OWASP Top10이 새롭게 공개되었습니다. OWASP TOP 10이란 Open Web Application Security Project에 따라 악용가능성, 탐지가능성 및 영향에 대해 빈도수가 높고 보안상 영향을 크게 줄 수 있는 10가지 웹 애플리케이션 보안 취약점 목록입니다. OWASP Top 10 목록은 3~4년에 한번씩 정기적으로 업데이트 됩니다. OWASP 2021 목록 A01 : Broken Access Control (접근 권한 취약점) 엑세스 제어는 사용자가 권한을 벗어나 행동할 수 없도록 정책을 시행합니다. 만약 엑세스 제어가 취약하면 사용자는 주어진 권한을 벗어나 모든 데이터를 무단으로 열람, 수정 혹은 삭제 등의 행위로 이어질 수 있습니다. A02 : Cryptographic Fa..

국내외 보안동향 2021. 9. 24. 16:44

Apple addresses a new zero-day exploited to deploy the NSO Pegasus spyware 애플이 취약한 iOS 및 macOS 버전을 실행하는 아이폰과 Mac을 해킹하는 실제 공격에서 악용되고 있는 제로데이 취약점 3가지를 패치하는 보안 업데이트를 공개했습니다. 애플은 공격자가 기기를 NSO Pegasus 스파이웨어에 감염시키기 위해 취약점 최소 하나를 악용했음을 확인했습니다. 취약한 기기에는 iOS 12.5.5를 실행하는 iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3, iPod touch, 보안 업데이트 2021-006 Catalina가 설치된 Mac이 포함됩니다. CVE-2021..

국내외 보안동향 2021. 9. 24. 14:00

Flaws in Nagios Network Management systems pose risk to companies 널리 사용되는 Nagios의 네트워크 관리 제품에서 조직에 심각한 위험을 초래하는 여러 취약점이 발견되었습니다. 사이버 보안 회사인 Claroty의 연구원들이 Nagios의 널리 사용되는 네트워크 관리 제품에서 11가지 취약점을 발견했습니다. Nagios XI는 전 세계 수천 개의 조직에서 사용하는 애플리케이션, 서비스, 운영 체제, 네트워크 프로토콜, 시스템 메트릭, 네트워크 인프라에 대한 모니터링 제품입니다. 이 취약점은 SSRF(서버 측 요청 위조), 스푸핑, 로컬 권한 상승, 원격 코드 실행, 정보 공개 등으로 이어질 수 있습니다. 이 취약점은 Nagios XI, XI Switch..

국내외 보안동향 2021. 9. 24. 11:40

BulletProofLink, a large-scale phishing-as-a-service active since 2018 마이크로소프트의 연구원들이 BulletProofLink(Anthrax)라 명명된 대규모 서비스형 피싱(PhaaS; Phishing-as-a-Service) 작전을 발견했습니다. 이들은 고객에 피싱 공격을 실행하기 위한 피싱 키트, 이메일 템플릿, 호스팅, 자동화 서비스를 제공합니다. BulletProofLink 서비스는 매우 저렴한 편이며 특정 기술이 없이도 공격자가 피싱 캠페인을 계획할 수 있도록 했습니다. 마이크로소프트는 공격자가 제어하는 ​​사이트나 BulletProofLink에서 PhaaS 서비스의 일부로 제공한 사이트에서 BulletProofLink 피싱 키트를 사용한 ..

국내외 보안동향 2021. 9. 24. 09:00

High-Severity RCE Flaw Disclosed in Several Netgear Router Models 네트워킹 기기 회사인 Netgear가 원격 공격자가 취약한 시스템을 제어하는데 악용할 수 있는 심각도 높은 원격 코드 실행(RCE) 취약점을 수정하는 패치를 공개했습니다. 이 취약점은 다수의 라우터 모델에 영향을 미치는 것으로 확인됐습니다. CVE-2021-40847(CVSS 점수: 8.1)로 등록된 이 보안 취약점은 아래 모델에 존재합니다. R6400v2(펌웨어 버전 1.0.4.120에서 수정됨) R6700(펌웨어 버전 1.0.2.26에서 수정됨) R6700v3(펌웨어 버전 1.0.4.120에서 수정됨) R6900(펌웨어 버전 1.0.2.26에서 수정됨) R6900P(펌웨어 버전 3.3..

국내외 보안동향 2021. 9. 23. 14:00

70개 이상의 Hikvision 카메라 및 NVR 모델에 영향을 미치며 공격자가 장치를 탈취하도록 허용할 수 있는 CVE-2021-36260 취약점이 발견되었습니다. 이를 통해 공격자는 무제한 루트 셸로 장치를 완전히 제어할 수 있습니다. 이는 사전 정의된 입력을 필터링하는 제한된 "보호된 셸"(psh)로 제한되기 때문에 장치 소유자보다 훨씬 더 많은 액세스 권한이 있습니다. 공격자는 해킹된 IP 카메라를 사용하여 장치를 사용하는 인프라에 위험을 초래하는 내부 네트워크에 액세스할 수도 있습니다. 민감한 사이트에 이러한 카메라를 배치하면 잠재적으로 중요한 인프라도 위험에 처할 수 있습니다. 공급업체는 권고를 통해 일부 Hikvision 제품의 웹 서버에 있는 명령 주입 취약점으로 인해 악성 명령이 포함된 ..

국내외 보안동향 2021. 9. 23. 11:30

VMware Warns of Critical File Upload Vulnerability Affecting vCenter Server VMware가 지난 화요일 원격의 공격자가 취약한 시스템을 제어하는데 악용할 수 있는 vCenter Server 및 Cloud Foundation 어플라이언스의 취약점 19개에 대한 경고를 게시했습니다. 가장 치명적인 이슈는 vCenter Server 6.7 및 7.0에 영향을 미치는 Analytics 서비스의 임의 파일 업로드 취약점(CVE-2021-22005)입니다. 회사는 아래와 같이 밝혔습니다. "vCenter Server의 포트 443에 대한 네트워크 액세스 권한이 있는 공격자가 이를 악용해 특수 조작된 파일을 업로드하여 vCenter Server에서 코드를 실..

국내외 보안동향 2021. 9. 23. 09:00

Third Critical Bug Affects Netgear Smart Switches — Details and PoC Released Netgear 스마트 스위치에서 최근 수정된 치명적인 취약점에 대한 새로운 세부 정보가 공개되었습니다. 공격자가 이 취약점을 악용할 경우 잠재적으로 악성코드를 실행하고 취약한 기기를 제어할 수 있는 것으로 나타났습니다. "Seventh Inferno"(CVSS 점수: 9.8)라 명명된 이 취약점은 Demon's Cries(CVSS 점수: 9.8), Draconian Fear(CVSS 점수: 7.8)라 명명된 다른 보안 취약점과 함께 발견되었으며 구글의 보안 엔지니어인 Gynvael Coldwind가 회사에 제보했습니다. 이는 Netgear가 이달 초인 9월 3일, 취약..

국내외 보안동향 2021. 9. 17. 14:00