CVE-2024-38176
Mar, 23/07/2024 – 22:15
CVE-2024-38176
CVE-2024-38176
Mar, 23/07/2024 – 22:15
CVE-2024-38176
CVE-2024-38164
Mar, 23/07/2024 – 22:15
CVE-2024-38164
CVE-2024-0981
Mar, 23/07/2024 – 21:15
CVE-2024-0981
CVE-2024-41178
Mar, 23/07/2024 – 17:15
CVE-2024-41178
On certain error conditions, the logs may contain the OIDC token passed to AssumeRoleWithWebIdentity https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRoleWithWebIdentity.html . This allows someone with access to the logs to impersonate that identity, including performing their own calls to AssumeRoleWithWebIdentity, until the OIDC token expires. Typically OIDC tokens are valid for up to an hour, although this will vary depending on the issuer.
Users are recommended to use a different AWS authentication mechanism, disable logging or upgrade to version 0.10.2, which fixes this issue.
Details:
When using AWS WebIdentityTokens with the object_store crate, in the event of a failure and automatic retry, the underlying reqwest error, including the full URL with the credentials, potentially in the parameters, is written to the logs.
Thanks to Paul Hatcherian for reporting this vulnerability
CVE-2024-41664
Mar, 23/07/2024 – 17:15
CVE-2024-41664
CVE-2020-11639
Mar, 23/07/2024 – 18:15
CVE-2020-11639
This issue affects Advant MOD 300 AdvaBuild: from 3.0 through 3.7 SP2.
For an attack to be successful, the attacker must have local access to a node in the system and be able to
start a specially crafted application that disrupts the communication.
An attacker who successfully exploited the vulnerability would be able to manipulate the data in such
way as allowing reads and writes to the controllers or cause Windows processes in 800xA for MOD 300
and AdvaBuild to crash.
CVE-2020-11640
Mar, 23/07/2024 – 18:15
CVE-2020-11640
Improper Privilege Management vulnerability in ABB Advant MOD 300 AdvaBuild.This issue affects Advant MOD 300 AdvaBuild: from 3.0 through 3.7 SP2.
CVE-2024-41665
Mar, 23/07/2024 – 18:15
CVE-2024-41665
En una nota publicada en el portal de la iniciativa para preservar la ciberseguridad, Privacy Sandbox, Google anuncia que ya no eliminará las cookies de terceros de Chrome, pero introducirá nuevas funciones que el usuario podrá modificar para tomar decisiones informadas en su navegación en línea.
Anthony Chavez, vicepresidente de pruebas sobre privacidad de Google, señala que el propósito de la iniciativa es encontrar soluciones innovadoras que puedan mejorar la privacidad en línea de los usuarios de Chrome y garantizar a editores y anunciantes la posibilidad de tratar con clientes potenciales a través de vistas, en un internet con base en el apoyo financiero de la publicidad.
Desde su anuncio en 2020, Google ha dialogado con varias entidades implicadas en el proceso. Entre ellas se encuentran la Autoridad de Competencia y Mercados (CMA), el departamento gubernamental británico encargado de la competencia, y la Oficina del Comisionado de Información (ICO), el organismo británico encargado de velar por la privacidad, pero también editores, desarrolladores web y anunciantes.
Luego de las pruebas iniciales realizadas por empresas de tecnología publicitaria, se puso de manifiesto que Privacy Sandbox tiene el potencial para lograr los resultados para los que fue diseñado. “Esta transición requiere de un trabajo importante y afectará a editores, anunciantes y a todos los implicados en la publicidad en línea». De ahí la decisión de cambiar de enfoque, basando las nuevas políticas sobre la elección autónoma del usuario final.
El cambio, por supuesto, no disminuirá la inversión de Google en Privacy Sandbox, ni evitará un enfrentamiento entre la gigante de Mountain View y las autoridades de competencia y privacidad de todo el mundo, sino todo lo contrario. “Esperamos seguir colaborando con el ecosistema en la siguiente fase del viaje hacia una web más privada”, concluye Chavez.
Artículo publicado originalmente en WIRED Italia. Adaptado por Alondra Flores.
CVE-2024-41661
Mar, 23/07/2024 – 18:15
CVE-2024-41661