CVE-2024-56159

CVE-2024-56159

Título es
CVE-2024-56159

Jue, 19/12/2024 – 19:15

Tipo
CWE-219

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-56159

Descripción en
Astro is a web framework for content-driven websites. A bug in the build process allows any unauthenticated user to read parts of the server source code. During build, along with client assets such as css and font files, the sourcemap files **for the server code** are moved to a publicly-accessible folder. Any outside party can read them with an unauthorized HTTP GET request to the same server hosting the rest of the website. While some server files are hashed, making their access obscure, the files corresponding to the file system router (those in `src/pages`) are predictably named. For example. the sourcemap file for `src/pages/index.astro` gets named `dist/client/pages/index.astro.mjs.map`. This vulnerability is the root cause of issue #12703, which links to a simple stackblitz project demonstrating the vulnerability. Upon build, notice the contents of the `dist/client` (referred to as `config.build.client` in astro code) folder. All astro servers make the folder in question accessible to the public internet without any authentication. It contains `.map` files corresponding to the code that runs on the server. All **server-output** projects on Astro 5 versions **v5.0.3** through **v5.0.7**, that have **sourcemaps enabled**, either directly or through an add-on such as `sentry`, are affected. The fix for **server-output** projects was released in **astro@5.0.8**. Additionally, all **static-output** projects built using Astro 4 versions **4.16.17 or older**, or Astro 5 versions **5.0.8 or older**, that have **sourcemaps enabled** are also affected. The fix for **static-output** projects was released in **astro@5.0.9**, and backported to Astro v4 in **astro@4.16.18**. The immediate impact is limited to source code. Any secrets or environment variables are not exposed unless they are present verbatim in the source code. There is no immediate loss of integrity within the the vulnerable server. However, it is possible to subsequently discover another vulnerability via the revealed source code . There is no immediate impact to availability of the vulnerable server. However, the presence of an unsafe regular expression, for example, can quickly be exploited to subsequently compromise the availability. The fix for **server-output** projects was released in **astro@5.0.8**, and the fix for **static-output** projects was released in **astro@5.0.9** and backported to Astro v4 in **astro@4.16.18**. Users are advised to update immediately if they are using sourcemaps or an integration that enables sourcemaps.

19/12/2024
19/12/2024
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
7.80

Gravedad 4.0 txt
HIGH

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-12111

CVE-2024-12111

Título es
CVE-2024-12111

Jue, 19/12/2024 – 20:15

Tipo
CWE-77

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-12111

Descripción en
In a specific scenario a LDAP user can abuse the authentication process in OpenText Privileged Access Manager that allows authentication bypass. This issue affects Privileged Access Manager version 23.3(4.4); 24.3(4.5)

19/12/2024
19/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.00

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-7138

CVE-2024-7138

Título es
CVE-2024-7138

Jue, 19/12/2024 – 20:15

Tipo
CWE-617

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-7138

Descripción en
An assert may be triggered, causing a temporary denial of service when a peer device sends a specially crafted malformed L2CAP packet. If a watchdog timer is not enabled, a hard reset is required to recover the device.

19/12/2024
19/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-7137

CVE-2024-7137

Título es
CVE-2024-7137

Jue, 19/12/2024 – 20:15

Tipo
CWE-787

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-7137

Descripción en
The L2CAP receive data buffer for L2CAP packets is restricted to packet sizes smaller than the maximum supported packet size. Receiving a packet that exceeds the restricted buffer length may cause a crash. A hard reset is required to recover the crashed device.

19/12/2024
19/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-53991

CVE-2024-53991

Título es
CVE-2024-53991

Jue, 19/12/2024 – 20:15

Tipo
CWE-200

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-53991

Descripción en
Discourse is an open source platform for community discussion. This vulnerability only impacts Discourse instances configured to use `FileStore::LocalStore` which means uploads and backups are stored locally on disk. If an attacker knows the name of the Discourse backup file, the attacker can trick nginx into sending the Discourse backup file with a well crafted request. This issue is patched in the latest stable, beta and tests-passed versions of Discourse. Users are advised to upgrade. Users unable to upgrade can either 1. Download all local backups on to another storage device, disable the `enable_backups` site setting and delete all backups until the site has been upgraded to pull in the fix. Or 2. Change the `backup_location` site setting to `s3` so that backups are stored and downloaded directly from S3.

19/12/2024
19/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-52794

CVE-2024-52794

Título es
CVE-2024-52794

Jue, 19/12/2024 – 20:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-52794

Descripción en
Discourse is an open source platform for community discussion. Users clicking on the lightbox thumbnails could be affected. This problem is patched in the latest version of Discourse. Users are advised to upgrade. There are no known workarounds for this vulnerability.

19/12/2024
19/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:H/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
6.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-52589

CVE-2024-52589

Título es
CVE-2024-52589

Jue, 19/12/2024 – 20:15

Tipo
CWE-200

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-52589

Descripción en
Discourse is an open source platform for community discussion. Moderators can see the Screened emails list in the admin dashboard, and through that can learn the email of a user. This problem is patched in the latest version of Discourse. Users unable to upgrade should remove moderator role from untrusted users.

19/12/2024
19/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
2.20

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW

Enviar en el boletín
Off

CVE-2024-49765

CVE-2024-49765

Título es
CVE-2024-49765

Jue, 19/12/2024 – 20:15

Tipo
CWE-359

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-49765

Descripción en
Discourse is an open source platform for community discussion. Sites that are using discourse connect but still have local logins enabled could allow attackers to bypass discourse connect to create accounts and login. This problem is patched in the latest version of Discourse. Users unable to upgrade who are using discourse connect may disable all other login methods as a workaround.

19/12/2024
19/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-7139

CVE-2024-7139

Título es
CVE-2024-7139

Jue, 19/12/2024 – 20:15

Tipo
CWE-617

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-7139

Descripción en
Due to an unchecked buffer length, a specially crafted L2CAP packet can cause a buffer overflow. This buffer overflow triggers an assert, which results in a temporary denial of service. 

If a watchdog timer is not enabled, a hard reset is required to recover the device.

19/12/2024
19/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

Los sheriffs de extrema derecha quieren realizar deportaciones masivas. Eso es simplemente imposible

El Wall Street Journal informó recientemente que el equipo de transición afirma que ya está estudiando ubicaciones y edificios a lo largo de la frontera y en ciudades gobernadas por demócratas —donde vive la mayoría de los inmigrantes no autorizados— para convertirlos en centros de detención masiva y evitar así el hacinamiento en las cárceles de los condados de todo el país. El medio también informó de que el equipo de transición también está considerando dar más poder a los sheriffs.


David Sacks y JD Vance
David Sacks, el ungido por Trump que se hará cargo de las criptomonedas y la IA

Ex ejecutivo de PayPal, amigo de Elon Musk, podcaster e inversionista: Sacks será el encargado de remodelar las políticas estadounidenses en dos sectores estratégicos.


Los sheriffs no pueden detener inmigrantes legalmente

Homan no es ajeno a los sheriffs. Tras haber trabajado como agente de la Patrulla Fronteriza durante casi tres décadas y luego como director en funciones del Servicio de Inmigración y Control de Aduanas (ICE), ha forjado estrechos vínculos con muchos sheriffs de todo EE UU a lo largo de los años.

«Creo que es razonable conceder que Tom Homan haya estado en contacto con los sheriffs. Ya estaba en contacto con ellos antes», dice Pishko. «En la primera administración de Trump, los sheriffs solían enviar correos electrónicos a Stephen Miller y Tom Homan todo el tiempo sobre deportaciones».

Los sheriffs, sin embargo, no están autorizados ordinariamente a detener o deportar a inmigrantes no autorizados. Esas funciones solo las realiza el ICE.

Un programa conocido como 287(g) «permite al ICE —a través de la delegación de funciones específicas de los funcionarios de inmigración— mejorar la colaboración con las fuerzas del orden estatales y locales para proteger la patria mediante la detención y expulsión de los no ciudadanos», pero no permite a los sheriffs o a sus ayudantes detener a presuntos inmigrantes no autorizados.

El programa existe desde hace décadas, pero el ICE afirma que, en la actualidad, sólo 125 de los 3,081 departamentos de sheriff se han inscrito. Dado que el programa es voluntario y no ofrece a los sheriffs ninguna financiación adicional —de hecho, en muchos casos les cuesta dinero—, la mayoría de los condados nunca se apuntaron, ni siquiera durante el primer mandato de Trump.

Una fuente de la transición que habló con el Wall Street Journal dijo que «esperan ver un número histórico de nuevos acuerdos», pero no está claro por qué más alguaciles se inscribirían esta vez si no lo hicieron durante el primer mandato de Trump.


Un hombre vestido con un traje y máscara de Nayib Bukele asiste a la ceremonia de investidura en el Palacio Nacional el 1 de junio de 2024 en San Salvador, El Salvador.
El Salvador y Bután ganan su apuesta por el bitcoin (por ahora)

Las dos naciones llevan tiempo apostando por las criptomonedas para reforzar las arcas del Estado. Sus apuestas están dando frutos, pero todo dependerá de la prudencia y de la estrategia general.


Para complicar aún más las cosas, algunos estados están intentando obligar a los sheriffs a asumir las funciones de agentes de inmigración. En Texas, por ejemplo, las fuerzas de seguridad locales pueden detener y acusar de un delito menor a los inmigrantes no autorizados. Y en las elecciones del mes pasado, los votantes de Arizona aprobaron la Proposición 314, que potencialmente permite a las fuerzas de seguridad locales acusar a los inmigrantes que cruzan la frontera ilegalmente de un delito estatal, aunque por ahora la ley es, al menos parcialmente, inaplicable.

Tras sondear a muchos de sus miembros, Thompson, director de la Asociación Nacional de Sheriffs, afirma que aplicarán las leyes de inmigración si se les pide: «Si se pide ayuda a los sheriffs, éstos desean contribuir a mantener la seguridad de las comunidades y colaborarán con las agencias federales en la medida de sus posibilidades», afirma.

Los sheriffs tienen muchas cosas que hacer

Hay muchos sheriffs —incluso pro-Trump— en todo EE UU que creen que la implementación práctica de la deportación a la escala masiva que Trump está prometiendo simplemente no funcionaría y supondría una enorme carga para los departamentos de los sheriffs.

Mike Murphy es sheriff del condado de Livingston, en Michigan, y es tan partidario del presidente electo que en agosto celebró un mitin pro-Trump en un edificio propiedad de la oficina del sheriff. (Ahora está siendo investigado por presunta violación de la ley de financiación de campañas).