CVE-2024-40865

CVE-2024-40865

Título es
CVE-2024-40865

Vie, 06/09/2024 – 02:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-40865

Descripción en
The issue was addressed by suspending Persona when the virtual keyboard is active. This issue is fixed in visionOS 1.3. Inputs to the virtual keyboard may be inferred from Persona.

06/09/2024
06/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-8480

CVE-2024-8480

Título es
CVE-2024-8480

Vie, 06/09/2024 – 04:15

Tipo
CWE-862

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8480

Descripción en
The Image Optimizer, Resizer and CDN – Sirv plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the 'sirv_save_prevented_sizes' function in all versions up to, and including, 7.2.7. This makes it possible for authenticated attackers, with Contributor-level access and above, to exploit the 'sirv_upload_file_by_chunks_callback' function, which lacks proper file type validation, allowing attackers to upload arbitrary files on the affected site's server which may make remote code execution possible.

06/09/2024
06/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-8247

CVE-2024-8247

Título es
CVE-2024-8247

Vie, 06/09/2024 – 04:15

Tipo
CWE-269

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8247

Descripción en
The Newsletters plugin for WordPress is vulnerable to privilege escalation in all versions up to, and including, 4.9.9.2. This is due to the plugin not restricting what user meta can be updated as screen options. This makes it possible for authenticated attackers, with subscriber-level access and above, to escalate their privileges to that of an administrator. Please note that this only affects users with access to edit/update screen options, which means an administrator would need to grant lower privilege users with access to the Sent & Draft Emails page of the plugin in order for this to be exploited.

06/09/2024
06/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-7415

CVE-2024-7415

Título es
CVE-2024-7415

Vie, 06/09/2024 – 04:15

Tipo
CWE-200

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-7415

Descripción en
The Remember Me Controls plugin for WordPress is vulnerable to Full Path Disclosure in all versions up to, and including, 2.0.1. This is due to the plugin allowing direct access to the bootstrap.php file which has display_errors on. This makes it possible for unauthenticated attackers to retrieve the full path of the web application, which can be used to aid other attacks. The information displayed is not useful on its own, and requires another vulnerability to be present for damage to an affected website.

06/09/2024
06/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-24759

CVE-2024-24759

Título es
CVE-2024-24759

Jue, 05/09/2024 – 17:15

Tipo
CWE-918

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-24759

Descripción en
MindsDB is a platform for building artificial intelligence from enterprise data. Prior to version 23.12.4.2, a threat actor can bypass the server-side request forgery protection on the whole website with DNS Rebinding. The vulnerability can also lead to denial of service. Version 23.12.4.2 contains a patch.

05/09/2024
05/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
9.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

Por qué es tan difícil bloquear totalmente X en Brasil

X es prácticamente inaccesible en Brasil desde el sábado, después de que el Tribunal Supremo del país ordenara a todos los proveedores de servicios móviles y de internet que bloquearan la plataforma. La orden judicial se produjo tras una disputa de meses entre el juez Alexandre de Moraes y el CEO de X , Elon Musk, sobre las políticas de desinformación, incitación al odio y moderación de la empresa.

Con los 215 millones de habitantes de Brasil, su madura democracia, su extenso territorio y más de 20,000 proveedores de servicios de internet (ISP, por sus siglas en inglés), bloquear una plataforma web en el país sudamericano no es simple. Y aunque los mayores ISP han aplicado la prohibición, muchos siguen esforzándose por cumplir la orden, lo que deja un mosaico de accesos al sitio.

«Brasil ha avanzado en el bloqueo de X en los principales proveedores de internet, pero nuestra telemetría indica que hay una larga cola de ISP locales y regionales donde el servicio sigue disponible», señala Isik Mater, director de investigación del grupo de análisis de la censura en Internet NetBlocks.

El Observatorio Abierto de Interferencias en la Red informó que se produjo una progresión similar cuando la Policía Federal de Brasil obtuvo una orden judicial en abril de 2023 para que los ISP bloquearan la plataforma de comunicación Telegram porque no compartía totalmente la información sobre los usuarios implicados en chats de grupos neonazis. Algunos ISP grandes empezaron a bloquear Telegram inmediatamente. “Sin embargo, el bloqueo no fue implementado por todos los ISP de Brasil, ni de la misma manera. Esto sugiere falta de coordinación entre proveedores, y que cada ISP implementó el bloqueo de forma autónoma”, escribió el grupo.


Starlink Brasil
Starlink cumple orden judicial y bloquea X en Brasil

Starlink ha informado que inició un proceso legal en la Corte Suprema de Brasil para contener la “la grave ilegalidad” de la orden judicial que mantiene congelados sus activos financieros.


Bloqueos similares

Una progresión similar se ha producido con la prohibición de X. Los 20,000 ISP de Brasil producen un mercado notablemente competitivo, pero solo unos pocos tienen infraestructura en todo el país. Alrededor del 40% son pequeños proveedores regionales con 5,000 clientes o menos. La organización de defensa de los derechos humanos y digitales Freedom House califica la libertad de internet en Brasil de «parcialmente libre» y tiende a ser más restrictiva, debido a los amplios esfuerzos del país por reprimir la desinformación política en los últimos años y a la prohibición de Telegram durante tres días. Brasil también bloqueó la plataforma de comunicación segura WhatsApp en diciembre de 2015 y de nuevo en mayo de 2016 porque no respondió a solicitudes de datos similares. La Agencia Nacional de Telecomunicaciones de Brasil (ANATEL) no respondió a las múltiples solicitudes de comentarios de WIRED.

A diferencia de países como Rusia, Irán y China, actualmente no existe un aparato legal o una infraestructura técnica mediante la cual el gobierno brasileño pueda restringir de forma sistemática y exhaustiva el acceso a determinados sitios web o plataformas en línea, o imponer cortes de conectividad a sus ciudadanos.


Nicolás Maduro X
Maduro impone un bloqueo de 10 días a X en Venezuela: ¿cómo evadirlo con una VPN?

Nicolás Maduro ha bloqueado temporalmente una de las redes sociales que han servido a los venezolanos para eludir las limitaciones mediáticas. Expertos recomiendan el uso de VPN.


Filtrado DNS y otras alternativas

Los informes indican que muchos ISP brasileños que han aplicado la prohibición están utilizando la técnica conocida como «filtrado DNS» para bloquear el acceso a X. El sistema de nombres de dominio es la guía telefónica de internet para buscar las direcciones IP asociadas a URL como: www.wired.com. Las consultas DNS se envían a un «solucionador» que realiza las búsquedas de direcciones IP, y los ISP las configuran para filtrar o bloquear las solicitudes de determinados sitios web.

Sin embargo, aplicaciones móviles como Android e iOS de X no dependen de DNS, por lo que el filtrado DNS por sí solo no es suficiente para bloquear todas las conexiones a una plataforma web. Algunos ISP brasileños también parecen estar utilizando el «sinkholing» de direcciones IP, es decir, redirigir el tráfico en línea a un servidor distinto del que los usuarios pretendían visitar, como forma de enviar al abismo el tráfico destinado a X.

«Vemos variaciones según el proveedor en Brasil, y ahora mismo parece que cada uno está probando lo suyo para ver qué funciona. Brasil tiene una infraestructura de red diversa, con muchas vías para que los datos entren y salgan del país, por lo que no existe ese punto de estrangulamiento centralizado y ese ‘interruptor de corte’ que vemos en algunos países de tendencia autoritaria.», comenta Mater, de NetBlocks.

El uso de VPN se ha disparado en Brasil esta semana bajo la prohibición como una forma de evitar los intentos de los ISP de bloquear X, pero la orden judicial de prohibición incluye una disposición que establece que las personas podrían ser multadas con 8,900 dólares al día por utilizar herramientas de elusión como las VPN.

Artículo originalmente publicado en WIRED. Adaptado por Alondra Flores.

Nace el primer tratado internacional sobre IA: la Unión Europea, Estados Unidos y Reino Unido ya lo han firmado

El primer tratado mundial jurídicamente vinculante sobre inteligencia artificial (IA) ya es una realidad. El acuerdo conocido como Framework Convention acaba de ser firmado por la Unión Europea, Estados Unidos, Reino Unido y seis países más. Su objetivo es garantizar que el desarrollo y uso de esta tecnología “sea plenamente compatible” con los derechos humanos, la democracia y los principios de legalidad.

El convenio fue elaborado por el Consejo de Europa (CDE), una organización internacional que promueve la democracia y la protección de las garantías individuales. Marija Pejčinović Burić, secretaria general de la entidad, asegura que el compromiso está diseñado para asegurar que el auge de la IA respete y no socave los estándares civiles que mantienen el equilibrio en la sociedad. “Es un texto sólido y equilibrado, fruto del enfoque abierto e inclusivo con el que se redactó. Se benefició de las perspectivas de múltiples expertos. Framework Convention es un tratado abierto con un alcance potencialmente mundial”, añade.


article image
¿Cómo logramos una IA más honesta, transparente y responsable?

Anna Peña, directora de Comunicación para Américas en Intel, reflexiona sobre los retos de la regulación de la inteligencia artificial.


¿Qué establece el primer tratado mundial sobre la IA?

El pacto ha sido también firmado por Andorra, Georgia, Islandia, Noruega, la República de Moldavia, San Marino e Israel. Los firmantes tendrán que ratificar el acuerdo individualmente. Cuando este proceso concluya, deberán pasar tres meses para que las disposiciones entren en vigor. A partir de ahora, cualquier otra nación interesada podrá sumarse a la iniciativa.

Los términos que incluye el escrito proporcionan un marco jurídico que abarca “todo el ciclo de vida de los sistemas IA” y obliga a los cosignatarios a cumplir ciertas normas de regulación y supervisión para mitigar posibles riesgos. Los preceptos fueron negociados por 46 Estados europeos y 11 países no miembros del bloque, incluidos México, Argentina, Canadá, Costa Rica, la Santa Sede, Uruguay y Perú.

Los países que participan en el Framework Convention se han comprometido a realizar evaluaciones “de manera iterativa” sobre las posibles amenazas que el uso de la IA puede representar para las garantías fundamentales, la democracia y el estado de derecho. Deberán establecer medidas preventivas y de mitigación al respecto, así como habilitar a las autoridades correspondientes para que “introduzcan prohibiciones o moratorias sobre determinadas aplicaciones de sistemas de inteligencia artificial”.

Los estatutos obligan a establecer mecanismos locales dedicados a documentar y poner a disposición del público la información más relevante sobre los sistemas de IA y su uso. Estos datos “deben ser suficientes” para que las personas puedan entender, al menos en términos generales, cómo funcionan y cómo se emplea en diferentes ámbitos sociales, políticos y de interés general. Si los usuarios consideran que las decisiones adoptadas mediante el uso de un algoritmo o “basadas sustancialmente en él” son injustas, discriminatorias o erróneas, deberán tener la posibilidad de presentar una reclamación.

El cumplimiento de estos mandatos estará vigilado por la Conferencia de las Partes de las Naciones Unidas. El órgano rector “facilitará la cooperación, incluso mediante audiencias públicas» para garantizar la aplicación efectiva del Framework Convention”.

Regular el desarrollo y uso de sistemas de IA se ha convertido en un asunto prioritario. Gobiernos de todo el mundo están evaluando diversas propuestas legislativas al respecto. El marco regulatorio impuesto por la Unión Europea es considerado como uno de los proyectos más sólidos. Hasta ahora, estas iniciativas parecen desarrollarse de manera aislada. Expertos anticipan que bajo dichas condiciones, el éxito de los esfuerzos está comprometido.

En marzo, la Asamblea General de las Naciones Unidas adoptó por unanimidad la primera resolución global no vinculante sobre inteligencia artificial. La resolución tiene como objetivo fomentar la protección de datos personales, mejorar las políticas de privacidad, garantizar un seguimiento estrecho de la IA para detectar riesgos potenciales y defender los derechos humanos. Surgió de una propuesta de Estados Unidos y recibió el respaldo de Rusia, China y otros 121 países.

CVE-2024-44587

CVE-2024-44587

Título es
CVE-2024-44587

Jue, 05/09/2024 – 14:15

Tipo
CWE-89

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-44587

Descripción en
itsourcecode Alton Management System 1.0 is vulnerable to SQL Injection in /noncombo_save.php via the "menu" parameter.

05/09/2024
05/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-8445

CVE-2024-8445

Título es
CVE-2024-8445

Jue, 05/09/2024 – 15:15

Tipo
CWE-20

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8445

Descripción en
The fix for CVE-2024-2199 in 389-ds-base was insufficient to cover all scenarios. In certain product versions, an authenticated user may cause a server crash while modifying `userPassword` using malformed input.

05/09/2024
05/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
5.70

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-45178

CVE-2024-45178

Título es
CVE-2024-45178

Jue, 05/09/2024 – 15:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-45178

Descripción en
An issue was discovered in za-internet C-MOR Video Surveillance 5.2401. Due to improper user input validation, it is possible to download arbitrary files from the C-MOR system via a path traversal attack. It was found out that different functionalities are vulnerable to path traversal attacks, due to insufficient user input validation. For instance, the download functionality for backups provided by the script download-bkf.pml is vulnerable to a path traversal attack via the parameter bkf. This enables an authenticated user to download arbitrary files as Linux user www-data from the C-MOR system. Another path traversal attack is in the script show-movies.pml, which can be exploited via the parameter cam.

05/09/2024
05/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off