CVE-2024-6119

CVE-2024-6119

Título es
CVE-2024-6119

Mar, 03/09/2024 – 16:15

Tipo
CWE-843

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6119

Descripción en
Issue summary: Applications performing certificate name checks (e.g., TLS
clients checking server certificates) may attempt to read an invalid memory
address resulting in abnormal termination of the application process.

Impact summary: Abnormal termination of an application can a cause a denial of
service.

Applications performing certificate name checks (e.g., TLS clients checking
server certificates) may attempt to read an invalid memory address when
comparing the expected name with an `otherName` subject alternative name of an
X.509 certificate. This may result in an exception that terminates the
application program.

Note that basic certificate chain validation (signatures, dates, …) is not
affected, the denial of service can occur only when the application also
specifies an expected DNS name, Email address or IP address.

TLS servers rarely solicit client certificates, and even when they do, they
generally don't perform a name check against a reference identifier (expected
identity), but rather extract the presented identity after checking the
certificate chain. So TLS servers are generally not affected and the severity
of the issue is Moderate.

The FIPS modules in 3.3, 3.2, 3.1 and 3.0 are not affected by this issue.

03/09/2024
03/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-34463

CVE-2024-34463

Título es
CVE-2024-34463

Mar, 03/09/2024 – 14:15

Tipo
CWE-285

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-34463

Descripción en
BPL Personal Weighing Scale PWS-01BT IND/09/18/599 devices send sensitive information in unencrypted BLE packets. (The packet data also lacks authentication and integrity protection.)

03/09/2024
03/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-4259

CVE-2024-4259

Título es
CVE-2024-4259

Mar, 03/09/2024 – 14:15

Tipo
CWE-269

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-4259

Descripción en
Improper Privilege Management vulnerability in SAMPA? Holding AKOS allows Collect Data as Provided by Users.This issue affects AKOS: through 20240902. 

NOTE: The vendor was contacted early about this disclosure but did not respond in any way.

03/09/2024
03/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

La fuerza naval de Estados Unidos lo apuesta todo por Starlink

La vida al bordo de un buque de guerra de la US Navy (USN), la Armada de EE UU, no es fácil. La separación de amigos y familiares y los largos períodos entre escalas en puerto pueden resultar aislantes y monótonos. Por suerte, Elon Musk está aquí para remediar los malos ratos.

En un comunicado de prensa eliminado del Mando de Sistemas de Guerra de Información Naval (NAVWAR, por sus siglas en inglés), la USN anunció que está experimentando con la posibilidad de llevar internet de alta velocidad fiable y persistente a sus buques de guerra de superficie. La conectividad llega a través de un nuevo sistema desarrollado bajo su iniciativa Sailor Edge Afloat and Ashore (SEA2), que utiliza satélites de la red Starlink mantenida por la empresa aeroespacial, SpaceX de Elon Musk y otros proveedores de red de banda ancha espacial para mantener una conexión a internet constante y consistente para los marinos. NAVWAR lo defiende como un sistema con «muchas aplicaciones para toda la Marina».

Elisa Gambia, portavoz del Mando aclaró a WIRED que el comunicado fue eliminado para “corregir imprecisiones y garantizar que la información es correcta”. Mostraba la instalación de un terminal Starlink a bordo del portaaviones USS Abraham Lincoln, del portal de medios del Sistema de Distribución de Información Visual de Defensa (DVIDS) del Pentágono.


Collage del barco Rubymar que se hunde y un cable submarino
El último viaje del “barco fantasma” que dejó a millones sin internet

Millones de personas se quedaron sin servicio de internet tras dañarse tres importantes cables en el Mar Rojo. Los rebeldes hutíes niegan haber atacado los cables, pero es probable que la culpa la tenga su ataque con misiles contra un carguero que llevaba meses a la deriva.


Entretenimiento y aplicaciones tácticas

NAVWAR compartió con WIRED que el Departamento de Defensa de EE UU (DOD, por sus siglas en inglés) ha confiado durante décadas en una red de satélites viejos que proporciona a los marinos un acceso de internet muy lento. En cambio, las constelaciones de satélites comerciales como Starlink y Eutelsat OneWeb, que cuentan con miles y ofrecen cobertura desde una órbita más baja, proporcionan una conexión superior.

El sistema SEA2 resultante, denominado Terminal de Satélite No Geoestacionario (STtNG) transportable, permite a las fuentes tácticas de un buque de guerra acceder de forma segura a satélites de órbita baja con una velocidad media de conexión de 30 a 50 megabits por segundo, Según el Mando, con la instalación de antenas Starlink adicionales, el sistema puede alcanzar velocidades de 1 gigabit por segundo.

La noticia de la instalación del terminal Starlink a bordo del Lincoln se produjo en el momento en que el portaaviones y su grupo de combate asociado fueron redirigidos a la zona de operaciones del Mando Central de EE UU en Oriente Próximo, en medio del aumento de las tensiones entre Israel e Irán tras el asesinato selectivo por el primero de un dirigente de Hamás en Teherán.

La Marina aún no ha revelado cuántos buques de guerra de superficie han recibido terminales Starlink. Funcionarios de Defensa dijeron en abril al medio DefenseScoop que el DOD estaba evaluando el sistema a bordo de dos buques desplegados «con el objetivo de desplegar esas capacidades de banda ancha en una flota de hasta 200 en el futuro».

Los sistemas SEA2, que en un principio fueron un «proyecto apasionante» del comandante Kevin White, oficial de sistemas de combate del Lincoln, se instalaron por primera vez a bordo del portaaviones de nueva generación USS Gerald R. Ford en febrero de 2023, ofreciendo a los marinos la posibilidad de comunicarse rápida y fácilmente con sus seres queridos en casa, independientemente del lugar del mundo en el que se encuentren, lo que supone un importante apoyo a su estabilidad emocional en medio de la monótona vida en el mar. El año pasado, el sistema permitió incluso a cientos de elementos disfrutar de la retransmisión en directo de la Super Bowl LVIII a través de un servicio normal de transmisión de TV a bordo del buque de guerra.


Starlink Brasil
Starlink se niega a bloquear X en Brasil

Starlink podría perder la licencia para operar en Brasil si no acata la orden de restringir el acceso a X.


«Tener la posibilidad de ponerse en contacto con amigos o familiares permite a nuestros marinos la oportunidad de descansar durante unos minutos, y eso a su vez les deja ser capaces de operar de manera más eficiente», señaló Richard Haninger, educador de resiliencia desplegada del Ford, tras la instalación del sistema SEA2 a bordo del portaaviones en febrero de 2023. «No se trata solo de volver a contactar con amigos y familiares, la posibilidad de pagar una factura en línea, tomar una clase en línea, o incluso simplemente comprobar el resultado del partido […] todo esto permite a nuestros marinos la oportunidad de acceder a algo que reduce su nivel de estrés, y luego volver al trabajo después de un breve descanso más concentrados y capaces de completar la misión».

Pero más allá de las aplicaciones para elevar el bienestar, SEA2 también ofrece supuestamente importantes beneficios tácticos y de negocios utilizados por la fuerza naval a diario, por ejemplo, en el mantenimiento de las alas aéreas o para el seguimiento de la paga y utilidades. En un comunicado emitido en mayo, el comandante White explicó que la mayoría de estas aplicaciones funcionan a niveles de clasificación más altos y están cifradas, pero siguen estando diseñadas para funcionar en la internet comercial sin poner en peligro la seguridad de la información.

CVE-2024-8388

CVE-2024-8388

Título es
CVE-2024-8388

Mar, 03/09/2024 – 13:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8388

Descripción en
Multiple prompts and panels from both Firefox and the Android OS could be used to obscure the notification announcing the transition to fullscreen mode after the fix for CVE-2023-6870 in Firefox 121. This could lead to spoofing the browser UI if the sudden appearance of the prompt distracted the user from noticing the visual transition happening behind the prompt. These notifications now use the Android Toast feature.
*This bug only affects Firefox on Android. Other operating systems are unaffected.* This vulnerability affects Firefox

03/09/2024
03/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-8387

CVE-2024-8387

Título es
CVE-2024-8387

Mar, 03/09/2024 – 13:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8387

Descripción en
Memory safety bugs present in Firefox 129, Firefox ESR 128.1, and Thunderbird 128.1. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox

03/09/2024
03/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-8386

CVE-2024-8386

Título es
CVE-2024-8386

Mar, 03/09/2024 – 13:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8386

Descripción en
If a site had been granted the permission to open popup windows, it could cause Select elements to appear on top of another site to perform a spoofing attack. This vulnerability affects Firefox

03/09/2024
03/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-8385

CVE-2024-8385

Título es
CVE-2024-8385

Mar, 03/09/2024 – 13:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8385

Descripción en
A difference in the handling of StructFields and ArrayTypes in WASM could be used to trigger an exploitable type confusion vulnerability. This vulnerability affects Firefox

03/09/2024
03/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-8384

CVE-2024-8384

Título es
CVE-2024-8384

Mar, 03/09/2024 – 13:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8384

Descripción en
The JavaScript garbage collector could mis-color cross-compartment objects if OOM conditions were detected at the right point between two passes. This could have led to memory corruption. This vulnerability affects Firefox

03/09/2024
03/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-8383

CVE-2024-8383

Título es
CVE-2024-8383

Mar, 03/09/2024 – 13:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8383

Descripción en
Firefox normally asks for confirmation before asking the operating system to find an application to handle a scheme that the browser does not support. It did not ask before doing so for the Usenet-related schemes news: and snews:. Since most operating systems don't have a trusted newsreader installed by default, an unscrupulous program that the user downloaded could register itself as a handler. The website that served the application download could then launch that application at will This vulnerability affects Firefox

03/09/2024
03/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off