CVE-2024-41662

CVE-2024-41662

Título es
CVE-2024-41662

Mié, 24/07/2024 – 17:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-41662

Descripción en
VNote is a note-taking platform. A Cross-Site Scripting (XSS) vulnerability has been identified in the Markdown rendering functionality of versions 3.18.1 and prior of the VNote note-taking application. This vulnerability allows the injection and execution of arbitrary JavaScript code through which remote code execution can be achieved. A patch for this issue is available at commit f1af78573a0ef51d6ef6a0bc4080cddc8f30a545. Other mitigation strategies include implementing rigorous input sanitization for all Markdown content and utilizing a secure Markdown parser that appropriately escapes or strips potentially dangerous content.

24/07/2024
24/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.60

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-41110

CVE-2024-41110

Título es
CVE-2024-41110

Mié, 24/07/2024 – 17:15

Tipo
CWE-187

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-41110

Descripción en
Moby is an open-source project created by Docker for software containerization. A security vulnerability has been detected in certain versions of Docker Engine, which could allow an attacker to bypass authorization plugins (AuthZ) under specific circumstances. The base likelihood of this being exploited is low.

Using a specially-crafted API request, an Engine API client could make the daemon forward the request or response to an authorization plugin without the body. In certain circumstances, the authorization plugin may allow a request which it would have otherwise denied if the body had been forwarded to it.

A security issue was discovered In 2018, where an attacker could bypass AuthZ plugins using a specially crafted API request. This could lead to unauthorized actions, including privilege escalation. Although this issue was fixed in Docker Engine v18.09.1 in January 2019, the fix was not carried forward to later major versions, resulting in a regression. Anyone who depends on authorization plugins that introspect the request and/or response body to make access control decisions is potentially impacted.

Docker EE v19.03.x and all versions of Mirantis Container Runtime are not vulnerable.

docker-ce v27.1.1 containes patches to fix the vulnerability. Patches have also been merged into the master, 19.0, 20.0, 23.0, 24.0, 25.0, 26.0, and 26.1 release branches. If one is unable to upgrade immediately, avoid using AuthZ plugins and/or restrict access to the Docker API to trusted parties, following the principle of least privilege.

24/07/2024
24/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
9.90

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

CVE-2024-21684

CVE-2024-21684

Título es
CVE-2024-21684

Mié, 24/07/2024 – 18:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-21684

Descripción en
There is a low severity open redirect vulnerability within affected versions of Bitbucket Data Center. Versions of Bitbucket DC from 8.0.0 to 8.9.12 and 8.19.0 to 8.19.1 are affected by this vulnerability. It is patched in 8.9.13 and 8.19.2.

This open redirect vulnerability, with a CVSS Score of 3.1 and a CVSS Vector of CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N, allows an unauthenticated attacker to redirect a victim user upon login to Bitbucket Data Center to any arbitrary site which can be utilized for further exploitation which has low impact to confidentiality, no impact to integrity, no impact to availability, and requires user interaction.

Atlassian recommends that Bitbucket Data Center customers upgrade to the version. If you are unable to do so, upgrade your instance to one of the supported fixed versions.

24/07/2024
24/07/2024
Vector CVSS:3.1
CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
3.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW

Enviar en el boletín
Off

CVE-2024-37533

CVE-2024-37533

Título es
CVE-2024-37533

Mié, 24/07/2024 – 18:15

Tipo
CWE-359

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-37533

Descripción en
IBM InfoSphere Information Server 11.7 could disclose sensitive user information to another user with physical access to the machine. IBM X-Force ID: 294727.

24/07/2024
24/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
2.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW

Enviar en el boletín
Off

CVE-2024-41672

CVE-2024-41672

Título es
CVE-2024-41672

Mié, 24/07/2024 – 18:15

Tipo
CWE-200

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-41672

Descripción en
DuckDB is a SQL database management system. In versions 1.0.0 and prior, content in filesystem is accessible for reading using `sniff_csv`, even with `enable_external_access=false`. This vulnerability provides an attacker with access to filesystem even when access is expected to be disabled and other similar functions do NOT provide access. There seem to be two vectors to this vulnerability. First, access to files that should otherwise not be allowed. Second, the content from a file can be read (e.g. `/etc/hosts`, `proc/self/environ`, etc) even though that doesn't seem to be the intent of the sniff_csv function. A fix for this issue is available in commit c9b7c98aa0e1cd7363fe8bb8543a95f38e980d8a and is expected to be part of version 1.1.0.

24/07/2024
24/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-41667

CVE-2024-41667

Título es
CVE-2024-41667

Mié, 24/07/2024 – 18:15

Tipo
CWE-94

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-41667

Descripción en
OpenAM is an open access management solution. In versions 15.0.3 and prior, the `getCustomLoginUrlTemplate` method in RealmOAuth2ProviderSettings.java is vulnerable to template injection due to its usage of user input. Although the developer intended to implement a custom URL for handling login to override the default PingOne Advanced Identity Cloud login page,they did not restrict the `CustomLoginUrlTemplate`, allowing it to be set freely. Commit fcb8432aa77d5b2e147624fe954cb150c568e0b8 introduces `TemplateClassResolver.SAFER_RESOLVER` to disable the resolution of commonly exploited classes in FreeMarker template injection. As of time of publication, this fix is expected to be part of version 15.0.4.

24/07/2024
24/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-41666

CVE-2024-41666

Título es
CVE-2024-41666

Mié, 24/07/2024 – 18:15

Tipo
CWE-269

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-41666

Descripción en
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. Argo CD has a Web-based terminal that allows users to get a shell inside a running pod, just as they would with kubectl exec. Starting in version 2.6.0, when the administrator enables this function and grants permission to the user `p, role:myrole, exec, create, */*, allow`, even if the user revokes this permission, the user can still perform operations in the container, as long as the user keeps the terminal view open for a long time. Although the token expiration and revocation of the user are fixed, however, the fix does not address the situation of revocation of only user `p, role:myrole, exec, create, */*, allow` permissions, which may still lead to the leakage of sensitive information. A patch for this vulnerability has been released in Argo CD versions 2.11.7, 2.10.16, and 2.9.21.

24/07/2024
24/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
4.70

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

Facebook elimina más de 60,000 cuentas en Nigeria por extorsión sexual

Meta ha anunciado hoy que eliminó unas 63,000 cuentas de Facebook en Nigeria, porque presuntamente estaban implicadas en estafas de “sextorsión”, o extorsión sexual, dirigidas sobre todo a hombres adultos de Estados Unidos. Como suele ocurrir en estos casos, los estafadores primero convencían a sus víctimas para que les enviaran fotos comprometedoras y luego amenazaban con difundirlas en internet si no accedían a pagar un rescate. A las cuentas suspendidas se unían también grupos y páginas que intentaban organizar, reclutar y formar a nuevos estafadores.

Más y más casos

Según la investigación de Meta, ninguno de los intentos de extorsión tuvo éxito, aunque en estos casos muchas víctimas se avergüenzan de denunciar. Lo que preocupa a la empresa, así como a las autoridades nigerianas y otras, es el aumento constante e imparable de los casos de extorsión sexual, alimentados en parte por un grupo de estafadores conocidos como «Yahoo Boys», que operan sobre todo desde Nigeria. La difícil situación económica de los habitantes del país les lleva a explotar estafas de este tipo para llegar a fin de mes, sin preocuparse demasiado de qué víctimas son las afectadas. El propio FBI alertó a principios de año sobre un»enorme aumento» de los casos de extorsión sexual, dirigidos sobre todo a chicos de entre 14 y 17 años. En definitiva, en general, las estafas de extorsión sexual crecen a pasos agigantados, lo que obliga a Meta a buscar soluciones útiles para limitar al máximo los daños a las víctimas.

El pasado mes de abril, de hecho, la empresa matriz de Instagram anunció el lanzamiento de nuevas funciones en la plataforma diseñadas para proteger a los usuarios más jóvenes y combatir las estafas de sextorsión. Entre ellas, una opción que difumina automáticamente los desnudos en los mensajes directos enviados a menores, para evitar poner en riesgo su seguridad. Una solución útil que, sin embargo, no parece suficiente para contener el problema. Así pues, tras la eliminación de las más de 60,000 cuentas nigerianas, cabe esperar nuevas medidas por parte de Meta.

Artículo publicado originalmente en WIRED Italia. Adaptado por Mauricio Serfatty Godoy.

CVE-2024-7066

CVE-2024-7066

Título es
CVE-2024-7066

Mié, 24/07/2024 – 11:15

Tipo
CWE-78

Gravedad v2.0
7.50

Gravedad 2.0 Txt
HIGH

Título en

CVE-2024-7066

Descripción es
Se encontró una vulnerabilidad en F-logic DataCube3 1.0. Ha sido declarada crítica. Una función desconocida del archivo /admin/config_time_sync.php del componente HTTP POST Request Handler es afectada por esta vulnerabilidad. La manipulación del argumento ntp_server conduce a la inyección de comandos del sistema operativo. El ataque se puede lanzar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-272347.

Descripción en
A vulnerability was found in F-logic DataCube3 1.0. It has been declared as critical. Affected by this vulnerability is an unknown functionality of the file /admin/config_time_sync.php of the component HTTP POST Request Handler. The manipulation of the argument ntp_server leads to os command injection. The attack can be launched remotely. The exploit has been disclosed to the public and may be used. The associated identifier of this vulnerability is VDB-272347.

24/07/2024
24/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:N/C:P/I:P/A:P

Gravedad 3.1 (CVSS 3.1 Base Score)
7.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-6896

CVE-2024-6896

Título es
CVE-2024-6896

Mié, 24/07/2024 – 11:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6896

Descripción es
El complemento AMP for WP – Accelerated Mobile Pages para WordPress es vulnerable a Cross Site Scripting almacenado a través de cargas de archivos SVG en todas las versiones hasta la 1.0.96.1 incluida debido a una sanitización de entrada y un escape de salida insuficientes. Esto hace posible que atacantes autenticados, con acceso de nivel de autor y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda al archivo SVG.

Descripción en
The AMP for WP – Accelerated Mobile Pages plugin for WordPress is vulnerable to Stored Cross-Site Scripting via SVG File uploads in all versions up to, and including, 1.0.96.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses the SVG file.

24/07/2024
24/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off