CVE-2024-8907

CVE-2024-8907

Título es
CVE-2024-8907

Mar, 17/09/2024 – 21:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8907

Descripción en
Insufficient data validation in Omnibox in Google Chrome on Android prior to 129.0.6668.58 allowed a remote attacker who convinced a user to engage in specific UI gestures to inject arbitrary scripts or HTML (XSS) via a crafted set of UI gestures. (Chromium security severity: Medium)

17/09/2024
17/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

El misterio de los localizadores explosivos de Hezbollah

Gold Apollo, distribuidor y creador de los localizadores no respondió a la solicitud de comentarios de WIRED.


Collage del barco Rubymar que se hunde y un cable submarino
El último viaje del “barco fantasma” que dejó a millones sin internet

Millones de personas se quedaron sin servicio de internet tras dañarse tres importantes cables en el Mar Rojo. Los rebeldes hutíes niegan haber atacado los cables, pero es probable que la culpa la tenga su ataque con misiles contra un carguero que llevaba meses a la deriva.


Un problema con la cadena de suministro

Williams señala que en una operación de este tipo probablemente participarían operativos tanto en el lado de la distribución de tecnología como en el de las adquisiciones de Hezbollah. “Comprometes la cadena de suministro, pero no quieres miles de localizadores explosivos corriendo por el Líbano. El topo los lleva exactamente a la gente adecuada”, puntualiza.

Algunos informes del martes indican que Hezbollah amplió recientemente el uso de beepers en un intento de asegurar las comunicaciones después de que otros canales hubieran sido infiltrados por la inteligencia israelí. Associated Press ratificó que un «funcionario anónimo de Hezbollah» comentó que el grupo había adoptado recientemente una «nueva marca» de localizadores que «primero se calentaban y luego explotaban».

«Es improbable que se tratara de un hackeo, para causar tal efecto debería haber material explosivo dentro de los localizadores», desmiente Lukasz Olejnik, consultor independiente e investigador principal visitante en el Departamento de Estudios de Guerra del King’s College de Londres. «Los informes mencionan la entrega de nuevos buscapersonas recientemente, por lo que tal vez la entrega se vio comprometida».

Por su parte, Michael Horowitz, jefe de inteligencia de la empresa de gestión de riesgos para Oriente Próximo y el Norte de África Le Beck International, opina que si el atentado se basa en la cadena de suministro, podría haber llevado años prepararlo e implicar infiltrarse en un proveedor y colocar explosivos dentro de los nuevos beepers.

«Se trata de una brecha de seguridad importante, sobre todo si estamos hablando de una carga que se colocó dentro de los dispositivos que, en mi opinión, es el escenario más factible. Esto significaría que Israel ha logrado infiltrarse en los proveedores de Hezbollah hasta el punto de entregar no cientos, si no miles de dispositivos utilizados para la comunicación segura», teoriza Horowitz.


Elon Musk en la final masculina del decimocuarto día del US Open de Tenis 2024 en el USTA Billie Jean King Tennis Center el 8 de septiembre de 2024 en Flushing Meadows, Queens, Nueva York.
Elon Musk es un riesgo para la seguridad nacional

El post de Musk, ahora eliminado, en el que se preguntaba por qué nadie había intentado asesinar a Joe Biden y Kamala Harris, reaviva la preocupación del gobierno estadounidense sobre su potencial para inspirar la violencia extremista.


Una premonición peligrosa

El incidente se produce en medio de una escalada de los combates entre Israel y Hezbollah en los últimos meses, que hace temer una guerra a gran escala. En las horas previas a las explosiones del martes, Israel anunció que sus objetivos de guerra incluirían permitir el regreso al norte de Israel de 60,000 personas evacuadas tras los ataques de Hezbollah, y que no descartaba una acción militar.

Horowitz prevé que el incidente podría ser el «preludio de una ofensiva más amplia» y posiblemente destinada a interrumpir las redes de comunicaciones de Hezbollah, pues la sustitución de un gran número de localizadores llevará algún tiempo. Alternativamente, comenta Horowitz, el ataque también podría haber sido llevado a cabo para mostrar la «escala de la penetración de inteligencia de Israel».

“Se trata de una operación de alto valor que no se utilizaría solo para causar heridos». Incluso si las explosiones no fueron causadas por un ataque ciberfísico que indujo la explosión de las baterías de los localizadores, sigue siendo posible que los explosivos colocados en ellos fueran detonados utilizando un comando remoto. En algunas imágenes se ve a los usuarios comprobando sus beepers justo cuando se producen las explosiones, aunque podría tratarse de una mera coincidencia.

La operación podría tener un impacto psicológico en Hezbollah, dado que las bombas podrían haber estado escondidas sin ser detectadas en un dispositivo tan sencillo. Y aunque los ataques del martes fueron notablemente agresivos, no sería la primera vez que la inteligencia israelí habría colocado explosivos en aparatos electrónicos.

Artículo originalmente publicado en WIRED. Adaptado por Alondra Flores.

CVE-2024-8906

CVE-2024-8906

Título es
CVE-2024-8906

Mar, 17/09/2024 – 21:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8906

Descripción en
Incorrect security UI in Downloads in Google Chrome prior to 129.0.6668.58 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium)

17/09/2024
17/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-8905

CVE-2024-8905

Título es
CVE-2024-8905

Mar, 17/09/2024 – 21:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8905

Descripción en
Inappropriate implementation in V8 in Google Chrome prior to 129.0.6668.58 allowed a remote attacker to potentially exploit stack corruption via a crafted HTML page. (Chromium security severity: Medium)

17/09/2024
17/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-46982

CVE-2024-46982

Título es
CVE-2024-46982

Mar, 17/09/2024 – 22:15

Tipo
CWE-639

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-46982

Descripción en
Next.js is a React framework for building full-stack web applications. By sending a crafted HTTP request, it is possible to poison the cache of a non-dynamic server-side rendered route in the pages router (this does not affect the app router). When this crafted request is sent it could coerce Next.js to cache a route that is meant to not be cached and send a `Cache-Control: s-maxage=1, stale-while-revalidate` header which some upstream CDNs may cache as well. To be potentially affected all of the following must apply: 1. Next.js between 13.5.1 and 14.2.9, 2. Using pages router, & 3. Using non-dynamic server-side rendered routes e.g. `pages/dashboard.tsx` not `pages/blog/[slug].tsx`. This vulnerability was resolved in Next.js v13.5.7, v14.2.10, and later. We recommend upgrading regardless of whether you can reproduce the issue or not. There are no official or recommended workarounds for this issue, we recommend that users patch to a safe version.

18/09/2024
18/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-8660

CVE-2024-8660

Título es
CVE-2024-8660

Mar, 17/09/2024 – 19:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8660

Descripción en
Concrete CMS versions 9.0.0 through 9.3.3 are affected by a
stored XSS vulnerability in the "Top Navigator Bar" block.
Since the "Top Navigator Bar" output was not sufficiently sanitized, a rogue administrator could add a malicious payload that could be executed when targeted users visited the home page.The Concrete CMS Security Team gave this vulnerability a CVSS v4 score of 4.6
with vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N https://www.first.org/cvss/calculator/4.0#CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N . This
does not affect versions below 9.0.0 since they do not have the Top
Navigator Bar Block. Thanks, Chu Quoc Khanh for reporting.

17/09/2024
17/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-45803

CVE-2024-45803

Título es
CVE-2024-45803

Mar, 17/09/2024 – 19:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-45803

Descripción en
Wire UI is a library of components and resources to empower Laravel and Livewire application development. A potential Cross-Site Scripting (XSS) vulnerability has been identified in the `/wireui/button` endpoint, specifically through the `label` query parameter. Malicious actors could exploit this vulnerability by injecting JavaScript into the `label` parameter, leading to the execution of arbitrary code in the victim's browser. The `/wireui/button` endpoint dynamically renders button labels based on user-provided input via the `label` query parameter. Due to insufficient sanitization or escaping of this input, an attacker can inject malicious JavaScript. By crafting such a request, an attacker can inject arbitrary code that will be executed by the browser when the endpoint is accessed. If exploited, this vulnerability could allow an attacker to execute arbitrary JavaScript code in the context of the affected website. This could lead to: **Session Hijacking**: Stealing session cookies, tokens, or other sensitive information. **User Impersonation**: Performing unauthorized actions on behalf of authenticated users. **Phishing**: Redirecting users to malicious websites. **Content Manipulation**: Altering the appearance or behavior of the affected page to mislead users or execute further attacks. The severity of this vulnerability depends on the context of where the affected component is used, but in all cases, it poses a significant risk to user security. This issue has been addressed in release versions 1.19.3 and 2.1.3. Users are advised to upgrade. There are no known workarounds for this vulnerability.

17/09/2024
17/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-45798

CVE-2024-45798

Título es
CVE-2024-45798

Mar, 17/09/2024 – 19:15

Tipo
CWE-20

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-45798

Descripción en
arduino-esp32 is an Arduino core for the ESP32, ESP32-S2, ESP32-S3, ESP32-C3, ESP32-C6 and ESP32-H2 microcontrollers. The `arduino-esp32` CI is vulnerable to multiple Poisoned Pipeline Execution (PPE) vulnerabilities. Code injection in `tests_results.yml` workflow (`GHSL-2024-169`) and environment Variable injection (`GHSL-2024-170`). These issue have been addressed but users are advised to verify the contents of the downloaded artifacts.

17/09/2024
17/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
9.90

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

CVE-2024-45612

CVE-2024-45612

Título es
CVE-2024-45612

Mar, 17/09/2024 – 19:15

Tipo
CWE-20

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-45612

Descripción en
Contao is an Open Source CMS. In affected versions an untrusted user can inject insert tags into the canonical tag, which are then replaced on the web page (front end). Users are advised to update to Contao 4.13.49, 5.3.15 or 5.4.3. Users unable to upgrade should disable canonical tags in the root page settings.

17/09/2024
17/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-45537

CVE-2024-45537

Título es
CVE-2024-45537

Mar, 17/09/2024 – 19:15

Tipo
CWE-20

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-45537

Descripción en
Apache Druid allows users with certain permissions to read data from other database systems using JDBC. This functionality allows trusted users to set up Druid lookups or run ingestion tasks. Druid also allows administrators to configure a list of allowed properties that users are able to provide for their JDBC connections. By default, this allowed properties list restricts users to TLS-related properties only. However, when configuration a MySQL JDBC connection, users can use a particularly-crafted JDBC connection string to provide properties that are not on this allow list.

Users without the permission to configure JDBC connections are not able to exploit this vulnerability.
CVE-2021-26919 describes a similar vulnerability which was partially addressed in Apache Druid 0.20.2.

This issue is fixed in Apache Druid 30.0.1.

17/09/2024
17/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off