CVE-2024-41662
Mié, 24/07/2024 – 17:15
CVE-2024-41662
CVE-2024-41662
Mié, 24/07/2024 – 17:15
CVE-2024-41662
CVE-2024-41110
Mié, 24/07/2024 – 17:15
CVE-2024-41110
Using a specially-crafted API request, an Engine API client could make the daemon forward the request or response to an authorization plugin without the body. In certain circumstances, the authorization plugin may allow a request which it would have otherwise denied if the body had been forwarded to it.
A security issue was discovered In 2018, where an attacker could bypass AuthZ plugins using a specially crafted API request. This could lead to unauthorized actions, including privilege escalation. Although this issue was fixed in Docker Engine v18.09.1 in January 2019, the fix was not carried forward to later major versions, resulting in a regression. Anyone who depends on authorization plugins that introspect the request and/or response body to make access control decisions is potentially impacted.
Docker EE v19.03.x and all versions of Mirantis Container Runtime are not vulnerable.
docker-ce v27.1.1 containes patches to fix the vulnerability. Patches have also been merged into the master, 19.0, 20.0, 23.0, 24.0, 25.0, 26.0, and 26.1 release branches. If one is unable to upgrade immediately, avoid using AuthZ plugins and/or restrict access to the Docker API to trusted parties, following the principle of least privilege.
CVE-2024-21684
Mié, 24/07/2024 – 18:15
CVE-2024-21684
This open redirect vulnerability, with a CVSS Score of 3.1 and a CVSS Vector of CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N, allows an unauthenticated attacker to redirect a victim user upon login to Bitbucket Data Center to any arbitrary site which can be utilized for further exploitation which has low impact to confidentiality, no impact to integrity, no impact to availability, and requires user interaction.
Atlassian recommends that Bitbucket Data Center customers upgrade to the version. If you are unable to do so, upgrade your instance to one of the supported fixed versions.
CVE-2024-37533
Mié, 24/07/2024 – 18:15
CVE-2024-37533
CVE-2024-41672
Mié, 24/07/2024 – 18:15
CVE-2024-41672
CVE-2024-41667
Mié, 24/07/2024 – 18:15
CVE-2024-41667
CVE-2024-41666
Mié, 24/07/2024 – 18:15
CVE-2024-41666
Meta ha anunciado hoy que eliminó unas 63,000 cuentas de Facebook en Nigeria, porque presuntamente estaban implicadas en estafas de “sextorsión”, o extorsión sexual, dirigidas sobre todo a hombres adultos de Estados Unidos. Como suele ocurrir en estos casos, los estafadores primero convencían a sus víctimas para que les enviaran fotos comprometedoras y luego amenazaban con difundirlas en internet si no accedían a pagar un rescate. A las cuentas suspendidas se unían también grupos y páginas que intentaban organizar, reclutar y formar a nuevos estafadores.
Según la investigación de Meta, ninguno de los intentos de extorsión tuvo éxito, aunque en estos casos muchas víctimas se avergüenzan de denunciar. Lo que preocupa a la empresa, así como a las autoridades nigerianas y otras, es el aumento constante e imparable de los casos de extorsión sexual, alimentados en parte por un grupo de estafadores conocidos como «Yahoo Boys», que operan sobre todo desde Nigeria. La difícil situación económica de los habitantes del país les lleva a explotar estafas de este tipo para llegar a fin de mes, sin preocuparse demasiado de qué víctimas son las afectadas. El propio FBI alertó a principios de año sobre un»enorme aumento» de los casos de extorsión sexual, dirigidos sobre todo a chicos de entre 14 y 17 años. En definitiva, en general, las estafas de extorsión sexual crecen a pasos agigantados, lo que obliga a Meta a buscar soluciones útiles para limitar al máximo los daños a las víctimas.
El pasado mes de abril, de hecho, la empresa matriz de Instagram anunció el lanzamiento de nuevas funciones en la plataforma diseñadas para proteger a los usuarios más jóvenes y combatir las estafas de sextorsión. Entre ellas, una opción que difumina automáticamente los desnudos en los mensajes directos enviados a menores, para evitar poner en riesgo su seguridad. Una solución útil que, sin embargo, no parece suficiente para contener el problema. Así pues, tras la eliminación de las más de 60,000 cuentas nigerianas, cabe esperar nuevas medidas por parte de Meta.
Artículo publicado originalmente en WIRED Italia. Adaptado por Mauricio Serfatty Godoy.
CVE-2024-7066
Mié, 24/07/2024 – 11:15
CVE-2024-7066
CVE-2024-6896
Mié, 24/07/2024 – 11:15
CVE-2024-6896