CVE-2024-29404

CVE-2024-29404

Título es
CVE-2024-29404

Mar, 03/12/2024 – 17:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-29404

Descripción en
An issue in Razer Synapse 3 v.3.9.131.20813 and Synapse 3 App v.20240213 allows a local attacker to execute arbitrary code via the export parameter of the Chroma Effects function in the Profiles component.

03/12/2024
03/12/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-40691

CVE-2024-40691

Título es
CVE-2024-40691

Mar, 03/12/2024 – 17:15

Tipo
CWE-434

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-40691

Descripción en
IBM Cognos Controller 11.0.0 and 11.0.1

could be vulnerable to malicious file upload by not validating the content of the file uploaded to the web interface. Attackers can make use of this weakness and upload malicious executable files into the system, and it can be sent to victim for performing further attacks.

03/12/2024
03/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.00

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-53867

CVE-2024-53867

Título es
CVE-2024-53867

Mar, 03/12/2024 – 17:15

Tipo
CWE-497

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-53867

Descripción en
Synapse is an open-source Matrix homeserver. The Sliding Sync feature on Synapse versions between 1.113.0rc1 and 1.120.0 can leak partial room state changes to users no longer in a room. Non-state events, like messages, are unaffected. This vulnerability is fixed in 1.120.1.

03/12/2024
03/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
4.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

“Signal proporciona comunicación privada y lo hace obsesivamente bien. No vamos a cambiar”, asegura Meredith Whittaker

«No queremos ser el caso atípico que confirma la regla, queremos ser un nuevo conjunto de reglas que marquen el camino hacia un ecosistema tecnológico mucho más abierto y diverso», expresó Whittaker, «que no dependa de cinco empresas y 15 tipos y un paradigma que es muy, muy rancio y, en última instancia, no saludable para el mundo y el futuro».

El funcionamiento de Signal cuesta alrededor de 50 millones de dólares al año y Whittaker resaltó en el evento que no hay respuestas fáciles para encontrar ese tipo de financiamiento (o más) para proyectos que necesitan un respaldo consistente, independiente y seguro sin estar sujetos a las fuerzas de la monetización de datos y el capitalismo de la vigilancia.

«Nada de esto es sencillo, amigo», expresó Whittaker. «Hay un tipo de capital que necesitamos. ¿Cómo lo conseguimos?».

La primera presidencia de Trump en Estados Unidos fue cada vez más hostil a la encriptación y a la tecnología independiente, así que con una nueva administración Trump en ciernes y los defensores de la antiencriptación haciendo incursiones en los gobiernos de todo el mundo, ¿qué viene ahora para Signal?

«Signal sabe quiénes somos. Signal seguirá siendo Signal», asegura Whittaker, «Signal tiene una cosa que hacer y lo hacemos muy bien y lo hacemos bastante obsesivamente, y es: proporcionar infraestructura de comunicaciones verdaderamente privada a todo el mundo, en todas partes a nivel mundial. Y punto. No vamos a cambiar».

Artículo originalmente publicado en WIRED. Adaptado por Mauricio Serfatty Godoy.

CVE-2024-53863

CVE-2024-53863

Título es
CVE-2024-53863

Mar, 03/12/2024 – 17:15

Tipo
CWE-434

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-53863

Descripción en
Synapse is an open-source Matrix homeserver. In Synapse versions before 1.120.1, enabling the dynamic_thumbnails option or processing a specially crafted request could trigger the decoding and thumbnail generation of uncommon image formats, potentially invoking external tools like Ghostscript for processing. This significantly expands the attack surface in a historically vulnerable area, presenting a risk that far outweighs the benefit, particularly since these formats are rarely used on the open web or within the Matrix ecosystem. Synapse 1.120.1 addresses the issue by restricting thumbnail generation to images in the following widely used formats: PNG, JPEG, GIF, and WebP. This vulnerability is fixed in 1.120.1.

03/12/2024
03/12/2024
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
8.20

Gravedad 4.0 txt
HIGH

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-52815

CVE-2024-52815

Título es
CVE-2024-52815

Mar, 03/12/2024 – 17:15

Tipo
CWE-20

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-52815

Descripción en
Synapse is an open-source Matrix homeserver. Synapse versions before 1.120.1 fail to properly validate invites received over federation. This vulnerability allows a malicious server to send a specially crafted invite that disrupts the invited user's /sync functionality. Synapse 1.120.1 rejects such invalid invites received over federation and restores the ability to sync for affected users.

03/12/2024
03/12/2024
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
8.70

Gravedad 4.0 txt
HIGH

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-52805

CVE-2024-52805

Título es
CVE-2024-52805

Mar, 03/12/2024 – 17:15

Tipo
CWE-770

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-52805

Descripción en
Synapse is an open-source Matrix homeserver. In Synapse before 1.120.1, multipart/form-data requests can in certain configurations transiently increase memory consumption beyond expected levels while processing the request, which can be used to amplify denial of service attacks. Synapse 1.120.1 resolves the issue by denying requests with unsupported multipart/form-data content type.

03/12/2024
03/12/2024
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
8.20

Gravedad 4.0 txt
HIGH

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-11391

CVE-2024-11391

Título es
CVE-2024-11391

Mar, 03/12/2024 – 15:15

Tipo
CWE-434

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-11391

Descripción en
The Advanced File Manager plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation via the 'class_fma_connector.php' file in all versions up to, and including, 5.2.10. This makes it possible for authenticated attackers, with Subscriber-level access and above, and granted permissions by an Administrator, to upload arbitrary files on the affected site's server which may make remote code execution possible.

03/12/2024
03/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

Los daños a un tercer cable de internet en Europa reavivan las sospechas de sabotaje

Un cable terrestre que presta servicio de internet a Finlandia y Suecia resultó dañado en dos puntos distintos, comprometiendo la conexión de más de 6,000 usuarios particulares y 100 empresas del norte de Europa. La empresa de telecomunicaciones Global Connect detectó el incidente que afectó a una de las principales líneas de fibra óptica que cruzan la frontera entre los dos países escandinavos, en la zona rural situada entre las locaciones finlandesas de Espoo y Vihti, cerca de la capital, Helsinki.

El portavoz de la empresa Niklas Ekström, declaró en una entrevista telefónica con Associated Press (AP) que estos daños ocurren aproximadamente cada dos meses, pero «es inusual que dos cables se dañaran el mismo día en la misma región». La causa aún no es clara, ni hay sospechas concretas de sabotaje, aunque los daños se suscitan en un contexto de creciente vulnerabilidad de las infraestructuras de comunicación en el mar Báltico. A mediados de noviembre dos importantes cables submarinos sufrieron daños significativos: el C-Lion1, que es la única conexión directa entre Finlandia y Alemania, y un segundo cable que proporciona comunicaciones entre Suecia y Lituania. Estas conexiones forman parte de una compleja red de infraestructuras submarinas que también incluye gasoductos y cables eléctricos.

Un análisis realizado por CNN demostró que los puntos de rotura de los cables submarinos estaban a unos 100 kilómetros de distancia, una proximidad que llevó a la Oficina Nacional de Investigación finlandesa (NBI, por sus siglas en inglés) a abrir una carpeta de investigación por daños agravados. El principal sospechoso fue el buque chino Yi Peng 3 al mando del capitán ruso Alexander Stechentsev, localizado en las proximidades de ambos puntos de rotura en los momento críticos.


Collage del barco Rubymar que se hunde y un cable submarino
El último viaje del “barco fantasma” que dejó a millones sin internet

Millones de personas se quedaron sin servicio de internet tras dañarse tres importantes cables en el Mar Rojo. Los rebeldes hutíes niegan haber atacado los cables, pero es probable que la culpa la tenga su ataque con misiles contra un carguero que llevaba meses a la deriva.


Los detalles del accidente

El descubrimiento de la avería se realizó gracias a los sofisticados sistemas de monitoreo que controlan constantemente el flujo de datos a través de las redes de telecomunicación. Los técnicos identificaron rápidamente dos interrupciones físicas a lo largo de la ruta del cable, en dos puntos distintos del territorio finlandés. El cable de fibra óptica dañado, que transporta enormes cantidades de datos digitales entre ambos países, atraviesa una zona rural entre Espoo, un importante centro tecnológico a las afueras de Helsinki, y la ciudad de Vihti. El impacto fue inmediato en la capacidad de conexión de Finalidad; el cable gestiona un tercio del tráfico de internet del país, un volumen crucial para la economía digital de la región.

La respuesta técnica fue rápida, aunque compleja. «Normalmente, la causa de los daños es una excavadora que perfora el suelo y golpea accidentalmente el cable», explicó Ekström a la cadena finlandesa Yleisradio Oy. No obstante, indicó que la presencia de dos puntos de rotura simultáneos hacía menos probable este escenario. Los equipos de reparación y asistencia se enfrentaron a un doble reto: reparar el primer punto de rotura, mientras otros técnicos seguían trabajando en la segunda avería. Las autoridades finlandesas manejaron la situación con extrema cautela. Aunque las primeras noticias emitidas por los medios de comunicación suecos hablaban de una investigación penal en curso, la policía de Finlandia desmintió que se haya abierto un expediente al respecto.


Cable submarino de internet, de fibra óptica, tendido en el fondo del océano.
Los cables submarinos dirigen al lugar más vulnerable de internet 

Estos cables submarinos conservan internet en línea. Cuando se juntan en un lugar, las cosas se complican.


Repercusiones internacionales

La secuencia de daños en cables de internet en el mar Báltico reavivó la atención sobre la seguridad de las infraestructuras críticas europeas. CNN informó que en abril de 2023, una investigación de las cadenas públicas de Suecia, Dinamarca, Noruega y Finlandia había documentado la presencia de busques sospechosos en aguas nórdicas. Por su parte, dos funcionarios del Pentágono difundieron al medio estadounidense de la detección de actividad militar rusa en torno a cables submarinos estratégicos; no obstante, los mismos expertos descartaron por el momento vínculos directos con los incidentes actuales.

El contexto regional es especialmente delicado. Finlandia y Suecia entraron en la OTAN tras la invasión rusa de Ucrania, lo que cambió el equilibrio estratégico en el mar Báltico. Las infraestructuras digitales, desde los cables submarinos a las conexiones terrestres, se han convertido en un elemento crucial en la evaluación de los riesgos para la seguridad nacional, como demuestra la iniciativa de Estocolmo y Helsinki de distribuir manuales de gestión de crisis entre los ciudadanos.

Igualmente, la confirmación de los daños en el cable de internet finlandés desencadenó una serie de reacciones de carácter institucional. El Ministerio de Transportes de Helsinki (HSL, por sus siglas en inglés) coordina la investigación junto con Global Connect. «Las autoridades están investigando el asunto junto con la empresa», tuiteó la ministra Lulu Ranne en X. AFP preguntó al ministró sueco de Defensa Civil, Carl Oskar Bohlin sobre la posibilidad de una acción deliberada, a lo que él contestó: «En este momento, no podemos descartar ninguna hipótesis».

Artículo originalmente publicado en WIRED Italia. Adaptado por Alondra Flores.

CVE-2024-42422

CVE-2024-42422

Título es
CVE-2024-42422

Mar, 03/12/2024 – 13:15

Tipo
CWE-639

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-42422

Descripción es
Dell NetWorker, versión 19.10, contiene una vulnerabilidad de omisión de autorización mediante clave controlada por el usuario. Un atacante no autenticado con acceso remoto podría aprovechar esta vulnerabilidad y provocar la divulgación de información.

Descripción en
Dell NetWorker, version(s) 19.10, contain(s) an Authorization Bypass Through User-Controlled Key vulnerability. An unauthenticated attacker with remote access could potentially exploit this vulnerability, leading to Information disclosure.

03/12/2024
03/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
8.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off