CVE-2024-50595

CVE-2024-50595

Título es
CVE-2024-50595

Mié, 02/04/2025 – 14:15

Tipo
CWE-191

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-50595

Descripción en
An integer underflow vulnerability exists in the HTTP server PUT request functionality of STMicroelectronics X-CUBE-AZRTOS-WL 2.0.0. A specially crafted series of network requests can lead to denial of service. An attacker can send a sequence of malicious packets to trigger this vulnerability.This vulnerability affects the NetX Duo Component HTTP Server implementation which can be found in x-cube-azrtos-f7\Middlewares\ST\netxduo\addons\http\nxd_http_server.c

02/04/2025
02/04/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
4.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-50594

CVE-2024-50594

Título es
CVE-2024-50594

Mié, 02/04/2025 – 14:15

Tipo
CWE-191

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-50594

Descripción en
An integer underflow vulnerability exists in the HTTP server PUT request functionality of STMicroelectronics X-CUBE-AZRTOS-WL 2.0.0. A specially crafted series of network requests can lead to denial of service. An attacker can send a sequence of malicious packets to trigger this vulnerability.This vulnerability affects the NetX Duo Web Component HTTP Server implementation which can be found in x-cube-azrtos-f7\Middlewares\ST\netxduo\addons\web\nx_web_http_server.c

02/04/2025
02/04/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
4.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-50385

CVE-2024-50385

Título es
CVE-2024-50385

Mié, 02/04/2025 – 14:15

Tipo
CWE-459

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-50385

Descripción en
A denial of service vulnerability exists in the NetX Component HTTP server functionality of STMicroelectronics X-CUBE-AZRTOS-WL 2.0.0. A specially crafted network packet can lead to denial of service. An attacker can send a malicious packet to trigger this vulnerability.This vulnerability affects X-CUBE-AZRTOS-F7 NetX Duo Component HTTP Server HTTP server v 1.1.0. This HTTP server implementation is contained in this file – x-cube-azrtos-f7\Middlewares\ST\netxduo\addons\http\nxd_http_server.c

02/04/2025
02/04/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-50384

CVE-2024-50384

Título es
CVE-2024-50384

Mié, 02/04/2025 – 14:15

Tipo
CWE-459

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-50384

Descripción en
A denial of service vulnerability exists in the NetX Component HTTP server functionality of STMicroelectronics X-CUBE-AZRTOS-WL 2.0.0. A specially crafted network packet can lead to denial of service. An attacker can send a malicious packet to trigger this vulnerability.This vulnerability affects X-CUBE-AZRTOS-F7 NetX Duo Web Component HTTP server v 1.1.0. This HTTP server implementation is contained in this file – x-cube-azrtos-f7\Middlewares\ST\netxduo\addons\web\nx_web_http_server.c

02/04/2025
02/04/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-45064

CVE-2024-45064

Título es
CVE-2024-45064

Mié, 02/04/2025 – 14:15

Tipo
CWE-119

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-45064

Descripción en
A buffer overflow vulnerability exists in the FileX Internal RAM interface functionality of STMicroelectronics X-CUBE-AZRTOS-WL 2.0.0. A specially crafted set of network packets can lead to code execution. An attacker can send a sequence of requests to trigger this vulnerability.

02/04/2025
02/04/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-50597

CVE-2024-50597

Título es
CVE-2024-50597

Mié, 02/04/2025 – 14:15

Tipo
CWE-191

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-50597

Descripción en
An integer underflow vulnerability exists in the HTTP server PUT request functionality of STMicroelectronics X-CUBE-AZRTOS-WL 2.0.0. A specially crafted network packet can lead to denial of service. An attacker can send a malicious packet to trigger this vulnerability.This vulnerability affects the NetX Duo Component HTTP Server implementation which can be found in x-cube-azrtos-f7\Middlewares\ST\netxduo\addons\http\nxd_http_server.c

02/04/2025
02/04/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
4.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-50596

CVE-2024-50596

Título es
CVE-2024-50596

Mié, 02/04/2025 – 14:15

Tipo
CWE-191

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-50596

Descripción en
An integer underflow vulnerability exists in the HTTP server PUT request functionality of STMicroelectronics X-CUBE-AZRTOS-WL 2.0.0. A specially crafted network packet can lead to denial of service. An attacker can send a malicious packet to trigger this vulnerability.This vulnerability affects the NetX Duo Web Component HTTP Server implementation which can be found in x-cube-azrtos-f7\Middlewares\ST\netxduo\addons\web\nx_web_http_server.c

02/04/2025
02/04/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
4.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2025-21994

CVE-2025-21994

Título es
CVE-2025-21994

Mié, 02/04/2025 – 14:16

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-21994

Descripción en
In the Linux kernel, the following vulnerability has been resolved:

ksmbd: fix incorrect validation for num_aces field of smb_acl

parse_dcal() validate num_aces to allocate posix_ace_state_array.

if (num_aces > ULONG_MAX / sizeof(struct smb_ace *))

It is an incorrect validation that we can create an array of size ULONG_MAX.
smb_acl has ->size field to calculate actual number of aces in request buffer
size. Use this to check invalid num_aces.

02/04/2025
02/04/2025
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

La seguridad de EE UU comprometida de nuevo en plataformas no autorizadas, revela The Washington Post

Parece que el SignalGate, el escándalo sobre los planes militares estadounidenses en Yemen compartidos por error con el editor en jefe del diario The Atlantic, Jeffrey Goldberg, a través de la aplicación cifrada Signal, aún no llega a su fin. Ahora, el asesor de seguridad nacional Michael Waltz vuelve a ser noticia por un nuevo error de comunicación.

Según un informe publicado por The Washington Post, Waltz discutió «posiciones militares sensibles y potentes sistemas de armamento relacionados con un conflicto en curso» utilizando su cuenta personal de Gmail, mucho menos segura que Signal. Concretamente, las fuentes cercanas al funcionario describen la gestión de Waltz como «cuestionable», debido al tratamiento desinteresado de conversaciones técnicas entre colegas de otras agencias gubernamentales.


Logo de Signal con la Casa Blanca dentro.
El fiasco del SignalGate impulsa un récord histórico de descargas de Signal en EE UU

El escándalo en torno al chat de grupo Signal de la administración Trump ha provocado una semana histórica para la app de mensajería cifrada: es el mayor momento de crecimiento en EE UU por un margen masivo.


Salir de un problema para entrar en otro

El principio de confidencialidad es indispensable para un funcionario de EE UU, quien debe ser estrictamente cuidadoso con los medios en los que comparte o difunde información. Precisamente, este es el punto que preocupa a la ciudadanía. De acuerdo con lo citado por el Washington Post, Waltz era el único que utilizaba su cuenta personal, mientras que los demás usaban cuentas gubernamentales.

Eva Galperin, experta en ciberseguridad consultada por el medio, explica que, a menos que el asesor de Trump utilizara un GPG, un software libre que permite cifrar y firmar archivos y comunicaciones, el correo no está cifrado de extremo a extremo: «El mensaje pudo haber sido interceptado y leído en muchos puntos, incluidos los servidores de correo de Google».

Además, The Washington Post informa que el asesor recibía en su bandeja de entrada personal «información menos sensible pero potencialmente explotable, como su agenda y otros documentos de trabajo». Un manejo de la información decididamente problemático, que podría resultar peligroso para la administración Trump. El portavoz del consejo, Brian Hughes, se apresuró a defender el comportamiento de Waltz, señalando que no ha enviado ni enviaría información clasificada en una cuenta privada, y que él y sus asociados solo usan «plataformas seguras para datos vulnerables». No obstante, la reciente indiscreción en Signal, donde estuvieron implicados otros allegados al presidente republicano, entre ellos el vicepresidente J.D. Vance, el secretario de Estado Marco Rubio y la directora de Inteligencia Nacional Tulsi Gabbard, deja en entredicho la afirmación de Hughes.

En aquella oportunidad, el portavoz justificó que Signal era una «app autorizada» y que, en algunos casos, «se añadía automáticamente a los dispositivos gubernamentales». En lo que concierne a Waltz, es difícil defenderlo ante la tensión cibernética y política que lo acecha. El error no le gustó nada al presidente Trump ni al resto de los miembros de la junta.

Artículo publicado originalmente en WIRED Italia. Adaptado por Alondra Flores.

CVE-2025-1805

CVE-2025-1805

Título es
CVE-2025-1805

Mié, 02/04/2025 – 13:15

Tipo
CWE-338

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-1805

Descripción en
Crypt::Salt for Perl version 0.01 uses insecure rand() function when generating salts for cryptographic purposes.

02/04/2025
02/04/2025
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off