CVE-2024-8948

CVE-2024-8948

Título es
CVE-2024-8948

Mar, 17/09/2024 – 19:15

Tipo
CWE-122

Gravedad v2.0
7.50

Gravedad 2.0 Txt
HIGH

Título en

CVE-2024-8948

Descripción en
A vulnerability was found in MicroPython 1.23.0. It has been rated as critical. Affected by this issue is the function mpz_as_bytes of the file py/objint.c. The manipulation leads to heap-based buffer overflow. The attack may be launched remotely. The exploit has been disclosed to the public and may be used. The patch is identified as 908ab1ceca15ee6fd0ef82ca4cba770a3ec41894. It is recommended to apply a patch to fix this issue. In micropython objint component, converting zero from int to bytes leads to heap buffer-overflow-write at mpz_as_bytes.

17/09/2024
17/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:N/C:P/I:P/A:P

Gravedad 3.1 (CVSS 3.1 Base Score)
7.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-8947

CVE-2024-8947

Título es
CVE-2024-8947

Mar, 17/09/2024 – 19:15

Tipo
CWE-416

Gravedad v2.0
5.10

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2024-8947

Descripción en
A vulnerability was found in MicroPython 1.22.2. It has been declared as critical. Affected by this vulnerability is an unknown functionality of the file py/objarray.c. The manipulation leads to use after free. The attack can be launched remotely. The complexity of an attack is rather high. The exploitation appears to be difficult. Upgrading to version 1.23.0 is able to address this issue. The identifier of the patch is 4bed614e707c0644c06e117f848fa12605c711cd. It is recommended to upgrade the affected component. In micropython objarray component, when a bytes object is resized and copied into itself, it may reference memory that has already been freed.

17/09/2024
17/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:H/Au:N/C:P/I:P/A:P

Gravedad 3.1 (CVSS 3.1 Base Score)
5.60

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-8946

CVE-2024-8946

Título es
CVE-2024-8946

Mar, 17/09/2024 – 19:15

Tipo
CWE-122

Gravedad v2.0
7.50

Gravedad 2.0 Txt
HIGH

Título en

CVE-2024-8946

Descripción en
A vulnerability was found in MicroPython 1.23.0. It has been classified as critical. Affected is the function mp_vfs_umount of the file extmod/vfs.c of the component VFS Unmount Handler. The manipulation leads to heap-based buffer overflow. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. The name of the patch is 29943546343c92334e8518695a11fc0e2ceea68b. It is recommended to apply a patch to fix this issue. In the VFS unmount process, the comparison between the mounted path string and the unmount requested string is based solely on the length of the unmount string, which can lead to a heap buffer overflow read.

17/09/2024
17/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:N/C:P/I:P/A:P

Gravedad 3.1 (CVSS 3.1 Base Score)
7.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-8900

CVE-2024-8900

Título es
CVE-2024-8900

Mar, 17/09/2024 – 19:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8900

Descripción en
An attacker could write data to the user's clipboard, bypassing the user prompt, during a certain sequence of navigational events. This vulnerability affects Firefox

17/09/2024
17/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-8949

CVE-2024-8949

Título es
CVE-2024-8949

Mar, 17/09/2024 – 19:15

Tipo
CWE-282

Gravedad v2.0
6.50

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2024-8949

Descripción en
A vulnerability classified as critical has been found in SourceCodester Online Eyewear Shop 1.0. This affects an unknown part of the file /classes/Master.php of the component Cart Content Handler. The manipulation of the argument cart_id/id leads to improper ownership management. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used.

17/09/2024
17/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:S/C:P/I:P/A:P

Gravedad 3.1 (CVSS 3.1 Base Score)
6.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

Meta bloquea a medios rusos en Instagram y Facebook

Meta prohíbe el acceso de medios de comunicación estatales rusos a sus plataformas propietarias Facebook e Instagram.Después de una cuidadosa consideración, hemos ampliado nuestra acción contra los medios de comunicación estatales rusos», señaló la compañía propietaria de Instagram, Facebook y WhatsApp en una nota publicada por Reuters, «Rossiya Segodnya, RT (antes Russia Today) y otras entidades relacionadas están ahora prohibidas en nuestras aplicaciones a nivel mundial por actividades de interferencia extranjera». Al parecer, la decisión se debe a que Meta se percató de que los medios de comunicación rusos trataban de influir en los usuarios en línea sobre la invasión de Ucrania y otros temas de actualidad adoptando una serie de medidas ad hoc para evitar que se detectaran sus actividades.

Que los medios de comunicación rusos utilizaron las redes sociales de Meta para sus propios intereses no es nada nuevo. Lo sorprendente, sin embargo, es que la empresa prohibiera las cuentas del medio apenas unos días después de que el gobierno de Biden acusara públicamente a RT de difundir propaganda y desinformación en línea. No está claro si existe una correlación, pero James Rubin, coordinador del Global Engagement Center del Departamento de Estado, ha declarado públicamente que RT es el lugar «donde se difunde propaganda, desinformación y mentiras a millones, si no miles de millones, de personas en todo el mundo». Y al cabo de unos días, aquí está Meta anunciando su decisión de bloquear las cuentas de medios rusos de sus plataformas.

Por otro lado, desde luego no es la primera vez que la empresa matriz de Facebook e Instagram decide bloquear la actividad de portales de noticias vinculados al Gobierno de Putin. En 2022, por ejemplo, Meta bloqueó el acceso a los medios rusos en Facebook en Ucrania (a petición del gobierno del país) para limitar la difusión de contenidos. Y ahora, dos años después, vuelve a prohibir el acceso a las principales cadenas estatales por mal comportamiento. Las páginas de RT tenían 7.2 millones de seguidores en Facebook y un millón en Instagram: ahora son inaccesibles. ¿Bastará esto para detener la desinformación?

Artículo originalmente publicado en WIRED Italia. Adaptado por Mauricio Serfatty Godoy.

CVE-2021-27915

CVE-2021-27915

Título es
CVE-2021-27915

Mar, 17/09/2024 – 14:15

Tipo
CWE-80

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2021-27915

Descripción en
Prior to the patched version, there is an XSS vulnerability in the description fields within the Mautic application which could be exploited by a logged in user of Mautic with the appropriate permissions.

This could lead to the user having elevated access to the system.

17/09/2024
17/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
7.60

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-21743

CVE-2024-21743

Título es
CVE-2024-21743

Mar, 17/09/2024 – 14:15

Tipo
CWE-266

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-21743

Descripción en
Privilege Escalation vulnerability in favethemes Houzez Login Register houzez-login-register.This issue affects Houzez Login Register: from n/a through 3.2.5.

17/09/2024
17/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-47049

CVE-2024-47049

Título es
CVE-2024-47049

Mar, 17/09/2024 – 14:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-47049

Descripción en
The czim/file-handling package before 1.5.0 and 2.x before 2.3.0 (used with PHP Composer) does not properly validate URLs within makeFromUrl and makeFromAny, leading to SSRF, and to directory traversal for the reading of local files.

17/09/2024
17/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

OpenAI crea un nuevo grupo de seguridad independiente sin Sam Altman

OpenAI está transformando su Comité de Seguridad y Protección en un grupo de supervisión independiente, formado por los miembros de su junta directiva. Sam Altman, CEO de la compañía, no participa en el nuevo organismo de control. La figura de gobernanza tiene la autoridad de retrasar el lanzamiento de los programas de inteligencia artificial (IA) considerados como inseguros.

El consejo analizó los criterios utilizados para valorar la implementación y resultados de OpenAI o1, el más reciente sistema de IA de la organización. En consecuencia, ha recomendado la creación de una entidad de inspección autónoma con la facultad de detener la presentación de aquellos productos que carecen de salvaguardas.

“Garantizar la seguridad de nuestros modelos implica el trabajo de muchos equipos. Estamos desarrollando procesos y prácticas para establecer un marco integrado con principios claramente definidos. Este se basará en evaluaciones de riesgos y será aprobado por el Comité de Seguridad”, explica la compañía.


Logotipo de OpenAI en la pantalla de un smartphone
Las fallas de seguridad de OpenAI ponen en jaque a ChatGPT

Debido a brechas recientes y pasadas en sus sistemas, los expertos del sector temen que la compañía sea incapaz de gestionar la seguridad de los datos que posee a partir de las conversaciones de los usuarios con ChatGPT.


La comisión de vigilancia es presidida por Zico Kolter, director del Departamento de Aprendizaje Automático de la Facultad de Ciencias de la Computación de la Universidad Carnegie Mellon. También forman parte del grupo Adam D’Angelo, cofundador de la plataforma Quora; Paul Nakasone, general retirado del ejército de Estados Unidos, y Nicole Seligma, exvicepresidenta ejecutiva de Sony Corporation.

Los líderes de OpenAI entregarán informes periódicos a la comisión sobre las revisiones de protección de los modelos actuales y futuros. Estos reportes incluirán detalles técnicos y datos de las acciones de monitoreo realizadas después de cada lanzamiento. “A medida que los algoritmos adquieran más capacidades, estas disposiciones se adaptarán para gestionar una mayor complejidad y riesgos”, promete la firma.

La seguridad de OpenAI genera inquietudes

La empresa detrás de ChaGPT ha sido señalada por supuestas omisiones de seguridad en sus procesos de producción y comercialización. Algunos exejecutivos de la corporación abandonaron sus puestos alegando preocupaciones al respecto. Acusan que la cúpula de liderazgo se opone a la regulación real de la IA en favor de políticas que promuevan los objetivos corporativos de la organización. La compañía ha destinado, en los primeros seis meses de 2024, cerca de 800,000 dólares en acciones de cabildeo para incidir en legislaciones federales sobre la tecnología, según cálculos de OpenSecrets.

Los expertos aseguran que la decisión de omitir la participación de Altman es el más reciente intento de la firma para abordar la preocupaciones sobre seguridad. La eficacia del esfuerzo se ha puesto en duda. Helen Toner y Tasha McCauley, exmiembros de la junta directiva de OpenAI, escribieron en un artículo de opinión publicado en The Economist que la estructura de control no garantiza la seguridad amplia de los productos. “Basándonos en nuestra experiencia, creemos que el autogobierno no puede soportar de manera confiable la presión de los incentivos de lucro”.



OpenAI pretende recaudar más de 6,500 millones de dólares en una nueva ronda de financiamiento, de acuerdo con Bloomberg. Con esta operación, la valoración privada de la firma podría superar los 150,000 millones de dólares. Para cerrar el acuerdo, la empresa podría abandonar su estructura corporativa sin fines de lucro y adoptar un modelo de negocio totalmente comercial. El cambio facilitaría la obtención de ganancias de forma ilimitada y su posible salida a la bolsa. Los especialistas sugieren que con este enfoque es posible que la organización se vea obligada a priorizar proyectos con mayor potencial mercantil. Anticipan un aumento general en los precios de las soluciones de IA existentes y un ritmo de innovación acelerado.