Por qué el ejército estadounidense no puede simplemente derribar los drones misteriosos

Un espectro que recorre Estados Unidos está siendo noticia: se trata del espectro de la guerra de aviones no tripulados, o drones.

Drones sobre New Jersey

Desde mediados de noviembre, vehículos aéreos no tripulados no identificados han iluminado los cielos de Nueva Jersey, sorprendiendo a los residentes y desconcertando a las autoridades militares y gubernamentales. Las instalaciones de investigación y fabricación del Arsenal Picatinny del ejército estadounidense, en el condado de Morris, han informado de 11 casos confirmados de misteriosos drones que han entrado ilegalmente en su espacio aéreo desde mediados de mes, mientras que una docena de drones fueron vistos sobrevolando la Estación Naval de Armas Earle, en el condado de Monmouth, a principios de diciembre. Se han registrado avistamientos similares en al menos otros seis condados del estado; según la Guardia Costera, un grupo de drones llegó a seguir «de cerca» a uno de los buques del servicio alrededor de un parque estatal.

La oleada de avistamientos de drones en los cielos de Nueva Jersey ha causado alarma entre los legisladores del estado, llevando a uno de ellos a solicitar un «estado de emergencia limitado… hasta que el público reciba una explicación» sobre el origen de los drones no identificados. Un congresista republicano estadounidense llegó a afirmar que los aviones no tripulados procedían de una «nave nodriza» iraní que acechaba frente a las costas del estado, una afirmación que el Departamento de Defensa de Estados Unidos se apresuró a desmentir.

«Como usted sabe, la Base Conjunta McGuire-Dix-Lakehurst (JBMDL) posee capacidades para identificar y derribar sistemas aéreos no tripulados no autorizados y ha utilizado esta capacidad para hacer frente a los sobrevuelos de la instalación», señaló el representante de Nueva Jersey Chris Smith al Secretario de Defensa Lloyd Austin en una carta del 10 de diciembre. «Solicito urgentemente que todas las capacidades que posee el Departamento de Defensa, especialmente las que utiliza el JBMDL, se desplieguen de inmediato para identificar y abordar las amenazas potenciales que plantean [los drones] sobre el estado de Nueva Jersey».

¿No hay problema?

A pesar del creciente coro de preocupación de los legisladores de Nueva Jersey, el ejército estadounidense parece relativamente poco impresionado por las repentinas incursiones. En un comunicado del 11 de diciembre, el Mando Norte de EE UU (NORTHCOM) reveló que el mando había «llevado a cabo un análisis deliberado de los acontecimientos, en consulta con otras organizaciones militares y socios interinstitucionales, y en este momento no se nos ha pedido que prestemos asistencia en estos sucesos». Al día siguiente, el asesor de comunicaciones de seguridad nacional de la Casa Blanca, John Kirby, declaró que muchos de los supuestos avistamientos de drones que habían alarmado a los observadores civiles sobre el terreno en las últimas semanas eran, en realidad, aviones tripulados convencionales. La Oficina Federal de Investigación y el Departamento de Seguridad Nacional se hicieron eco de esta afirmación en un comunicado emitido el jueves: «parece que muchos de los avistamientos de los que se ha informado son en realidad aeronaves tripuladas que operan legalmente». No hay avistamientos reportados o confirmados de drones en ningún espacio aéreo restringido.»

«En este momento, no tenemos pruebas de que estas actividades procedan de una entidad extranjera o sean obra de un adversario. Vamos a seguir vigilando lo que está ocurriendo», declaró el miércoles a los periodistas la vicesecretaria de prensa del Pentágono, Sabrina Singh. «En ningún momento nuestras instalaciones se vieron amenazadas cuando se estaba produciendo esta actividad». En una interesante confluencia de acontecimientos, el Departamento de Justicia estadounidense (DOJ) anunció ese mismo día la detención de un ciudadano chino por sobrevolar y fotografiar con un dron la base de las Fuerzas Espaciales de Vandenberg, en California.

La alarma por las repentinas incursiones de drones sobre Nueva Jersey, las vecinas Nueva York y Pensilvania, y cerca de lugares sensibles del gobierno estadounidense en particular, aunque exagerada, no es totalmente injustificada. Funcionarios del Mando de Defensa Aeroespacial de Norteamérica (NORAD), la organización militar conjunta estadounidense-canadiense encargada de supervisar la soberanía aérea en el continente, revelaron en octubre que habían recibido informes de casi 600 incursiones sobre instalaciones militares estadounidenses desde 2022.

Capacidad de acción

El problema es que la legislación estadounidense limita severamente la forma en que el ejército de ese país puede responder a estos misteriosos drones, incluso si el número de incidentes ha ido creciendo durante años.

De hecho, durante varios meses a principios de este año, drones no identificados sobrevolaron repetidamente la Planta 42 en California, la instalación de la Base Edwards de la Fuerza Aérea donde el contratista de defensa Northrop Grumman ha estado trabajando en los nuevos bombarderos furtivos B-21 Raider de la Fuerza Aérea. En diciembre de 2023, la base aérea de Langley, en Virginia, fue blanco de una oleada de misteriosos sobrevuelos de drones, lo que llevó al Pentágono a trasladar a otra base un contingente de cazas F-22 Raptor estacionados allí. Y los incidentes de Nueva Jersey se producen poco después de una serie de incursiones de drones a mediados de noviembre cerca de RAF Lakenheath, en el Reino Unido, que, aunque no es una instalación nacional estadounidense, alberga un contingente estratégicamente importante de cazas estadounidenses, entre otras capacidades.

CVE-2024-48872

CVE-2024-48872

Título es
CVE-2024-48872

Lun, 16/12/2024 – 08:15

Tipo
CWE-362

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-48872

Descripción en
Mattermost versions 10.1.x

16/12/2024
16/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
4.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-54682

CVE-2024-54682

Título es
CVE-2024-54682

Lun, 16/12/2024 – 08:15

Tipo
CWE-409

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-54682

Descripción en
Mattermost versions 10.1.x

16/12/2024
16/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-54083

CVE-2024-54083

Título es
CVE-2024-54083

Lun, 16/12/2024 – 08:15

Tipo
CWE-1287

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-54083

Descripción en
Mattermost versions 10.1.x

16/12/2024
16/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-12362

CVE-2024-12362

Título es
CVE-2024-12362

Lun, 16/12/2024 – 10:15

Tipo
CWE-22

Gravedad v2.0
4.00

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2024-12362

Descripción en
A vulnerability was found in InvoicePlane up to 1.6.1. It has been classified as problematic. This affects the function download of the file invoices.php. The manipulation of the argument invoice leads to path traversal. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 1.6.2-beta-1 is able to address this issue. It is recommended to upgrade the affected component. The vendor was contacted early, responded in a very professional manner and quickly released a fixed version of the affected product.

16/12/2024
16/12/2024
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Vector CVSS:2.0
AV:N/AC:L/Au:S/C:P/I:N/A:N

Gravedad 4.0
5.30

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 (CVSS 3.1 Base Score)
4.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-12478

CVE-2024-12478

Título es
CVE-2024-12478

Lun, 16/12/2024 – 11:15

Tipo
CWE-284

Gravedad v2.0
6.50

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2024-12478

Descripción en
A vulnerability was found in InvoicePlane up to 1.6.1. It has been declared as critical. This vulnerability affects the function upload_file of the file /index.php/upload/upload_file/1/1. The manipulation of the argument file leads to unrestricted upload. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 1.6.2-beta-1 is able to address this issue. It is recommended to upgrade the affected component. The vendor was contacted early, responded in a very professional manner and quickly released a fixed version of the affected product.

16/12/2024
16/12/2024
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:S/C:P/I:P/A:P

Gravedad 4.0
5.30

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 (CVSS 3.1 Base Score)
6.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-56112

CVE-2024-56112

Título es
CVE-2024-56112

Lun, 16/12/2024 – 06:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-56112

Descripción en
CyberPanel (aka Cyber Panel) before f0cf648 allows XSS via token or username to plogical/phpmyadminsignin.php.

16/12/2024
16/12/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-5333

CVE-2024-5333

Título es
CVE-2024-5333

Lun, 16/12/2024 – 06:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-5333

Descripción en
The Events Calendar WordPress plugin before 6.8.2.1 is missing access checks in the REST API, allowing for unauthenticated users to access information about password protected events.

16/12/2024
16/12/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-12641

CVE-2024-12641

Título es
CVE-2024-12641

Lun, 16/12/2024 – 07:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-12641

Descripción en
TenderDocTransfer from Chunghwa Telecom has a Reflected Cross-site scripting vulnerability. The application sets up a simple local web server and provides APIs for communication with the target website. Due to the lack of CSRF protection for the APIs, unauthenticated remote attackers could use specific APIs through phishing to execute arbitrary JavaScript code in the user’s browser. Since the web server set by the application supports Node.Js features, attackers can further leverage this to run OS commands.

16/12/2024
16/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
9.60

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

CVE-2024-9678

CVE-2024-9678

Título es
CVE-2024-9678

Lun, 16/12/2024 – 07:15

Tipo
CWE-89

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-9678

Descripción en
An SQL Injection vulnerability existed in DLP Extension 11.11.1.3. The vulnerability allowed an attacker to perform arbitrary SQL queries potentially leading to command execution.

16/12/2024
16/12/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
4.90

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off