CVE-2024-39552

CVE-2024-39552

Título es
CVE-2024-39552

Jue, 11/07/2024 – 17:15

Tipo
CWE-755

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-39552

Descripción en
An Improper Handling of Exceptional Conditions vulnerability in the routing protocol daemon (RPD) of Juniper Networks Junos OS and Junos OS Evolved allows a network based, unauthenticated attacker to cause the RPD process to crash leading to a Denial of Service (DoS).

When a malformed BGP UPDATE packet is received over an established BGP session, RPD crashes and restarts.

Continuous receipt of the malformed BGP UPDATE messages will create a sustained Denial of Service (DoS) condition for impacted devices.

This issue affects eBGP and iBGP, in both IPv4 and IPv6 implementations. This issue requires a remote attacker to have at least one established BGP session.

This issue affects:

Juniper Networks Junos OS:
* All versions earlier than 20.4R3-S9;
* 21.2 versions earlier than 21.2R3-S7;
* 21.3 versions earlier than 21.3R3-S5;
* 21.4 versions earlier than 21.4R3-S6;
* 22.1 versions earlier than 22.1R3-S4;
* 22.2 versions earlier than 22.2R3-S3;
* 22.3 versions earlier than 22.3R3-S2;
* 22.4 versions earlier than 22.4R3;
* 23.2 versions earlier than 23.2R2.

Juniper Networks Junos OS Evolved:
* All versions earlier than 21.2R3-S7;
* 21.3-EVO versions earlier than 21.3R3-S5;
* 21.4-EVO versions earlier than 21.4R3-S8;
* 22.1-EVO versions earlier than 22.1R3-S4;
* 22.2-EVO versions earlier than 22.2R3-S3;
* 22.3-EVO versions earlier than 22.3R3-S2;
* 22.4-EVO versions earlier than 22.4R3;
* 23.2-EVO versions earlier than 23.2R2.

11/07/2024
11/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-6681

CVE-2024-6681

Título es
CVE-2024-6681

Jue, 11/07/2024 – 17:15

Tipo
CWE-89

Gravedad v2.0
6.50

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2024-6681

Descripción en
A vulnerability, which was classified as critical, has been found in witmy my-springsecurity-plus up to 2024-07-04. Affected by this issue is some unknown functionality of the file /api/dept. The manipulation of the argument params.dataScope leads to sql injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used. VDB-271154 is the identifier assigned to this vulnerability.

11/07/2024
11/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:S/C:P/I:P/A:P

Gravedad 3.1 (CVSS 3.1 Base Score)
6.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-6485

CVE-2024-6485

Título es
CVE-2024-6485

Jue, 11/07/2024 – 17:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6485

Descripción en
A security vulnerability has been discovered in bootstrap that could enable Cross-Site Scripting (XSS) attacks. The vulnerability is associated with the data-loading-text attribute within the button plugin. This vulnerability can be exploited by injecting malicious JavaScript code into the attribute, which would then be executed when the button's loading state is triggered.

11/07/2024
11/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
6.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-6484

CVE-2024-6484

Título es
CVE-2024-6484

Jue, 11/07/2024 – 17:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6484

Descripción en
A vulnerability has been identified in Bootstrap that exposes users to Cross-Site Scripting (XSS) attacks. The issue is present in the carousel component, where the data-slide and data-slide-to attributes can be exploited through the href attribute of an tag due to inadequate sanitization. This vulnerability could potentially enable attackers to execute arbitrary JavaScript within the victim's browser.

11/07/2024
11/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
6.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-6531

CVE-2024-6531

Título es
CVE-2024-6531

Jue, 11/07/2024 – 18:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6531

Descripción en
A vulnerability has been identified in Bootstrap that exposes users to Cross-Site Scripting (XSS) attacks. The issue is present in the carousel component, where the data-slide and data-slide-to attributes can be exploited through the href attribute of an tag due to inadequate sanitization. This vulnerability could potentially enable attackers to execute arbitrary JavaScript within the victim's browser.

11/07/2024
11/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
6.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

Rusia interrumpe el GPS para desviar misiles ucranianos

En Ucrania, fuentes del ejército informan de que, debido a las interferencias electromagnéticas en los GPS de fabricación rusa, algunos misiles suministrados por la OTAN a Kiev están resultando completamente ineficaces contra los ataques enemigos. En particular, las Bombas de Pequeño Diámetro Lanzadas Desde tierra, GLSDB, fabricadas por la estadounidense Boeing y la sueca Saab, están encontrando serias dificultades en el campo de batalla.

Bomba de Pequeño Diámetro Lanzada desde Tierra

Las GLSDB, que se introdujeron en 2022, debían ofrecer a Ucrania la posibilidad de alcanzar con precisión objetivos situados a una distancia de hasta 150 kilómetros. A pesar de que se anunciaban como equipadas con un sistema GPS «altamente resistente a las interferencias», estas armas demostraron ser vulnerables a las técnicas de guerra electrónica rusas. Un problema que no solamente anula la eficacia del arma, sino que supone un despilfarro de recursos humanos y materiales para el ejército ucraniano. Esta situación ya fue anticipada en abril, cuando un ejecutivo del Pentágono, Bill La Plante, insinuó la vulnerabilidad de un arma similar a la guerra electrónica rusa. Posteriormente, fuentes anónimas confirmaron a Reuters que se trataba efectivamente de GLSDB.

La ineficacia de estas armas, que sin embargo siguen siendo muy avanzadas tecnológicamente, está empujando a las tropas ucranianas a volver a métodos más tradicionales, como la artillería convencional, que no puede ser perturbada electrónicamente. Un cambio de estrategia defensiva que podría tener importantes repercusiones en el conflicto, teniendo en cuenta que Rusia parece haber superado su escasez de municiones gracias al apoyo de aliados como Corea del Norte.

Para Estados Unidos, la situación sigue siendo muy preocupante porque, además de la poca fiabilidad de sus sistemas de defensa tierra-aire, los dos años de guerra están dando a Rusia la oportunidad de acumular experiencia de primera mano sobre el terreno. Esto ha hecho que los rusos realicen enormes progresos en los sistemas de guerra electrónica. Los expertos militares aseguran que incluso las municiones lanzadas desde aviones y hasta los sofisticados sistemas de misiles Himars, que deberían haber beneficiado a Kiev, fueron saboteados por los sistemas GPS rusos. De hecho, según Business Insider, las principales empresas de defensa estadounidenses ya están trabajando para desarrollar una solución a este problema.

Más allá de Ucrania

Pero los efectos de la injerencia rusa se extienden mucho más allá del frente ucraniano. El ministro de Asuntos Exteriores estonio , Margus Tsahkna, confirmó recientemente que Rusia está bloqueando las señales GPS en amplias zonas de Europa del Este. Esto ha provocado el cierre del aeropuerto de Tartu, en Estonia, y está afectando a varias naciones bálticas y nórdicas. Las interferencias, localizadas en tres localidades rusas, incluido el enclave de Kaliningrado, plantean interrogantes sobre las verdaderas intenciones de Moscú.

Cabe preguntarse si se trata de un mero efecto secundario de las medidas de defensa rusas contra los drones ucranianos o de una acción deliberada contra la infraestructura civil de países no beligerantes. La distinción es crucial desde el punto de vista jurídico. Mientras que la interferencia como efecto colateral en zonas de conflicto activo puede considerarse lícita según las Convenciones de Ginebra, los ataques dirigidos contra la infraestructura civil de naciones neutrales podrían violar el derecho internacional.

Artículo publicado originalmente en WIRED Italia. Adaptado por Mauricio Serfatty Godoy.

CVE-2024-6407

CVE-2024-6407

Título es
CVE-2024-6407

Jue, 11/07/2024 – 10:15

Tipo
CWE-200

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6407

Descripción es
CWE-200: Existe una vulnerabilidad de exposición de información que podría provocar la divulgación de credenciales cuando se envía un mensaje especialmente manipulado al dispositivo.

Descripción en
CWE-200: Information Exposure vulnerability exists that could cause disclosure of
credentials when a specially crafted message is sent to the device.

11/07/2024
11/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
9.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

CVE-2024-6643

CVE-2024-6643

Título es
CVE-2024-6643

Jue, 11/07/2024 – 10:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6643

Descripción en
Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.

11/07/2024
11/07/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-6035

CVE-2024-6035

Título es
CVE-2024-6035

Jue, 11/07/2024 – 11:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6035

Descripción es
Existe una vulnerabilidad de Cross Site Scripting almacenado (XSS) en gaizhenbiao/chuanhuchatgpt versión 20240410. Esta vulnerabilidad permite a un atacante inyectar código JavaScript malicioso en el archivo del historial de chat. Cuando una víctima carga este archivo, el script malicioso se ejecuta en el navegador de la víctima. Esto puede provocar el robo de datos de los usuarios, el secuestro de sesiones, la distribución de malware y ataques de phishing.

Descripción en
A Stored Cross-Site Scripting (XSS) vulnerability exists in gaizhenbiao/chuanhuchatgpt version 20240410. This vulnerability allows an attacker to inject malicious JavaScript code into the chat history file. When a victim uploads this file, the malicious script is executed in the victim's browser. This can lead to user data theft, session hijacking, malware distribution, and phishing attacks.

11/07/2024
11/07/2024
Vector CVSS:3.1
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
9.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

CVE-2024-6528

CVE-2024-6528

Título es
CVE-2024-6528

Jue, 11/07/2024 – 09:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6528

Descripción en
CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site
Scripting') vulnerability exists that could cause a vulnerability leading to a cross-site scripting
condition where attackers can have a victim’s browser run arbitrary JavaScript when they visit a
page containing the injected payload.

11/07/2024
11/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off