CVE-2024-45041

CVE-2024-45041

Título es
CVE-2024-45041

Lun, 09/09/2024 – 15:15

Tipo
CWE-269

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-45041

Descripción en
External Secrets Operator is a Kubernetes operator that integrates external secret management systems. The external-secrets has a deployment called default-external-secrets-cert-controller, which is bound with a same-name ClusterRole. This ClusterRole has "get/list" verbs of secrets resources. It also has path/update verb of validatingwebhookconfigurations resources. This can be used to abuse the SA token of the deployment to retrieve or get ALL secrets in the whole cluster, capture and log all data from requests attempting to update Secrets, or make a webhook deny all Pod create and update requests. This vulnerability is fixed in 0.10.2.

09/09/2024
09/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

Algo que debes saber sobre Grok AI y tu privacidad

Grok se apresuró a responder a este problema. El chatbot de inteligencia artificial dirá ahora: «para obtener información precisa y actualizada sobre las elecciones estadounidenses de 2024, visite Vote.gov», cuando se le hagan preguntas relacionadas con las elecciones, según The Verge.

Pero XAI también deja claro que es el usuario quien debe juzgar la precisión de la IA: «Esta es una versión temprana de Grok», dice xAI en su página de ayuda. Por lo tanto, el chatbot puede «proporcionar con confianza información incorrecta, resumir mal o pasar por alto algún contexto», advierte xAI.

«Le animamos a verificar de forma independiente cualquier información que reciba», añade xAI. «Por favor, no comparta datos personales o cualquier información sensible y confidencial en sus conversaciones con Grok».

La recopilación de datos de Grok

Las enormes cantidades de datos recopilados son otra área de preocupación, especialmente porque automáticamente se opta por compartir tus datos X con Grok, ya sea que uses el asistente de IA o no.

La página del Centro de Ayuda de Grok de xAI describe cómo xAI «puede utilizar tus mensajes X, así como tus interacciones de usuario, entradas y resultados con Grok para fines de formación y ajuste».

La estrategia de entrenamiento de Grok conlleva «importantes implicaciones para la privacidad», de acuerdo con Marijus Briedis, director de tecnología de NordVPN. Más allá de la «capacidad de la herramienta de IA para acceder y analizar información potencialmente privada o sensible», añade Briedis, existen preocupaciones adicionales «dada la capacidad de la IA para generar imágenes y contenidos con una moderación mínima.»

Mientras que Grok-1 fue entrenado en «datos disponibles públicamente hasta el tercer trimestre de 2023», pero no fue «pre-entrenado con datos X (incluyendo posts públicos X)», según la compañía, Grok-2 ha sido entrenado explícitamente en todas las «publicaciones, interacciones, entradas y resultados» de los usuarios X, con todos siendo automáticamente opted in, advierte Angus Allan, gerente sénior de producto en CreateFuture, una consultora digital especializada en el despliegue de IA.

El Reglamento General de Protección de Datos (RGPD) de la Unión Europea es explícito sobre la obtención del consentimiento para utilizar datos personales. En este caso, xAI puede haber «ignorado esto para Grok», dice Allan.

Esto llevó a los reguladores de la Unión Europea a presionar a X para que suspendiera la formación de usuarios de la Unión Europea a los pocos días del lanzamiento de Grok-2 el mes pasado.

El incumplimiento de las leyes de privacidad de los usuarios podría dar lugar a un escrutinio regulador en otros países. Aunque EE UU no tiene un régimen similar, la Comisión Federal de Comercio ya ha multado a Twitter por no respetar las preferencias de privacidad de los usuarios, señala Allan.

Exclusión voluntaria

Una forma de evitar que tus mensajes se utilicen para entrenar a Grok es hacer que tu cuenta sea privada. También puedes utilizar la configuración de privacidad de X para excluirte de futuros entrenamientos de modelos.

Para ello, selecciona Privacidad y seguridad > Compartir datos y personalización > Grok. En Compartir datos, desmarca la opción que dice: «Permitir que tus publicaciones, así como tus interacciones, entradas y resultados con Grok se utilicen para el entrenamiento y el ajuste».

Incluso si ya no utilizas X, vale la pena entrar y desactivar la opción. Allan advierte de que X puede utilizar todas tus publicaciones anteriores, incluidas las imágenes, para entrenar futuros modelos, a menos que le digas explícitamente que no lo haga.

Según xAI, es posible borrar todo tu historial de conversaciones de una sola vez. Las conversaciones borradas se eliminan de sus sistemas en 30 días, a menos que la empresa tenga que conservarlas por motivos legales o de seguridad.

Nadie sabe cómo evolucionará Grok, pero a juzgar por sus acciones hasta ahora, merece la pena seguir de cerca al asistente de inteligencia artificial de Musk. Para mantener tus datos a salvo, sé consciente del contenido que compartes en X y mantente informado sobre cualquier actualización de sus políticas de privacidad o condiciones de servicio, dice Briedis. «Participar en estas configuraciones te permite controlar mejor cómo se maneja tu información y cómo es potencialmente utilizada por tecnologías como Grok».

Artículo originalmente publicado en WIRED Italia. Adaptado por Mauricio Serfatty Godoy.

CVE-2024-40643

CVE-2024-40643

Título es
CVE-2024-40643

Lun, 09/09/2024 – 15:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-40643

Descripción en
Joplin is a free, open source note taking and to-do application. Joplin fails to take into account that "

09/09/2024
09/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
9.60

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

CVE-2024-8373

CVE-2024-8373

Título es
CVE-2024-8373

Lun, 09/09/2024 – 15:15

Tipo
CWE-791

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8373

Descripción en
Improper sanitization of the value of the '[srcset]' attribute in '' HTML elements in AngularJS allows attackers to bypass common image source restrictions, which can also lead to a form of Content Spoofing https://owasp.org/www-community/attacks/Content_Spoofing .

This issue affects all versions of AngularJS.

Note:
The AngularJS project is End-of-Life and will not receive any updates to address this issue. For more information see here https://docs.angularjs.org/misc/version-support-status .

09/09/2024
09/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
4.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-8372

CVE-2024-8372

Título es
CVE-2024-8372

Lun, 09/09/2024 – 15:15

Tipo
CWE-1289

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8372

Descripción en
Improper sanitization of the value of the '[srcset]' attribute in AngularJS allows attackers to bypass common image source restrictions, which can also lead to a form of Content Spoofing https://owasp.org/www-community/attacks/Content_Spoofing .

This issue affects AngularJS versions 1.3.0-rc.4 and greater.

Note:
The AngularJS project is End-of-Life and will not receive any updates to address this issue. For more information see here https://docs.angularjs.org/misc/version-support-status .

09/09/2024
09/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
4.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-8042

CVE-2024-8042

Título es
CVE-2024-8042

Lun, 09/09/2024 – 15:15

Tipo
CWE-862

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8042

Descripción en
Rapid7 Insight Platform versions between November 2019 and August 14, 2024 suffer from missing authorization issues whereby an attacker can intercept local requests to set the name and description of a new user group. This could potentially lead to an empty user group being added to the incorrect customer. This vulnerability is remediated as of August 14, 2024.

09/09/2024
09/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:A/AC:H/PR:H/UI:R/S:C/C:N/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
2.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW

Enviar en el boletín
Off

CVE-2024-37288

CVE-2024-37288

Título es
CVE-2024-37288

Lun, 09/09/2024 – 09:15

Tipo
CWE-502

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-37288

Descripción es
Un problema de deserialización en Kibana puede provocar la ejecución de código arbitrario cuando Kibana intenta analizar un documento YAML que contiene un payload manipulado. Este problema solo afecta a los usuarios que utilizan las herramientas de inteligencia artificial integradas de Elastic Security https://www.elastic.co/guide/en/security/current/ai-for-security.html y han configurado un conector de Amazon Bedrock https://www.elastic.co/guide/en/security/current/assistant-connect-to-bedrock.html

Descripción en
A deserialization issue in Kibana can lead to arbitrary code execution when Kibana attempts to parse a YAML document containing a crafted payload. This issue only affects users that use Elastic Security’s built-in AI tools https://www.elastic.co/guide/en/security/current/ai-for-security.html  and have configured an Amazon Bedrock connector https://www.elastic.co/guide/en/security/current/assistant-connect-to-bedrock.html .

09/09/2024
09/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
9.90

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

CVE-2024-6572

CVE-2024-6572

Título es
CVE-2024-6572

Lun, 09/09/2024 – 10:15

Tipo
CWE-322

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6572

Descripción en
Improper host key checking in active check 'Check SFTP Service' and special agent 'VNX quotas and filesystem' in Checkmk before Checkmk 2.3.0p15, 2.2.0p33, 2.1.0p48 and 2.0.0 (EOL) allows man-in-the-middle attackers to intercept traffic

09/09/2024
09/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-8601

CVE-2024-8601

Título es
CVE-2024-8601

Lun, 09/09/2024 – 10:15

Tipo
CWE-639

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8601

Descripción en
This vulnerability exists in TechExcel Back Office Software versions prior to 1.0.0 due to improper access controls on certain API endpoints. An authenticated remote attacker could exploit this vulnerability by manipulating a parameter through API request URL which could lead to unauthorized access to sensitive information belonging to other users.

09/09/2024
09/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-45625

CVE-2024-45625

Título es
CVE-2024-45625

Lun, 09/09/2024 – 05:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-45625

Descripción en
Cross-site scripting vulnerability exists in Forminator versions prior to 1.34.1. If this vulnerability is exploited, an arbitrary script may be executed on the web browser of the user who follows a crafted URL and accesses the webpage with the web form created by Forminator.

09/09/2024
09/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off