada de las mujeres» en la política.
En todo el mundo, las mujeres políticas se enfrentan constantemente a amenazas y acoso, tanto en la red como fuera de ella. Un informe del Instituto para el Diálogo Estratégico que analizaba los abusos en línea dirigidos a políticos en Twitter y Facebook durante las elecciones estadounidenses de 2020 descubrió que las mujeres políticas eran más propensas a sufrir abusos en Twitter. En Facebook concretamente, el informe descubrió que «las mujeres demócratas recibieron diez veces más comentarios abusivos que sus homólogos masculinos, mientras que las mujeres republicanas recibieron el doble de comentarios abusivos que sus compañeros republicanos masculinos.»
Este abuso tiene efectos concretos. En 2019, grupos de mujeres del Reino Unido destacaron que varias parlamentarias decidieron no presentarse a la reelección alegando abusos. Un estudio de 2020 sobre el abuso en línea contra políticos canadienses descubrió que «algunas mujeres indicaron que el gendertrolling podría impedirles presentarse (de nuevo) en el futuro» Y en un estudio de 2021, las mujeres políticas en el Reino Unido informaron sentirse «significativamente más inseguras» que sus homólogos masculinos, debido a diversas formas de acoso, de las cuales el abuso en las redes sociales fue una de las más comunes.
Las mujeres políticas de color, como Harris, son especialmente propensas a sufrir abusos en internet, y lo hacen en mayor proporción. Un comentario identificado por el CCDH en el Instagram de Harris decía: «No queremos negros a nuestro alrededor, sean quienes sean».
Un informe de 2022 del Centro para la Democracia y la Tecnología encontró que durante las elecciones de 2020, las mujeres de color que se postulaban para un cargo tenían más probabilidades de ser blanco de desinformación que cualquier otro grupo. «Estamos viendo esto con Harris y con otras mujeres políticas de color, pero Harris en particular ahora», refiere Dhanaraj Thakur, director de investigación de CDT.
Meta es consciente de que sus plataformas pueden ser utilizadas para abusar y atacar a las mujeres políticas. Desde 2021, tiene una sección independiente en su sitio web titulada «Seguridad en línea para las mujeres en el gobierno», que anima a los usuarios a denunciar contenidos odiosos o abusivos. La página también incluye un enlace a la guía #SheLeads (ella lidera) de la compañía, que dice que fue «creada para proporcionar a las mujeres líderes consejos de seguridad y mejores prácticas para protegerse en nuestra plataforma». El enlace dirige a una página que dice «URL signature expired» (la firma de URL ha expirado).
Cindy Southworth, responsable de seguridad de las mujeres en Meta, declara: «Proporcionamos herramientas para que cualquiera pueda controlar quién puede comentar sus publicaciones, filtrar automáticamente comentarios, frases o emojis ofensivos y ocultar automáticamente los comentarios de las personas que no las siguen. Trabajamos con cientos de socios de seguridad en todo el mundo para mejorar continuamente nuestras políticas, herramientas, detección y aplicación, y revisaremos el informe de CCDH y tomaremos medidas sobre cualquier contenido que infrinja nuestras políticas.»