CVE-2024-12840

CVE-2024-12840

Título es
CVE-2024-12840

Vie, 20/12/2024 – 16:15

Tipo
CWE-918

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-12840

Descripción en
A server-side request forgery exists in Satellite. When a PUT HTTP request is made to /http_proxies/test_connection, when supplied with the http_proxies variable set to localhost, the attacker can fetch the localhost banner.

20/12/2024
20/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.00

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-56337

CVE-2024-56337

Título es
CVE-2024-56337

Vie, 20/12/2024 – 16:15

Tipo
CWE-367

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-56337

Descripción en
Time-of-check Time-of-use (TOCTOU) Race Condition vulnerability in Apache Tomcat.

This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.1, from 10.1.0-M1 through 10.1.33, from 9.0.0.M1 through 9.0.97.

The mitigation for CVE-2024-50379 was incomplete.

Users running Tomcat on a case insensitive file system with the default servlet write enabled (readonly initialisation
parameter set to the non-default value of false) may need additional configuration to fully mitigate CVE-2024-50379 depending on which version of Java they are using with Tomcat:
– running on Java 8 or Java 11: the system property sun.io.useCanonCaches must be explicitly set to false (it defaults to true)
– running on Java 17: the system property sun.io.useCanonCaches, if set, must be set to false (it defaults to false)
– running on Java 21 onwards: no further configuration is required (the system property and the problematic cache have been removed)

Tomcat 11.0.3, 10.1.35 and 9.0.99 onwards will include checks that sun.io.useCanonCaches is set appropriately before allowing the default servlet to be write enabled on a case insensitive file system. Tomcat will also set sun.io.useCanonCaches to false by default where it can.

20/12/2024
20/12/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-55471

CVE-2024-55471

Título es
CVE-2024-55471

Vie, 20/12/2024 – 16:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-55471

Descripción en
Oqtane Framework is vulnerable to Insecure Direct Object Reference (IDOR) in Oqtane.Controllers.UserController. This allows unauthorized users to access sensitive information of other users by manipulating the id parameter.

20/12/2024
20/12/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

La UE exige a Worldcoin eliminar millones de registros de iris por incumplir leyes de privacidad

La Autoridad de Protección de Datos de Baviera, Alemania (BayLDA, por sus siglas en alemán), ha determinado que el proyecto Worldcoin violó el Reglamento General de Protección de Datos (RGPD) de la Unión Europea (UE) al escanear el iris de millones de ciudadanos el año pasado. El regulador señala que la iniciativa, creada por la empresa Tools for Humanity, no cumplió con los estándares de seguridad requeridos para proteger esta información biométrica y exige la eliminación inmediata de estos datos.

La BayLDA, en consenso con el resto de las autoridades de privacidad del bloque, ha concluido que Worldcoin almacenó los iris de los usuarios sin su consentimiento explícito, lo que representa una violación directa al RGPD. Advierte sobre una falta de atención en la custodia de los registros de los menores de edad, aspecto que será examinado en una investigación futura.


article image
Worldcoin llega a México y establece una economía paralela a cambio de datos personales

WIRED visita una de las nuevas sucursales de Worldcoin, en Ciudad de México. El controvertido proyecto de criptomonedas de Sam Altman está siendo usado, sobre todo, por migrantes, y algunos otros entusiastas, por desconocimiento o necesidad.


El modelo Worldcoin nació en 2019 con el objetivo de “crear un acceso universal a la economía global, independientemente del país o el origen, acelerando la transición hacia un futuro económico que acoja y beneficie a todas las personas del planeta”. Se fundamenta en dos pilares: una criptomoneda y un método de identificación digital que utiliza el iris de los usuarios como única información de verificación.

Utiliza un escáner ocular conocido como Orb que facilita la creación de un Word ID, “un protocolo de identidad descentralizado que prioriza la privacidad que se puede usar como un pasaporte digital para demostrar que eres una persona única y real, sin compartir datos personales como nombres y correos electrónicos”, explica el equipo de Tools for Humanity. El dispositivo se ha utilizado para digitalizar el iris de millones personas en múltiples ciudades del mundo, a cambio de 20 tokens.

Worldcoin responde a las autoridades europeas

La World Foundation, organización que actualmente gestiona Worldcoin, ha confirmado que apelará la decisión de la BayLDA. En un comunicado, asegura que los códigos de iris se almacenan únicamente en los dispositivos de los usuarios y no en servidores propios o externos. La fundación destacó que los datos recopilados en 2023 fueron eliminados voluntariamente en mayo, gracias a la introducción de un sistema conocido como Custodia de Datos Personales y de la configuración AMPC (Computación Multipartita Anonimizada).

“La aplicación de estas tecnologías innovadoras asegura que los códigos de iris no se retengan ni se almacenen. Ni Worldcoin ni ningún tercero saben quién es el propietario individual de un World ID. En su lugar, se utilizan datos anonimizados en forma de participaciones secretas cifradas criptográficamente para permitir el funcionamiento de nuestro sistema de identificación”, explica.



La corporación sostiene que el marco normativo de la UE carece de una definición precisa sobre lo que constituye la anonimización de datos, lo cual dificulta el desarrollo de herramientas que respalden la seguridad en su uso. “La anonimización de datos, no solo su eliminación, es esencial para permitir que las personas se verifiquen como humanas en línea sin comprometer su identidad. Sin una definición clara al respecto perdemos nuestro recurso más poderoso para proteger la privacidad”, sentencia Damien Kieran, director legal y de privacidad en Tools for Humanity.

Worldcoin inició operaciones en Europa en julio de 2023. Se calcula que ha escaneado los ojos de cerca de 3.5 millones de usuarios en la región. Su tecnología ha comenzado a generar preocupaciones sobre el tratamiento de información tan sensible como el iris de una persona, que es único e irrepetible. En marzo de ese año, la Agencia Española de Protección de Datos detectó posibles infracciones al RGPD y emitió una orden cautelar para detener la recopilación y tratamiento de información biométrica. Además, exigió la eliminación de los datos ya obtenidos. La firma tuvo que acatar esta medida para evitar una sanción que podría alcanzar hasta 20 millones de euros o el 4% de su facturación global anual.

La seguridad social en Suecia tiene un parecido muy incómodo con Minority Report

En el relato The Minority Report, Philip K. Dick describe un futuro en el que la humanidad ha eliminado los asesinatos y minimizado la actividad delictiva gracias a los precogs, seres clarividentes cuyas predicciones ayudan a frustrar los crímenes antes de que se cometan. La historia también inspiró una famosa película de Steven Spielberg, protagonizada por Tom Cruise, y a menudo se usa para describir paradigmáticamente los sistemas de prevención de la delincuencia que utilizan métodos de vigilancia masiva y algoritmos de evaluación predictiva de riesgos. El último ejemplo de un sistema así procede de Suecia. Esto sorprende porque este país ocupa sistemáticamente los primeros puestos en las clasificaciones de transparencia.

Algoritmos de discriminación

Tras cientos de correos electrónicos y decenas de solicitudes, casi todas rechazadas, los medios Lighthouse y Svenske Dagbladet (SvD) obtuvieron acceso a datos inéditos que les permitieron analizar los algoritmos de aprendizaje automático utilizados por la agencia sueca de seguridad social. El conjunto de datos obtenido mostró cómo el sistema utilizado discrimina a determinados grupos sociales, en particular a las mujeres, los extranjeros y las personas de los estratos sociales más bajos.

De hecho, los resultados muestran que Försäkringskassan, la agencia estatal encargada de tramitar las solicitudes de prestaciones, utiliza un sistema que señala automáticamente a determinadas personas, lo que desencadena investigaciones por parte de las autoridades competentes. Esto afectaría principalmente a las mujeres, que tienen una probabilidad de ser objeto de investigación por parte de las autoridades más alta que los hombres.



Según los datos recogidos, no hay ninguna razón bien fundada para que esto ocurra. Una razón sería la incapacidad de diferenciar entre errores intencionados y accidentales cometidos en las solicitudes de ayuda financiera. Sin embargo, el porcentaje de errores en las solicitudes presentadas por mujeres no es superior al de los hombres. Junto con otros grupos discriminados, como las personas de origen extranjero, las que ganan menos que la media nacional, o las que carecen de titulación universitaria, las mujeres solicitantes son sistemática y erróneamente identificadas como personas con alto riesgo de fraude. La investigación demuestra que la metodología y la tecnología aplicadas por Försäkringskassan son defectuosas.

La máquina sueca de la sospecha

Tras un velo de secretismo, la agencia de seguridad social utiliza algoritmos predictivos en busca de una epidemia de fraude que no se corresponde con los datos procedentes de los casos que han aterrizado en los tribunales. El caso sueco parece un ejemplo más de sesgo que penaliza a determinados colectivos con base en razones opacas que habría que buscar en las cajas negras de los modelos de machine learning a los que no se tiene acceso. En una investigación de 2016, PropPublica lo había bautizado como Machine Bias.

En los últimos tres años, Lighthouse ha enviado solicitudes de acceso a datos, algoritmos de aprendizaje automático y códigos fuente a nueve países diferentes, invocando la libertad de información. Según los investigadores, Suecia fue el país menos transparente y colaborativo. Las solicitudes comenzaron en octubre de 2021 y las respuestas fueron rechazadas continuamente, alegando razones como la confidencialidad y los datos sensibles. Preguntas genéricas pero fundamentales, como si los algoritmos se entrenaron con datos aleatorios o cuántas personas fueron marcadas por el sistema, fueron devueltas al remitente, alegando que cualquier información compartida podría facilitar posibles conductas fraudulentas. En una ocasión, la agencia se negó incluso a facilitar los datos que había publicado en su propio informe anual, alegando que eran de carácter confidencial.


A woman's face reflected on a mirrored tissue box
Meredith Whittaker, presidenta de Signal, quiere demostrar que el capitalismo de la vigilancia es un error

En su décimo aniversario, la presidenta de Signal quiere recordarte que la plataforma de comunicaciones más segura del mundo no tiene fines de lucro. Es gratuita. No te rastrea ni te ofrece publicidad. Paga muy bien a sus ingenieros. Y es la aplicación preferida de cientos de millones de personas.


No era la primera vez que los algoritmos de Försäkringskassan levantaban sospechas; ya en 2018, de hecho, la ISF, una autoridad de supervisión independiente, había decretado que el sistema no garantizaba un trato justo. Tal versión de los hechos no fue compartida por la agencia sueca de seguridad social, que rechazó los resultados y la validez del análisis.

A partir de la información obtenida de ISF, Lighthouse y Svenske Dagbladet obtuvieron acceso a lo que hasta entonces habían solicitado sin recibir respuesta.

El conjunto de datos contiene detalles de 6,129 personas que habían enviado solicitudes de prestaciones para cubrir bajas laborales necesarias para cuidar a hijos enfermos. 1,047 de ellas fueron investigadas al azar, mientras que las 5,082 restantes fueron informadas por los algoritmos predictivos.

CVE-2024-28767

CVE-2024-28767

Título es
CVE-2024-28767

Vie, 20/12/2024 – 14:15

Tipo
CWE-78

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-28767

Descripción en
IBM Security Directory Integrator 7.2.0 through 7.2.0.13 and 10.0.0 through 10.0.3 could allow a remote authenticated attacker to execute arbitrary commands on the system by sending a specially crafted request.

20/12/2024
20/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-51466

CVE-2024-51466

Título es
CVE-2024-51466

Vie, 20/12/2024 – 14:15

Tipo
CWE-917

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-51466

Descripción en
IBM Cognos Analytics 11.2.0 through 11.2.4 FP4 and

12.0.0 through 12.0.4

is vulnerable to an Expression Language (EL) Injection vulnerability. A remote attacker could exploit this vulnerability to expose sensitive information, consume memory resources, and/or cause the server to crash when using a specially crafted EL statement.

20/12/2024
20/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
9.00

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

CVE-2024-40695

CVE-2024-40695

Título es
CVE-2024-40695

Vie, 20/12/2024 – 14:15

Tipo
CWE-434

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-40695

Descripción en
IBM Cognos Analytics 11.2.0 through 11.2.4 FP4 and

12.0.0 through 12.0.4

could be vulnerable to malicious file upload by not validating the content of the file uploaded to the web interface. Attackers can make use of this weakness and upload malicious executable files into the system, and it can be sent to victim for performing further attacks.

20/12/2024
20/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.00

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-7726

CVE-2024-7726

Título es
CVE-2024-7726

Vie, 20/12/2024 – 11:15

Tipo
CWE-306

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-7726

Descripción en
There exists an unauthenticated accessible JTAG port on the Kioxia PM6, PM7 and CM6 devices – On the Kioxia CM6, PM6 and PM7 disk drives it was discovered that the 2 main CPU cores of the SoC can be accessed via an open JTAG debug port that is exposed on the drive’s circuit board. Due to the wide cutout of the enclosures, the JTAG port can be accessed without having to open the disk enclosure. Utilizing the JTAG debug port, an attacker with (temporary) physical access can get full access to the firmware and memory on the 2 main CPU cores within the drive including the execution of arbitrary code, the modification of firmware execution flow and data or bypassing the firmware signature verification during boot-up.

20/12/2024
20/12/2024
Vector CVSS:4.0
CVSS:4.0/AV:P/AC:L/AT:P/PR:N/UI:N/VC:L/VI:H/VA:N/SC:L/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
5.70

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-12506

CVE-2024-12506

Título es
CVE-2024-12506

Vie, 20/12/2024 – 07:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-12506

Descripción en
The NACC WordPress Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's 'nacc' shortcode in all versions up to, and including, 4.1.0 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

20/12/2024
20/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off