CVE-2025-2913

CVE-2025-2913

Título es
CVE-2025-2913

Vie, 28/03/2025 – 17:15

Tipo
CWE-119

Gravedad v2.0
1.70

Gravedad 2.0 Txt
LOW

Título en

CVE-2025-2913

Descripción en
A vulnerability was found in HDF5 up to 1.14.6. It has been rated as problematic. Affected by this issue is the function H5FL__blk_gc_list of the file src/H5FL.c. The manipulation of the argument H5FL_blk_head_t leads to use after free. An attack has to be approached locally. The exploit has been disclosed to the public and may be used.

28/03/2025
28/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Vector CVSS:2.0
AV:L/AC:L/Au:S/C:N/I:N/A:P

Gravedad 4.0
4.80

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 (CVSS 3.1 Base Score)
3.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW

Enviar en el boletín
Off

El fiasco del SignalGate impulsa un récord histórico de descargas de Signal en EE UU

El SignalGate, el mayor escándalo que ha salpicado a la administración Trump en sus primeros meses en el poder, ha sido genial para Signal. Según explica a WIRED la organización sin fines de lucro que gestiona la plataforma de mensajería cifrada, desde que saltó la noticia de que altos cargos del gabinete de Trump incluyeron al redactor en jefe del medio The Atlantic en un chat de grupo en el que se discutían planes secretos para bombardear Yemen, el consiguiente ciclo de noticias y las constantes menciones a Signal han hecho que la plataforma de mensajería cifrada duplique su ritmo habitual de nuevas descargas.


(De izq. a der.) El director de la Agencia de Seguridad Nacional, general Timothy Haugh; el director del FBI, Kash Patel; la directora de Inteligencia Nacional, Tulsi Gabbard; el director de la CIA, John Ratcliffe; y el director de la Agencia de Inteligencia de Defensa, teniente general Jeffrey Kruse, testifican ante la audiencia del Comité de Inteligencia del Senado sobre "Amenazas Mundiales", en el Capitolio de Washington, DC, el 25 de marzo de 2025.
Trump y su gabinete culpan a Signal por la filtración sobre Yemen

La sorprendente filtración por parte del gabinete de Trump de sus planes para bombardear Yemen plantea innumerables cuestiones legales y de confidencialidad. La seguridad de la aplicación de mensajería cifrada Signal no es una de ellas.


Este 2025 ha sido un año excepcional para Signal

De acuerdo con la dirección de la compañía, esta semana, la red social presentó el mayor aumento de adopción en EE UU, un logro en los casi 11 años de existencia de Signal. «En la historia de Signal, este es el momento de mayor crecimiento en Estados Unidos por un margen enorme. Es alucinante, incluso por nuestra parte», declara Jun Harada, responsable de crecimiento y alianzas de Signal.

Harada se negó a dar cifras absolutas del crecimiento de usuarios de Signal, más allá de decir que sus descargas totales se cuentan por «cientos de millones», lo que ha sido el caso durante varios años. Solo confesó que fue el doble que el de una semana típica en la misma época de 2024: «Ocurrió inmediatamente después de que The Atlantic publicara la historia del uso de Signal en el atentado de Yemen. Y se ha mantenido ese ritmo todos los días».

En la historia de Signal, el único pico comparable de adopción se produjo cuando WhatsApp cambió su política de privacidad en 2021. El cambio llevó a millones de usuarios a abandonar esa app de comunicaciones. No obstante, aquel incidente atrajo usuarios de otras partes del mundo, a diferencia de SignalGate, centrado en EE UU. Las cifras de la empresa de inteligencia de mercado Sensor Tower coinciden en gran medida con el propio análisis de Signal sobre ese crecimiento. La empresa estima que las descargas de Signal en EE UU aumentaron un 105% en comparación con la semana anterior y un 150% en comparación con una semana media en 2024. Fuera de Estados Unidos, Sensor Tower solo registró un aumento del 21% en las descargas de la plataforma en comparación con la semana anterior.


Meredith Whittaker en el evento The Big Interview de WIRED.
“Signal proporciona comunicación privada y lo hace obsesivamente bien. No vamos a cambiar”, asegura Meredith Whittaker

En el evento The Big Interview de WIRED, la presidenta de la Signal Foundation habló de las comunicaciones seguras como infraestructura crítica y de la necesidad de un nuevo paradigma de financiamiento para la tecnología.


Grandes noticias para Signal, turbias revelaciones para EE UU

La revelación de que el secretario del Departamento de Defensa (DOD, por sus siglas en inglés), Pete Hegseth; la directora de Inteligencia Nacional (DNI, por sus siglas en inglés), Tulsi Gabbard; el asesor de Seguridad Nacional (DHS, por sus siglas en inglés), Michael Waltz; el vicepresidente JD Vance y otros funcionarios de la administración Trump utilizaron un chat de grupo de Signal para plantear un ataque aéreo contra los rebeldes en Yemen, y que Waltz añadió accidentalmente al editor de The Atlantic Jeffrey Goldberg a ese grupo, ha planteado serias dudas sobre las prácticas de seguridad de la administración Trump, que siguen resonando días después.

El escándalo ha puesto en duda que los funcionarios del Ejecutivo planearan el ataque aéreo utilizando dispositivos vulnerables no aprobados o incluso personales, en lugar de las máquinas seguras destinadas a conversaciones clasificadas. Las capturas de pantalla publicadas por The Atlantic indican que el gabinete utilizaba la función de desaparición de mensajes de Signal para borrar sus comunicaciones, lo que podría suponer una violación adicional a las leyes estadounidenses de conservación de registros.

CVE-2025-2860

CVE-2025-2860

Título es
CVE-2025-2860

Vie, 28/03/2025 – 14:15

Tipo
CWE-200

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-2860

Descripción en
SaTECH BCU in its firmware version 2.1.3, allows an authenticated attacker to access information about the credentials that users have within the web (.xml file). In order to exploit this vulnerability, the attacker must know the path, regardless of the user's privileges on the website.

28/03/2025
28/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
6.90

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Referencias
  • https://www.incibe.es/en/incibe-cert/notices/aviso-sci/multiple-vulnerabilities-arteches-satech-bcu

  • Enviar en el boletín
    Off

    CVE-2025-2859

    CVE-2025-2859

    Título es
    CVE-2025-2859

    Vie, 28/03/2025 – 14:15

    Tipo
    CWE-287

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-2859

    Descripción en
    An attacker with access to the network where the vulnerable device is located could capture traffic and obtain cookies from the user, allowing them to steal a user's active session and make changes to the device via the web, depending on the privileges obtained by the user.

    28/03/2025
    28/03/2025
    Vector CVSS:4.0
    CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

    Gravedad 4.0
    6.90

    Gravedad 4.0 txt
    MEDIUM

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias
  • https://www.incibe.es/en/incibe-cert/notices/aviso-sci/multiple-vulnerabilities-arteches-satech-bcu

  • Enviar en el boletín
    Off

    CVE-2025-2858

    CVE-2025-2858

    Título es
    CVE-2025-2858

    Vie, 28/03/2025 – 14:15

    Tipo
    CWE-269

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-2858

    Descripción en
    Privilege escalation vulnerability in the saTECH BCU firmware version 2.1.3. An attacker with access to the CLI of the device could make use of the nice command to bypass all restrictions and elevate privileges as a superuser.

    28/03/2025
    28/03/2025
    Vector CVSS:4.0
    CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:L/SI:N/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

    Gravedad 4.0
    8.50

    Gravedad 4.0 txt
    HIGH

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias
  • https://www.incibe.es/en/incibe-cert/notices/aviso-sci/multiple-vulnerabilities-arteches-satech-bcu

  • Enviar en el boletín
    Off

    CVE-2025-2877

    CVE-2025-2877

    Título es
    CVE-2025-2877

    Vie, 28/03/2025 – 14:15

    Tipo
    CWE-1295

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-2877

    Descripción en
    A flaw was found in the Ansible Automation Platform's Event-Driven Ansible. In configurations where verbosity is set to "debug", inventory passwords are exposed in plain text when starting a rulebook activation. This issue exists for any "debug" action in a rulebook and also affects Event Streams.

    28/03/2025
    28/03/2025
    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

    Gravedad 3.1 (CVSS 3.1 Base Score)
    6.50

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Enviar en el boletín
    Off

    CVE-2025-2865

    CVE-2025-2865

    Título es
    CVE-2025-2865

    Vie, 28/03/2025 – 14:15

    Tipo
    CWE-942

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-2865

    Descripción en
    SaTECH BCU, in its firmware version 2.1.3, could allow XSS attacks and other malicious resources to be stored on the web server. An attacker with some knowledge of the web application could send a malicious request to the victim users. Through this request, the victims would interpret the code (resources) stored on another malicious website owned by the attacker.

    28/03/2025
    28/03/2025
    Vector CVSS:4.0
    CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

    Gravedad 4.0
    2.40

    Gravedad 4.0 txt
    LOW

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias
  • https://www.incibe.es/en/incibe-cert/notices/aviso-sci/multiple-vulnerabilities-arteches-satech-bcu

  • Enviar en el boletín
    Off

    CVE-2025-2864

    CVE-2025-2864

    Título es
    CVE-2025-2864

    Vie, 28/03/2025 – 14:15

    Tipo
    CWE-79

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-2864

    Descripción en
    SaTECH BCU in its firmware version 2.1.3 allows an attacker to inject malicious code into the legitimate website owning the affected device, once the cookie is set. This attack only impacts the victim's browser (reflected XSS).

    28/03/2025
    28/03/2025
    Vector CVSS:4.0
    CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:A/VC:L/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

    Gravedad 4.0
    2.00

    Gravedad 4.0 txt
    LOW

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias
  • https://www.incibe.es/en/incibe-cert/notices/aviso-sci/multiple-vulnerabilities-arteches-satech-bcu

  • Enviar en el boletín
    Off

    CVE-2025-2863

    CVE-2025-2863

    Título es
    CVE-2025-2863

    Vie, 28/03/2025 – 14:15

    Tipo
    CWE-352

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-2863

    Descripción en
    Cross-site request forgery (CSRF) vulnerability in the web application of saTECH BCU firmware version 2.1.3, which could allow an unauthenticated local attacker to exploit active administrator sessions and perform malicious actions. The malicious actions that can be executed by the attacker depend on the logged-in user, and may include rebooting the device or modifying roles and permissions.

    28/03/2025
    28/03/2025
    Vector CVSS:4.0
    CVSS:4.0/AV:L/AC:H/AT:N/PR:N/UI:A/VC:L/VI:L/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

    Gravedad 4.0
    5.70

    Gravedad 4.0 txt
    MEDIUM

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias
  • https://www.incibe.es/en/incibe-cert/notices/aviso-sci/multiple-vulnerabilities-arteches-satech-bcu

  • Enviar en el boletín
    Off

    CVE-2025-2862

    CVE-2025-2862

    Título es
    CVE-2025-2862

    Vie, 28/03/2025 – 14:15

    Tipo
    CWE-261

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-2862

    Descripción en
    SaTECH BCU, in its firmware version 2.1.3, performs weak password encryption. This allows an attacker with access to the device's system or website to obtain the credentials, as the storage methods used are not strong enough in terms of encryption.

    28/03/2025
    28/03/2025
    Vector CVSS:4.0
    CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

    Gravedad 4.0
    6.90

    Gravedad 4.0 txt
    MEDIUM

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias
  • https://www.incibe.es/en/incibe-cert/notices/aviso-sci/multiple-vulnerabilities-arteches-satech-bcu

  • Enviar en el boletín
    Off