El fiasco en la privacidad del gabinete de Trump: Primero Signal y luego Venmo

Venmo no respondió inmediatamente a la solicitud de comentarios de WIRED. En una declaración enviada a WIRED en respuesta a las preguntas sobre las cuentas de Waltz y Wiles, la portavoz Erin Mackey dijo: «Nos tomamos muy en serio la privacidad de nuestros clientes, por eso les permitimos elegir su configuración de privacidad en Venmo, tanto para sus pagos individuales como para sus listas de amigos, y hacemos que sea increíblemente sencillo para los clientes hacerlas privadas si así lo desean».

Inaceptable

«Desde mi punto de vista, como veterana, todo el mundo tiene derecho a utilizar las aplicaciones y servicios que considere necesarios para vivir su vida», afirma Tara Lemieux, veterana con 35 años de experiencia en la comunidad de inteligencia de EE UU, incluida la Agencia de Seguridad Nacional, el Departamento de Seguridad Nacional y las agencias de apoyo. «Dicho esto, cuando publicas cualquier cosa en esas aplicaciones de terceros y no entiendes cómo esa información puede ser compartida o explotada, estás asumiendo un riesgo para nuestra nación, y eso no es aceptable».

Para Lemieux, aunque las transacciones públicas en Venmo puedan parecer inofensivas, los servicios de inteligencia extranjeros (especialmente las agencias de inteligencia de señales) buscan patrones: quién paga a quién, con qué frecuencia y cuándo. «Digamos que están haciendo pagos a sus hijos: ahora tienes un punto de ventaja. Si hay alguien ahí fuera que quiere atacarle, puede utilizar esa información y empezar a hacerle temer por la seguridad de sus hijos», afirma Lemieux.

«La velocidad del mundo digital ha superado nuestra capacidad de controlarlo», añade. «Si tienes toda esta información ahí fuera, ¿cómo demonios vas a volver a poner la pasta de dientes en el tubo?».

Mike Yeagley, especialista en datos comerciales y sus riesgos para la seguridad, lleva más de 15 años asesorando al Departamento de Defensa de Estados Unidos sobre cómo tanto aliados como adversarios aprovechan lo que él denomina «escape digital», los detalles aparentemente mundanos (conexiones sociales, transacciones de servicios y rastros de metadatos) que dejan tras de sí las aplicaciones cotidianas. «Al más alto nivel de nuestra dirección de seguridad nacional, independientemente de la administración, tiene que haber una conciencia de nuestros datos y de lo que proyectamos que puede ser descubrible», añade.

«¿Cuál es el riesgo de que alguien del Gabinete utilice Venmo para pagar a su entrenador personal? A primera vista, no parece mucho», comenta Yeagley. «Pero ahora sé quién es ese entrenador (o el jardinero, o quien sea) y de repente he ampliado mi capacidad de ataque identificando a las personas que rodean a ese funcionario».

Yeagley añade que «nuestros adversarios son sofisticados y carnívoros en su recopilación de datos», lo que significa que «hasta el más mínimo dato es de interés para alguien sofisticado. Utilizarán esos datos. Construirán a partir de él».

Según Venmo, su función de «sincronización de contactos» permite a los usuarios subir contactos telefónicos a la aplicación para poder encontrar a personas que conocen. Cuando se creaban estas cuentas Venmo expuestas (todas antes de 2020), la aplicación mostraba un aviso que permitía a los usuarios sincronizar sus contactos telefónicos, rellenando automáticamente su lista de amigos con cualquier persona de su libreta de direcciones que ya utilizara la plataforma. Venmo dice que esta funcionalidad quedó obsoleta hace más de dos años. En la actualidad, la sincronización de contactos ya no crea conexiones por defecto. Para añadir a alguien como amigo, los usuarios tienen que buscarlo, enviarle una solicitud y que ésta sea aceptada.

Sin embargo, según la política de privacidad de Venmo, a menos que los usuarios cambien proactivamente su configuración de privacidad, su red sigue siendo visible para cualquiera. Esto significa que incluso cuando un usuario configura su cuenta como privada, su lista de amigos sigue siendo visible a menos que dé un paso adicional. En el momento de la publicación, para ocultar las conexiones hay que ir a Ajustes > Privacidad > Lista de amigos y seleccionar Privado.

Stephen Lurie ha contribuido con su información.

Artículo originalmente publicado en WIRED. Adaptado por Mauricio Serfatty Godoy.

CVE-2025-30211

CVE-2025-30211

Título es
CVE-2025-30211

Vie, 28/03/2025 – 15:15

Tipo
CWE-789

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-30211

Descripción en
Erlang/OTP is a set of libraries for the Erlang programming language. Prior to versions OTP-27.3.1, 26.2.5.10, and 25.3.2.19, a maliciously formed KEX init message can result with high memory usage. Implementation does not verify RFC specified limits on algorithm names (64 characters) provided in KEX init message. Big KEX init packet may lead to inefficient processing of the error data. As a result, large amount of memory will be allocated for processing malicious data. Versions OTP-27.3.1, OTP-26.2.5.10, and OTP-25.3.2.19 fix the issue. Some workarounds are available. One may set option `parallel_login` to `false` and/or reduce the `max_sessions` option.

28/03/2025
28/03/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2025-30372

CVE-2025-30372

Título es
CVE-2025-30372

Vie, 28/03/2025 – 15:15

Tipo
CWE-89

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-30372

Descripción en
Emlog is an open source website building system. Emlog Pro versions pro-2.5.7 and pro-2.5.8 contain an SQL injection vulnerability. `search_controller.php` does not use addslashes after urldecode, allowing the preceeding addslashes to be bypassed by URL double encoding. This could result in potential leakage of sensitive information from the user database. Version pro-2.5.9 fixes the issue.

28/03/2025
28/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
7.70

Gravedad 4.0 txt
HIGH

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2025-31010

CVE-2025-31010

Título es
CVE-2025-31010

Vie, 28/03/2025 – 15:15

Tipo
CWE-352

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-31010

Descripción en
Cross-Site Request Forgery (CSRF) vulnerability in ReichertBrothers SimplyRETS Real Estate IDX allows Cross Site Request Forgery. This issue affects SimplyRETS Real Estate IDX: from n/a through 3.0.3.

28/03/2025
28/03/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
4.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2025-30371

CVE-2025-30371

Título es
CVE-2025-30371

Vie, 28/03/2025 – 15:15

Tipo
CWE-59

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-30371

Descripción en
Metabase is a business intelligence and embedded analytics tool. Versions prior to v0.52.16.4, v1.52.16.4, v0.53.8, and v1.53.8 are vulnerable to circumvention of local link access protection in GeoJson endpoint. Self hosted Metabase instances that are using the GeoJson feature could be potentially impacted if their Metabase is colocated with other unsecured resources. This is fixed in v0.52.16.4, v1.52.16.4, v0.53.8, and v1.53.8. Migrating to Metabase Cloud or redeploying Metabase in a dedicated subnet with strict outbound port controls is an available workaround.

28/03/2025
28/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:N/VC:N/VI:N/VA:N/SC:L/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
2.10

Gravedad 4.0 txt
LOW

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2025-2912

CVE-2025-2912

Título es
CVE-2025-2912

Vie, 28/03/2025 – 16:15

Tipo
CWE-119

Gravedad v2.0
1.70

Gravedad 2.0 Txt
LOW

Título en

CVE-2025-2912

Descripción en
A vulnerability was found in HDF5 up to 1.14.6. It has been declared as problematic. Affected by this vulnerability is the function H5O_msg_flush of the file src/H5Omessage.c. The manipulation of the argument oh leads to heap-based buffer overflow. The attack needs to be approached locally. The exploit has been disclosed to the public and may be used.

28/03/2025
28/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Vector CVSS:2.0
AV:L/AC:L/Au:S/C:N/I:N/A:P

Gravedad 4.0
4.80

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 (CVSS 3.1 Base Score)
3.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW

Enviar en el boletín
Off

CVE-2025-2713

CVE-2025-2713

Título es
CVE-2025-2713

Vie, 28/03/2025 – 16:15

Tipo
CWE-269

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-2713

Descripción en
Google gVisor's runsc component exhibited a local privilege escalation vulnerability due to incorrect handling of file access permissions, which allowed unprivileged users to access restricted files. This occurred because the process initially ran with root-like permissions until the first fork.

28/03/2025
28/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
6.80

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2025-2916

CVE-2025-2916

Título es
CVE-2025-2916

Vie, 28/03/2025 – 17:15

Tipo
CWE-74

Gravedad v2.0
6.50

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2025-2916

Descripción en
A vulnerability, which was classified as critical, has been found in Aishida Call Center System up to 20250314. This issue affects some unknown processing of the file /doscall/weixin/open/amr2mp3. The manipulation of the argument File leads to command injection. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

28/03/2025
28/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:S/C:P/I:P/A:P

Gravedad 4.0
5.30

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 (CVSS 3.1 Base Score)
6.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2025-2915

CVE-2025-2915

Título es
CVE-2025-2915

Vie, 28/03/2025 – 17:15

Tipo
CWE-119

Gravedad v2.0
1.70

Gravedad 2.0 Txt
LOW

Título en

CVE-2025-2915

Descripción en
A vulnerability classified as problematic was found in HDF5 up to 1.14.6. This vulnerability affects the function H5F__accum_free of the file src/H5Faccum.c. The manipulation of the argument overlap_size leads to heap-based buffer overflow. Attacking locally is a requirement. The exploit has been disclosed to the public and may be used.

28/03/2025
28/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Vector CVSS:2.0
AV:L/AC:L/Au:S/C:N/I:N/A:P

Gravedad 4.0
4.80

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 (CVSS 3.1 Base Score)
3.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW

Enviar en el boletín
Off

CVE-2025-2914

CVE-2025-2914

Título es
CVE-2025-2914

Vie, 28/03/2025 – 17:15

Tipo
CWE-119

Gravedad v2.0
1.70

Gravedad 2.0 Txt
LOW

Título en

CVE-2025-2914

Descripción en
A vulnerability classified as problematic has been found in HDF5 up to 1.14.6. This affects the function H5FS__sinfo_Srialize_Sct_cb of the file src/H5FScache.c. The manipulation of the argument sect leads to heap-based buffer overflow. Local access is required to approach this attack. The exploit has been disclosed to the public and may be used.

28/03/2025
28/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Vector CVSS:2.0
AV:L/AC:L/Au:S/C:N/I:N/A:P

Gravedad 4.0
4.80

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 (CVSS 3.1 Base Score)
3.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW

Enviar en el boletín
Off