La inteligencia artificial toma decisiones militares cada vez más importantes

Como escribe Alice Civitella en la página web de la Sociedad Italiana de Derecho Internacional, «Lavender analiza la información recogida previamente por un sistema de vigilancia masiva sobre ciudadanos palestinos, y luego les asigna una puntuación del 1 al 100 según la probabilidad de que sean militantes de Hamás o de la Yihad Islámica».

Confiar de este modo en un sistema informático plantea varios aspectos problemáticos, en primer lugar, continúa explicando Civitella, debido a la vaguedad de los datos proporcionados al sistema durante la fase de entrenamiento, Lavender cometió varios errores en la identificación de personas, confundiendo a policías y trabajadores de la defensa civil con militantes de Hamás o indicando objetivos erróneos debido a una homonimia banal.

Errores, por lo demás, imputables solo en parte al sistema: al informar sobre los objetivos que deben ser alcanzados, Lavender indica cuál es el umbral de precisión de su predicción. A continuación, corresponde al ejército israelí decidir qué tasa de error está dispuesto a aceptar: cuanto más alta sea, mayor será el riesgo de alcanzar a inocentes.

Según Foreign Policy, el porcentaje de error tolerado por el ejército se ha fijado en el 10%. Los objetivos que superan este porcentaje son revisados rápidamente por un equipo de analistas humanos. El enorme número de objetivos identificados, el hecho de que en la mayoría de los casos se les alcance cuando están en sus casas y que a menudo se utilicen ataques aéreos para llevar a cabo las matanzas tiene una consecuencia obvia y trágica: el enorme número de víctimas civiles.

Según fuentes oídas por +972, el ejército israelí considera aceptable matar hasta 15 civiles por cada combatiente de Hamás de los rangos inferiores. Esta cifra llega hasta 100 en el caso de comandantes u otros miembros destacados de la milicia palestina.

Dado que los objetivos seleccionados por Lavender son (presuntos) combatientes, esta modalidad parecería respetar el derecho internacional y en particular, explica Foreign Policy, la «doctrina del doble efecto», que «permite daños colaterales previsibles pero no intencionados, siempre que la consecución del objetivo no dependa de que se produzcan estos daños colaterales, como es el caso de un ataque aéreo contra un objetivo legítimo que se produciría de todos modos, en presencia o ausencia de civiles».

En resumen, el ejército israelí seguiría en sus acciones la denominada «lógica operativa de los asesinatos selectivos«, a pesar de que (debido al enorme número de objetivos señalados por el sistema Lavender) sus acciones se asemejan a menudo a bombardeos en alfombra, prohibidos por el derecho internacional.

Dilemas éticos y jurídicos

Por un lado, por tanto, el uso de estos sistemas corre el riesgo de provocar el llamado «sesgo de automatización»: la tendencia de los seres humanos a aceptar las indicaciones de la máquina (considerada un sistema objetivo, ya que actúa sobre una base estadística) incluso en circunstancias en las que, de otro modo, habrían actuado de forma diferente (por ejemplo, ignorando el riesgo de un intercambio de personas). Por otro lado, el uso de programas informáticos como Lavender elimina al menos parte de la responsabilidad de los agentes que se basan en ellos.

Según leemos en la página web de la red italiana de Desarme por la Paz (que forma parte de la campaña internacional Stop Killer Robots, que promueve la prohibición de las armas autónomas), el uso de estos sistemas suscita «serias preocupaciones por el creciente uso de la inteligencia artificial en los conflictos, los sesgos inherentes a las formas de automatización, la deshumanización digital y la pérdida de control humano en el uso de la fuerza».

CVE-2018-11922

CVE-2018-11922

Título es
Vulnerabilidad en Qualcomm, Inc. (CVE-2018-11922)

Mar, 26/11/2024 – 09:15

Tipo
CWE-16

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2018-11922

Descripción es
Una configuración incorrecta en la aplicación Touch Pal puede recopilar datos sobre el comportamiento del usuario sin que éste se dé cuenta.

Descripción en
Wrong configuration in Touch Pal application can collect user behavior data without awareness by the user.

26/11/2024
26/11/2024
26/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
9.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

CVE-2017-18153

CVE-2017-18153

Título es
Vulnerabilidad en Qualcomm, Inc. (CVE-2017-18153)

Mar, 26/11/2024 – 09:15

Tipo
CWE-416

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2017-18153

Descripción es
Existe una condición de ejecución en un controlador que potencialmente puede llevar a una condición de use-after-free.

Descripción en
A race condition exists in a driver potentially leading to a use-after-free condition.

26/11/2024
26/11/2024
26/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2017-17772

CVE-2017-17772

Título es
Vulnerabilidad en Qualcomm, Inc. (CVE-2017-17772)

Mar, 26/11/2024 – 09:15

Tipo
CWE-126

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2017-17772

Descripción es
En múltiples funciones que procesan tramas 802.11, pueden ocurrir lecturas fuera de los límites debido a una validación insuficiente.

Descripción en
In multiple functions that process 802.11 frames, out-of-bounds reads can occur due to insufficient validation.

26/11/2024
26/11/2024
26/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
9.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

CVE-2024-11192

CVE-2024-11192

Título es
Vulnerabilidad en Spotify Play Button para WordPress (CVE-2024-11192)

Mar, 26/11/2024 – 09:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-11192

Descripción es
El complemento Spotify Play Button para WordPress es vulnerable a cross-site scripting almacenado a través del shortcode spotifyplaybutton del complemento en todas las versiones hasta la 2.11 incluida, debido a una desinfección de entrada insuficiente y a un escape de salida en los atributos proporcionados por el usuario. Esto permite que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten secuencias de comandos web arbitrarias en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.

Descripción en
The Spotify Play Button for WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's spotifyplaybutton shortcode in all versions up to, and including, 2.11 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

26/11/2024
26/11/2024
26/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-11119

CVE-2024-11119

Título es
Vulnerabilidad en BNE Gallery Extended para WordPress (CVE-2024-11119)

Mar, 26/11/2024 – 09:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-11119

Descripción es
El complemento BNE Gallery Extended para WordPress es vulnerable a cross-site scripting almacenado a través del código abreviado "gallery" del complemento en todas las versiones hasta la 1.2.1 incluida, debido a una desinfección de entrada insuficiente y al escape de salida en los atributos proporcionados por el usuario. Esto hace posible que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten secuencias de comandos web arbitrarias en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.

Descripción en
The BNE Gallery Extended plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's 'gallery' shortcode in all versions up to, and including, 1.2.1 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

26/11/2024
26/11/2024
26/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-11091

CVE-2024-11091

Título es
Vulnerabilidad en Support SVG – Upload svg files in wordpress without hassle para WordPress (CVE-2024-11091)

Mar, 26/11/2024 – 09:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-11091

Descripción es
El complemento Support SVG – Upload svg files in wordpress without hassle para WordPress es vulnerable a la ejecución de cross-site scripting almacenado mediante la API REST en las cargas de archivos SVG en todas las versiones hasta la 1.1.0 incluida, debido a una desinfección de entrada y un escape de salida insuficientes. Esto permite que atacantes autenticados, con acceso de nivel de autor y superior, inyecten secuencias de comandos web arbitrarias en las páginas que se ejecutarán siempre que un usuario acceda al archivo SVG.

Descripción en
The Support SVG – Upload svg files in wordpress without hassle plugin for WordPress is vulnerable to Stored Cross-Site Scripting via REST API SVG File uploads in all versions up to, and including, 1.1.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses the SVG file.

26/11/2024
26/11/2024
26/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2018-11952

CVE-2018-11952

Título es
Vulnerabilidad en Qualcomm, Inc. (CVE-2018-11952)

Mar, 26/11/2024 – 09:15

Tipo
CWE-287

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2018-11952

Descripción es
Es posible que una imagen con una versión inferior a la versión de fuse se inicie y dé lugar a una autenticación incorrecta.

Descripción en
An image with a version lower than the fuse version may potentially be booted lead to improper authentication.

26/11/2024
26/11/2024
26/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-9170

CVE-2024-9170

Título es
Vulnerabilidad en Booster for WooCommerce para WordPress (CVE-2024-9170)

Mar, 26/11/2024 – 09:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-9170

Descripción es
El complemento Booster for WooCommerce para WordPress es vulnerable a cross-site scripting almacenado a través del código corto wcj_product_meta del complemento en todas las versiones hasta la 7.2.3 incluida, debido a una desinfección de entrada insuficiente y al escape de salida en los atributos proporcionados por el usuario. Esto permite que atacantes autenticados, con acceso de nivel ShopManager y superior, inyecten secuencias de comandos web arbitrarias en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.

Descripción en
The Booster for WooCommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's wcj_product_meta shortcode in all versions up to, and including, 7.2.3 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with ShopManager-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

26/11/2024
26/11/2024
26/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-11680

CVE-2024-11680

Título es
Vulnerabilidad en ProjectSend (CVE-2024-11680)

Mar, 26/11/2024 – 10:15

Tipo
CWE-287

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-11680

Descripción es
Las versiones de ProjectSend anteriores a r1720 se ven afectadas por una vulnerabilidad de autenticación incorrecta. Los atacantes remotos no autenticados pueden aprovechar esta falla enviando solicitudes HTTP manipuladas a options.php, lo que permite la modificación no autorizada de la configuración de la aplicación. La explotación exitosa permite a los atacantes crear cuentas, cargar webshells e incrustar JavaScript malicioso.

Descripción en
ProjectSend versions prior to r1720 are affected by an improper authentication vulnerability. Remote, unauthenticated attackers can exploit this flaw by sending crafted HTTP requests to options.php, enabling unauthorized modification of the application's configuration. Successful exploitation allows attackers to create accounts, upload webshells, and embed malicious JavaScript.

26/11/2024
26/11/2024
26/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
9.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off