CVE-2024-13881
Jue, 20/03/2025 – 06:15
CVE-2024-13881
CVE-2024-13881
Jue, 20/03/2025 – 06:15
CVE-2024-13881
CVE-2024-13880
Jue, 20/03/2025 – 06:15
CVE-2024-13880
CVE-2024-13878
Jue, 20/03/2025 – 06:15
CVE-2024-13878
CVE-2024-13877
Jue, 20/03/2025 – 06:15
CVE-2024-13877
CVE-2025-30259
Título es
CVE-2025-30259
Jue, 20/03/2025 – 00:15
Gravedad 2.0 Txt
Pendiente de análisis
Título en
CVE-2025-30259
Descripción en
The WhatsApp cloud service before late 2024 did not block certain crafted PDF content that can defeat a sandbox protection mechanism and consequently allow remote access to messaging applications by third parties, as exploited in the wild in 2024 for installation of Android malware associated with BIGPRETZEL.
20/03/2025
20/03/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:N/A:N
Gravedad 3.1 (CVSS 3.1 Base Score)
3.50
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW
Referencias
Virtue or Vice? A First Look at Paragon’s Proliferating Spyware Operations
Enviar en el boletín
Off
Desde que Amazon anunció sus planes para una versión de Alexa basada en inteligencia artificialm generativa, surgieron preocupaciones sobre la privacidad de los usuarios. Con el lanzamiento de Alexa+ en los dispositivos Echo de Amazon en las próximas semanas, tenemos una visión más clara de las concesiones de privacidad que los usuarios tendrán que hacer para aprovechar al máximo el asistente de voz y evitar que sus dispositivos ya comprados pierdan funcionalidad.
En un correo electrónico enviado hoy a los clientes, Amazon informó que los usuarios de Echo ya no podrán configurar sus dispositivos para procesar las solicitudes de Alexa de manera local y, por lo tanto, evitar el envío de grabaciones de voz a la nube de Amazon. Al parecer, el correo fue enviado a usuarios que tenían activada la opción «No enviar grabaciones de voz», una configuración disponible en el Echo (cuarta generación), Echo Show 15 y Echo Show 10. A partir del 28 de marzo, todas las grabaciones de comandos hablados a Alexa en los altavoces Echo y pantallas inteligentes serán enviadas automáticamente a Amazon y procesadas en la nube.
Intentando justificar el cambio, el correo de Amazon explicó: «A medida que continuamos expandiendo las capacidades de Alexa con funciones de inteligencia artificial generativa que dependen del poder de procesamiento de la nube segura de Amazon, hemos decidido dejar de admitir esta función.»
Una de las características más promocionadas de Alexa+ es su capacidad mejorada para reconocer quién está hablándole, una función conocida como Alexa Voice ID. Para hacer posible esta función, Amazon está eliminando una característica centrada en la privacidad para todos los usuarios de Echo, incluso para aquellos que no están interesados en la versión basada en suscripción de Alexa o que quieran usar Alexa+ sin la capacidad de reconocimiento de voz.
Sin embargo, hay muchas razones por las que los usuarios podrían no querer que Amazon reciba grabaciones de lo que dicen a su dispositivo personal. Para empezar, la idea de que un conglomerado pueda escuchar peticiones personales realizadas en el hogar es, sencillamente, inquietante.
Además, Amazon ha gestionado de manera deficiente las grabaciones de voz de Alexa en el pasado. En 2023, la empresa acordó pagar 25 millones de dólares en multas civiles tras revelarse que almacenó indefinidamente grabaciones de interacciones de niños con Alexa. Los adultos tampoco fueron informados adecuadamente de la inclinación de Amazon a conservar las grabaciones de Alexa hasta que en 2019 se les dio la opción de solicitar su eliminación, cinco años después del lanzamiento del primer Echo.
Si eso no es suficiente para disuadirte de compartir grabaciones de voz con Amazon, ten en cuenta que la empresa permitió a empleados escuchar grabaciones de Alexa. En 2019, Bloomberg informó que empleados de Amazon escuchaban hasta 1,000 muestras de audio durante turnos de nueve horas. Amazon afirma que permite esto para entrenar sus sistemas de reconocimiento de voz y comprensión del lenguaje natural.
Otras razones por las que los usuarios podrían desconfiar de Amazon con sus grabaciones de voz incluyen el uso previo de grabaciones de Alexa en juicios penales y el hecho de que en 2023 Amazon tuvo que pagar un acuerdo judicial relacionado con acusaciones de que permitió a «miles de empleados y contratistas ver grabaciones de video de los espacios privados de los clientes» tomadas con cámaras Ring, según la Comisión Federal de Comercio (FTC).
Intentando anticiparse a estas preocupaciones, Amazon indicó en su correo que, por defecto, eliminará las grabaciones de las solicitudes de Alexa después de procesarlas. Sin embargo, quienes hayan configurado su dispositivo Echo para «No guardar grabaciones» verán inutilizada la función Voice ID en sus dispositivos ya comprados. Voice ID permite que Alexa comparta eventos de calendario especificados por el usuario, recordatorios, música y más. Anteriormente, Amazon había indicado que «si eliges no guardar ninguna grabación de voz, Voice ID podría no funcionar». A partir del 28 de marzo, la desactivación de Voice ID será una garantía para quienes no permitan que Amazon almacene sus grabaciones de voz.
El correo de Amazon afirma: «Las solicitudes de voz a Alexa siempre están cifradas en tránsito hacia la nube segura de Amazon, la cual está diseñada con múltiples capas de protección para mantener segura la información de los clientes. Los usuarios pueden seguir eligiendo entre una amplia gama de controles accediendo al panel de privacidad de Alexa en línea o navegando en la aplicación Alexa en Más > Privacidad de Alexa.»
Amazon está forzando a los usuarios de Echo a tomar una decisión difícil: conceder acceso a Amazon a todas las grabaciones de voz dirigidas a Alexa o dejar de usar un Echo; permitir que Amazon guarde grabaciones de voz y que sus empleados las escuchen o perder un conjunto de funciones que se volverá más avanzado y central en la próxima generación de Alexa.
Sin embargo, Amazon apuesta fuerte a que Alexa+ pueda sacar al asistente de voz de un pozo financiero. La compañía se ha comprometido públicamente a mantener la versión gratuita de Alexa, pero Alexa+ es vista como la última esperanza de Amazon para hacer que Alexa sea rentable. Cualquier medida que motive a los usuarios a pagar por Alexa parece tener prioridad sobre otras demandas de los usuarios, incluida, al parecer, la privacidad.
Artículo publicado originalmente en Ars Technica. Adaptado por Manuel de León.
CVE-2025-27787
Título es
CVE-2025-27787
Mié, 19/03/2025 – 21:15
Tipo
CWE-22
Gravedad 2.0 Txt
Pendiente de análisis
Título en
CVE-2025-27787
Descripción en
Applio is a voice conversion tool. Versions 3.2.8-bugfix and prior are vulnerable to denial of service (DoS) in restart.py. `model_name` in train.py takes user input, and passes it to the `stop_train` function in restart.py, which uses it construct a path to a folder with `config.json`. That `config.json` is opened and the list of values under "process_pids" are read. Next all the process IDs listed in the JSON are killed. Using one of the arbitrary file writes, one can write to `logs/foobar` a `config.json` file, which contains a list of process IDs. Then one can access this endpoint to kill these processes. Since an attacker can't know what process is running on which process ID, they can send a list of hundreds of process IDs, which can kill the process that applio is using to run, as well as other, potentially important processes, which leads to DoS. Note that constructing a path with user input also enables path traversal. For example, by supplying "../../" in `model_name` one can access `config.json` freom locations two folders down on the server. As of time of publication, no known patches are available.
19/03/2025
19/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:H/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Gravedad 4.0
7.80
Gravedad 4.0 txt
HIGH
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis
Referencias
Enviar en el boletín
Off
CVE-2025-27786
Título es
CVE-2025-27786
Mié, 19/03/2025 – 21:15
Tipo
CWE-22
Gravedad 2.0 Txt
Pendiente de análisis
Título en
CVE-2025-27786
Descripción en
Applio is a voice conversion tool. Versions 3.2.8-bugfix and prior are vulnerable to arbitrary file removal in core.py. `output_tts_path` in tts.py takes arbitrary user input and passes it to `run_tts_script` function in core.py, which checks if the path in `output_tts_path` exists, and if yes, removes that path, which leads to arbitrary file removal. As of time of publication, no known patches are available.
19/03/2025
19/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Gravedad 4.0
7.80
Gravedad 4.0 txt
HIGH
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis
Referencias
Enviar en el boletín
Off
CVE-2025-27785
Título es
CVE-2025-27785
Mié, 19/03/2025 – 21:15
Tipo
CWE-22
Gravedad 2.0 Txt
Pendiente de análisis
Título en
CVE-2025-27785
Descripción en
Applio is a voice conversion tool. Versions 3.2.8-bugfix and prior are vulnerable to arbitrary file read in train.py's `export_index` function. This issue may lead to reading arbitrary files on the Applio server. It can also be used in conjunction with blind server-side request forgery to read files from servers on the internal network that the Applio server has access to. As of time of publication, no known patches are available.
19/03/2025
19/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Gravedad 4.0
7.70
Gravedad 4.0 txt
HIGH
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis
Referencias
Enviar en el boletín
Off
CVE-2025-27784
Título es
CVE-2025-27784
Mié, 19/03/2025 – 21:15
Tipo
CWE-200
Gravedad 2.0 Txt
Pendiente de análisis
Título en
CVE-2025-27784
Descripción en
Applio is a voice conversion tool. Versions 3.2.8-bugfix and prior are vulnerable to arbitrary file read in train.py's `export_pth` function. This issue may lead to reading arbitrary files on the Applio server. It can also be used in conjunction with blind server-side request forgery to read files from servers on the internal network that the Applio server has access to. As of time of publication, no known patches are available.
19/03/2025
19/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Gravedad 4.0
7.70
Gravedad 4.0 txt
HIGH
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis
Referencias
Enviar en el boletín
Off