CVE-2024-41668

CVE-2024-41668

Título es
CVE-2024-41668

Mar, 23/07/2024 – 19:15

Tipo
CWE-918

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-41668

Descripción en
The cBioPortal for Cancer Genomics provides visualization, analysis, and download of large-scale cancer genomics data sets. When running a publicly exposed proxy endpoint without authentication, cBioPortal could allow someone to perform a Server Side Request Forgery (SSRF) attack. Logged in users could do the same on private instances. A fix has been released in version 6.0.12. As a workaround, one might be able to disable `/proxy` endpoint entirely via, for example, nginx.

23/07/2024
23/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
8.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-1737

CVE-2024-1737

Título es
CVE-2024-1737

Mar, 23/07/2024 – 15:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-1737

Descripción en
Resolver caches and authoritative zone databases that hold significant numbers of RRs for the same hostname (of any RTYPE) can suffer from degraded performance as content is being added or updated, and also when handling client queries for this name.
This issue affects BIND 9 versions 9.11.0 through 9.11.37, 9.16.0 through 9.16.50, 9.18.0 through 9.18.27, 9.19.0 through 9.19.24, 9.11.4-S1 through 9.11.37-S1, 9.16.8-S1 through 9.16.50-S1, and 9.18.11-S1 through 9.18.27-S1.

23/07/2024
23/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-40060

CVE-2024-40060

Título es
CVE-2024-40060

Mar, 23/07/2024 – 15:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-40060

Descripción en
go-chart v2.1.1 was discovered to contain an infinite loop via the drawCanvas() function.

23/07/2024
23/07/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-4076

CVE-2024-4076

Título es
CVE-2024-4076

Mar, 23/07/2024 – 15:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-4076

Descripción en
Client queries that trigger serving stale data and that also require lookups in local authoritative zone data may result in an assertion failure.
This issue affects BIND 9 versions 9.16.13 through 9.16.50, 9.18.0 through 9.18.27, 9.19.0 through 9.19.24, 9.11.33-S1 through 9.11.37-S1, 9.16.13-S1 through 9.16.50-S1, and 9.18.11-S1 through 9.18.27-S1.

23/07/2024
23/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

TikTok Lite carece de funciones de seguridad que dejan a más de mil millones de usuarios expuestos

En mayo, TikTok anunció que etiquetaría automáticamente los contenidos generados por IA en su plataforma. Sin embargo, esto no aplica a todas las versiones de la aplicación. Un nuevo informe de la Fundación Mozilla y AI Forensics concluye que la versión Lite-Save Data (ahorradora de datos) de TikTok, dirigida a los usuarios de los mercados más pobres, no solo deja sin etiquetar el contenido generado por IA, sino que carece de otras salvaguardas similares.

Las etiquetas no son para todos

«El etiquetado es una táctica muy importante que las plataformas utilizan para ofrecer algún tipo de confianza y seguridad», según Odanga Madung, investigador de Mozilla y coautor del informe.

Los usuarios de la versión completa de TikTok, por ejemplo, verán etiquetas que indican que el contenido es gráfico o muestra comportamientos peligrosos. Asimismo, algunos contenidos sobre temas como las elecciones y la salud incluyen un aviso que anima a los usuarios a acceder a información fidedigna a través de un «centro de recursos» de la aplicación.

En TikTok Lite no hay ninguna de estas barreras. Entre otras cosas, esto significa que, dado que el contenido engañoso generado por IA es un problema en las elecciones de todo el mundo, los usuarios de los mercados más pobres reciben menos información sobre lo que es falso y lo que es real que los usuarios de los mercados más ricos.

Madung se pregunta por qué, de todas las funciones que podrían recortarse para optimizar la aplicación, la empresa incluyó algunas que hacen que la plataforma sea más segura para los usuarios. «No sabemos si se trata de una elección o de una simple negligencia», sostiene.

«Hay varias inexactitudes de hecho en este informe que fundamentalmente tergiversan nuestro enfoque de la seguridad», según anunció un portavoz de TikTok en un comunicado. «El hecho es que el contenido que rompe nuestras reglas se elimina de TikTok Lite de la misma manera que en nuestra aplicación principal y ofrecemos numerosas características de seguridad». La compañía declinó señalar cualquier inexactitud específica.

Ven a (casi) TikTok

Las versiones Lite de las apps son desde hace tiempo una forma que tienen las empresas de aumentar su cuota de mercado en zonas donde los usuarios están sujetos a elevados costos de datos o solo pueden permitirse teléfonos menos avanzados. En 2015, Meta, entonces Facebook, lanzó Facebook Lite, una versión reducida de su aplicación que era más compatible con las redes de datos 2G. Ese mismo año también lanzó Free Basics, que permitía a los usuarios del Sur Global acceder a la plataforma y a algunos otros sitios web sin que se les cobrara por el uso de datos. (Una aplicación o servicio que cumpla estos criterios se denomina «zero-rated» -de calificación cero-). En su momento, el proyecto fue objeto de críticas generalizadas, sobre todo en la India, por crear una experiencia de segundo nivel para los clientes más pobres.

TikTok lanzó su versión Lite en 2018 en Tailandia, y se expandió rápidamente a otros mercados del sudeste asiático, como Indonesia, Malasia y Filipinas. La app, que a diferencia de la versión completa de TikTok puede funcionar en redes 2G y 3G, cuenta ya con más de 1.000 millones de descargas, según datos de Google Play Store. (TikTok Lite solamente está disponible para teléfonos Android).

«La mayoría de los usuarios del Sur Global tienen bajos ingresos y recursos limitados», afirma Payal Arora, profesora de culturas inclusivas de IA en la Universidad de Utrecht, en los Países Bajos. Las versiones Lite de las aplicaciones ayudan a las empresas a conseguir que estas personas se incorporen, algo que, según ella, es aún más crítico que en el pasado porque «los datos son moneda de cambio en este mercado impulsado y ávido de IA

Sin cuidado

Un ejemplo de las diferencias que los investigadores encontraron entre las versiones de la app tiene que ver con Covid-19; mientras que los usuarios de Lite son remitidos a un centro de recursos cuando buscan activamente términos relacionados con el virus, el contenido real sobre él no está etiquetado con un enlace a ese centro, cosa que sí ocurre en la versión completa de TikTok.

Los investigadores también descubrieron que los subtítulos estaban truncados en la versión Lite de TikTok, lo que dejaba a los usuarios con menos contexto sobre lo que estaban viendo. La versión Lite de la aplicación también carece de una función que permite a los usuarios limitar el tiempo que pasan en la aplicación y un «modo restringido» que elimina el contenido que «puede no ser apropiado para todos los públicos», de acuerdo con las políticas de TikTok.

Al eliminar estas funciones, TikTok parece repetir los errores de anteriores aplicaciones Lite. Facebook Lite también eliminó elementos que podrían haber ayudado a los usuarios a comprender mejor el contenido que encontraban.

«En el caso de la versión Lite de Facebook, a las personas les resultaba más difícil saber qué era real y qué no, porque a menudo eliminaba las imágenes a medida que pesaban más, o hacía imposible hacer clic en los enlaces», recuerda Ellery Roberts Biddle, antiguo miembro del Berkman Klein Center for Internet and Society de Harvard, quien ha estudiado las plataformas sociales zero-rated. «Parecen tener su origen en una falta de consideración similar por el empoderamiento del usuario».

A Madung le preocupa que el daño causado por la falta de etiquetas y moderación no se limite necesariamente a los usuarios de TikTok Lite. «El contenido que se hace en TikTok no se queda en TikTok», explica. «La gente descarga videos frecuentemente y los comparte en WhatsApp o Instagram Reels».

Artículo publicado originalmente en WIRED. Adaptado por Mauricio Serfatty Godoy.

CVE-2024-41655

CVE-2024-41655

Título es
CVE-2024-41655

Mar, 23/07/2024 – 15:15

Tipo
CWE-1333

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-41655

Descripción en
TF2 Item Format helps users format TF2 items to the community standards. Versions of `tf2-item-format` since at least `4.2.6` and prior to `5.9.14` are vulnerable to a Regular Expression Denial of Service (ReDoS) attack when parsing crafted user input. This vulnerability can be exploited by an attacker to perform DoS attacks on any service that uses any `tf2-item-format` to parse user input. Version `5.9.14` contains a fix for the issue.

23/07/2024
23/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-41319

CVE-2024-41319

Título es
CVE-2024-41319

Mar, 23/07/2024 – 15:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-41319

Descripción en
TOTOLINK A6000R V1.0.1-B20201211.2000 was discovered to contain a command injection vulnerability via the cmd parameter in the webcmd function.

23/07/2024
23/07/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

Microsoft acusa a la UE de ser responsable del fallo de CrowdStrike

Microsoft acusó a la Unión Europea de ser responsable del mayor apagón informático mundial de la historia, provocado por un fallo en una actualización del programa de ciberseguridad CrowdStrike, que se produjo el viernes 19 de julio y afectó a unos 8.5 millones de computadoras.

La empresa culpa a un acuerdo de 2009 con la Comisión Europea que supuestamente imponía restricciones a Microsoft en materia de cambios de seguridad. En concreto, el convenio impide a la compañía estadounidense realizar cambios esenciales en el software de otras empresas que ha sido instalado en el núcleo de su propio sistema operativo. Este nivel es tan delicado que un pequeño fallo puede tener consecuencias desastrosas para todo el sistema. Microsoft explica que, sin esta limitante, hubiera evitado inmediatamente la actualización defectuosa del software Falcon de CrowdStrike, que está instalado en muchos sistemas Windows.


Stand de Crowdstrike en una feria
Qué es CrowdStrike: la historia de la gigante de la ciberseguridad que apagó el mundo por error

CrowdStrike, una de las principales empresas de ciberseguridad del mundo y que acaba de causar la caída de computadoras en todo el planeta, figura en el centro de las teorías de la conspiración alimentadas por Trump.


El origen del acuerdo

Desde principios de la década de los 2000, la Comisión Europea había acusado a Microsoft de tener una ventaja desleal sobre otras empresas, debido a su posición dominante en el mercado del software. Aunque el sistema de seguridad propietario de la gigante era consideradamente más fiable y eficaz, el órgano ejecutivo obligó a Microsoft a permitir la integración de programas informáticos de seguridad de otras empresas a niveles muy internos, a los que de otro modo no habrían tenido acceso. La decisión fomentaría la competencia y evitaría los abusos de poder de la compañía.


Logotipo de CrowdStrike en una pantalla de teléfono móvil sobre un fondo rojo con el símbolo de un halcón en vuelo.
¿Cómo una mala actualización de CrowdStrike colapsó las computadoras de todo el mundo?

Una actualización de CrowdStrike hizo que las computadoras de todo el mundo entraran en una espiral de reinicio mortal, colapsando el transporte aéreo, los hospitales, los bancos y mucho más. ¿Por qué?


Y puede ponerse peor…

A pesar de que el impacto por el uso generalizado del sistema de CrowdStrike fue crítico, la gigante de Redmond ha declarado que “un número significativo” de las computadoras que funcionan con Windows ya están de nuevo en línea gracias a una herramienta lanzada para restaurar PC bloqueados; y que los dispositivos afectados representan menos del 1% de todas las máquinas disponibles.

Hasta ahora, Apple ha logrado escapar a acuerdos similares, manteniendo un control más estricto sobre la seguridad de sus equipos. Sin embargo, esta situación podría cambiar pronto. La Unión Europea, a través de la Ley de Mercados Digitales, el Reglamento Europeo de Mercados Digitales, intenta forzar a Apple a abrir el acceso a sus iPhone, permitiendo el uso de tiendas de aplicaciones y navegadores web alternativos.

De aplicarse, esto podría exponer potencialmente los dispositivos de Apple a riesgos de seguridad similares a los expuestos por el incidente Microsoft y CrowdStrike, lo que plantea importantes cuestiones sobre el delicado equilibrio entre regulación, competencia y seguridad en el sector tecnológico. Mientras que los sistemas abiertos pueden fomentar la innovación y la competencia, por otro lado pueden crear vulnerabilidades imprevistas.

Artículo publicado originalmente en WIRED Italia. Adaptado por Alondra Flores.

CVE-2024-6783

CVE-2024-6783

Título es
CVE-2024-6783

Mar, 23/07/2024 – 15:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6783

Descripción en
A vulnerability has been discovered in Vue, that allows an attacker to perform XSS via prototype pollution. The attacker could change the prototype chain of some properties such as `Object.prototype.staticClass` or `Object.prototype.staticStyle` to execute arbitrary JavaScript code.

23/07/2024
23/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
4.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-39702

CVE-2024-39702

Título es
CVE-2024-39702

Mar, 23/07/2024 – 16:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-39702

Descripción en
In lj_str_hash.c in OpenResty 1.19.3.1 through 1.25.3.1, the string hashing function (used during string interning) allows HashDoS (Hash Denial of Service) attacks. An attacker could cause excessive resource usage during proxy operations via crafted requests, potentially leading to a denial of service with relatively few incoming requests. This vulnerability only exists in the OpenResty fork in the openresty/luajit2 GitHub repository. The LuaJIT/LuaJIT epository. is unaffected/

23/07/2024
23/07/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off