CVE-2024-12840
Vie, 20/12/2024 – 16:15
CVE-2024-12840
CVE-2024-12840
Vie, 20/12/2024 – 16:15
CVE-2024-12840
CVE-2024-56337
Vie, 20/12/2024 – 16:15
CVE-2024-56337
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.1, from 10.1.0-M1 through 10.1.33, from 9.0.0.M1 through 9.0.97.
The mitigation for CVE-2024-50379 was incomplete.
Users running Tomcat on a case insensitive file system with the default servlet write enabled (readonly initialisation
parameter set to the non-default value of false) may need additional configuration to fully mitigate CVE-2024-50379 depending on which version of Java they are using with Tomcat:
– running on Java 8 or Java 11: the system property sun.io.useCanonCaches must be explicitly set to false (it defaults to true)
– running on Java 17: the system property sun.io.useCanonCaches, if set, must be set to false (it defaults to false)
– running on Java 21 onwards: no further configuration is required (the system property and the problematic cache have been removed)
Tomcat 11.0.3, 10.1.35 and 9.0.99 onwards will include checks that sun.io.useCanonCaches is set appropriately before allowing the default servlet to be write enabled on a case insensitive file system. Tomcat will also set sun.io.useCanonCaches to false by default where it can.
CVE-2024-55471
Vie, 20/12/2024 – 16:15
CVE-2024-55471
La Autoridad de Protección de Datos de Baviera, Alemania (BayLDA, por sus siglas en alemán), ha determinado que el proyecto Worldcoin violó el Reglamento General de Protección de Datos (RGPD) de la Unión Europea (UE) al escanear el iris de millones de ciudadanos el año pasado. El regulador señala que la iniciativa, creada por la empresa Tools for Humanity, no cumplió con los estándares de seguridad requeridos para proteger esta información biométrica y exige la eliminación inmediata de estos datos.
La BayLDA, en consenso con el resto de las autoridades de privacidad del bloque, ha concluido que Worldcoin almacenó los iris de los usuarios sin su consentimiento explícito, lo que representa una violación directa al RGPD. Advierte sobre una falta de atención en la custodia de los registros de los menores de edad, aspecto que será examinado en una investigación futura.
El modelo Worldcoin nació en 2019 con el objetivo de “crear un acceso universal a la economía global, independientemente del país o el origen, acelerando la transición hacia un futuro económico que acoja y beneficie a todas las personas del planeta”. Se fundamenta en dos pilares: una criptomoneda y un método de identificación digital que utiliza el iris de los usuarios como única información de verificación.
Utiliza un escáner ocular conocido como Orb que facilita la creación de un Word ID, “un protocolo de identidad descentralizado que prioriza la privacidad que se puede usar como un pasaporte digital para demostrar que eres una persona única y real, sin compartir datos personales como nombres y correos electrónicos”, explica el equipo de Tools for Humanity. El dispositivo se ha utilizado para digitalizar el iris de millones personas en múltiples ciudades del mundo, a cambio de 20 tokens.
La World Foundation, organización que actualmente gestiona Worldcoin, ha confirmado que apelará la decisión de la BayLDA. En un comunicado, asegura que los códigos de iris se almacenan únicamente en los dispositivos de los usuarios y no en servidores propios o externos. La fundación destacó que los datos recopilados en 2023 fueron eliminados voluntariamente en mayo, gracias a la introducción de un sistema conocido como Custodia de Datos Personales y de la configuración AMPC (Computación Multipartita Anonimizada).
“La aplicación de estas tecnologías innovadoras asegura que los códigos de iris no se retengan ni se almacenen. Ni Worldcoin ni ningún tercero saben quién es el propietario individual de un World ID. En su lugar, se utilizan datos anonimizados en forma de participaciones secretas cifradas criptográficamente para permitir el funcionamiento de nuestro sistema de identificación”, explica.
La corporación sostiene que el marco normativo de la UE carece de una definición precisa sobre lo que constituye la anonimización de datos, lo cual dificulta el desarrollo de herramientas que respalden la seguridad en su uso. “La anonimización de datos, no solo su eliminación, es esencial para permitir que las personas se verifiquen como humanas en línea sin comprometer su identidad. Sin una definición clara al respecto perdemos nuestro recurso más poderoso para proteger la privacidad”, sentencia Damien Kieran, director legal y de privacidad en Tools for Humanity.
Worldcoin inició operaciones en Europa en julio de 2023. Se calcula que ha escaneado los ojos de cerca de 3.5 millones de usuarios en la región. Su tecnología ha comenzado a generar preocupaciones sobre el tratamiento de información tan sensible como el iris de una persona, que es único e irrepetible. En marzo de ese año, la Agencia Española de Protección de Datos detectó posibles infracciones al RGPD y emitió una orden cautelar para detener la recopilación y tratamiento de información biométrica. Además, exigió la eliminación de los datos ya obtenidos. La firma tuvo que acatar esta medida para evitar una sanción que podría alcanzar hasta 20 millones de euros o el 4% de su facturación global anual.
En el relato The Minority Report, Philip K. Dick describe un futuro en el que la humanidad ha eliminado los asesinatos y minimizado la actividad delictiva gracias a los precogs, seres clarividentes cuyas predicciones ayudan a frustrar los crímenes antes de que se cometan. La historia también inspiró una famosa película de Steven Spielberg, protagonizada por Tom Cruise, y a menudo se usa para describir paradigmáticamente los sistemas de prevención de la delincuencia que utilizan métodos de vigilancia masiva y algoritmos de evaluación predictiva de riesgos. El último ejemplo de un sistema así procede de Suecia. Esto sorprende porque este país ocupa sistemáticamente los primeros puestos en las clasificaciones de transparencia.
Tras cientos de correos electrónicos y decenas de solicitudes, casi todas rechazadas, los medios Lighthouse y Svenske Dagbladet (SvD) obtuvieron acceso a datos inéditos que les permitieron analizar los algoritmos de aprendizaje automático utilizados por la agencia sueca de seguridad social. El conjunto de datos obtenido mostró cómo el sistema utilizado discrimina a determinados grupos sociales, en particular a las mujeres, los extranjeros y las personas de los estratos sociales más bajos.
De hecho, los resultados muestran que Försäkringskassan, la agencia estatal encargada de tramitar las solicitudes de prestaciones, utiliza un sistema que señala automáticamente a determinadas personas, lo que desencadena investigaciones por parte de las autoridades competentes. Esto afectaría principalmente a las mujeres, que tienen una probabilidad de ser objeto de investigación por parte de las autoridades más alta que los hombres.
Según los datos recogidos, no hay ninguna razón bien fundada para que esto ocurra. Una razón sería la incapacidad de diferenciar entre errores intencionados y accidentales cometidos en las solicitudes de ayuda financiera. Sin embargo, el porcentaje de errores en las solicitudes presentadas por mujeres no es superior al de los hombres. Junto con otros grupos discriminados, como las personas de origen extranjero, las que ganan menos que la media nacional, o las que carecen de titulación universitaria, las mujeres solicitantes son sistemática y erróneamente identificadas como personas con alto riesgo de fraude. La investigación demuestra que la metodología y la tecnología aplicadas por Försäkringskassan son defectuosas.
Tras un velo de secretismo, la agencia de seguridad social utiliza algoritmos predictivos en busca de una epidemia de fraude que no se corresponde con los datos procedentes de los casos que han aterrizado en los tribunales. El caso sueco parece un ejemplo más de sesgo que penaliza a determinados colectivos con base en razones opacas que habría que buscar en las cajas negras de los modelos de machine learning a los que no se tiene acceso. En una investigación de 2016, PropPublica lo había bautizado como Machine Bias.
En los últimos tres años, Lighthouse ha enviado solicitudes de acceso a datos, algoritmos de aprendizaje automático y códigos fuente a nueve países diferentes, invocando la libertad de información. Según los investigadores, Suecia fue el país menos transparente y colaborativo. Las solicitudes comenzaron en octubre de 2021 y las respuestas fueron rechazadas continuamente, alegando razones como la confidencialidad y los datos sensibles. Preguntas genéricas pero fundamentales, como si los algoritmos se entrenaron con datos aleatorios o cuántas personas fueron marcadas por el sistema, fueron devueltas al remitente, alegando que cualquier información compartida podría facilitar posibles conductas fraudulentas. En una ocasión, la agencia se negó incluso a facilitar los datos que había publicado en su propio informe anual, alegando que eran de carácter confidencial.
No era la primera vez que los algoritmos de Försäkringskassan levantaban sospechas; ya en 2018, de hecho, la ISF, una autoridad de supervisión independiente, había decretado que el sistema no garantizaba un trato justo. Tal versión de los hechos no fue compartida por la agencia sueca de seguridad social, que rechazó los resultados y la validez del análisis.
A partir de la información obtenida de ISF, Lighthouse y Svenske Dagbladet obtuvieron acceso a lo que hasta entonces habían solicitado sin recibir respuesta.
El conjunto de datos contiene detalles de 6,129 personas que habían enviado solicitudes de prestaciones para cubrir bajas laborales necesarias para cuidar a hijos enfermos. 1,047 de ellas fueron investigadas al azar, mientras que las 5,082 restantes fueron informadas por los algoritmos predictivos.
CVE-2024-28767
Vie, 20/12/2024 – 14:15
CVE-2024-28767
CVE-2024-51466
Vie, 20/12/2024 – 14:15
CVE-2024-51466
12.0.0 through 12.0.4
is vulnerable to an Expression Language (EL) Injection vulnerability. A remote attacker could exploit this vulnerability to expose sensitive information, consume memory resources, and/or cause the server to crash when using a specially crafted EL statement.
CVE-2024-40695
Vie, 20/12/2024 – 14:15
CVE-2024-40695
12.0.0 through 12.0.4
could be vulnerable to malicious file upload by not validating the content of the file uploaded to the web interface. Attackers can make use of this weakness and upload malicious executable files into the system, and it can be sent to victim for performing further attacks.
CVE-2024-7726
Vie, 20/12/2024 – 11:15
CVE-2024-7726
CVE-2024-12506
Vie, 20/12/2024 – 07:15
CVE-2024-12506