Squirrel Engine Bug Could Let Attackers Hack Games and Cloud Services 연구원들이 Squirrel 프로그래밍 언어의 Out-of-Bound 읽기 취약점을 발견해 공개했습니다. 이 취약점은 공격자가 샌드박스 제한을 벗어나 Squirrel VM 내에서 임의 코드를 실행해 공격자가 기본 시스템 전체에 접근할 수 있는 권한을 부여하는데 악용될 수 있습니다. CVE-2021-41556으로 등록된 이 이슈는 악용될 경우 Squirrel Engine이라는 게임 라이브러리를 통해 신뢰할 수 없는 코드를 실행할 수 있으며, Squirrel의 안정적인 버전 3.x 및 2.x에 존재합니다. 이 취약점을 발견한 연구원은 2021년 8월 10일에 해당 취약점을 제보했습니다...

국내외 보안동향 2021. 10. 20. 14:00

TeamViewer fixes bug that lets attackers access your PC 인기있는 원격 접속 및 기술 지원 프로그램인 TeamViewer에서 공격자가 재빨리 사용자의 컴퓨터로의 연결을 설정하여 시스템을 악용할 수 있는 취약점이 발견되어 패치되었습니다. 인증되지 않은 원격 공격자가 이 취약점을 성공적으로 악용할 경우 사용자의 윈도우 PC에서 코드를 실행하거나 브루트포싱 등을 통해 비밀번호 해시를 얻을 수 있게 됩니다. CVE-2020-13699로 등록된 심각도 높은 이 취약점은 보안 취약점의 특수 카테고리인 CVE-428 (인용되지 않은 검색 경로 또는 요소)에 포함되었습니다. 이 취약점으로 인해 프로그램이 인수를 입력 값이 아닌 직접 명령으로 처리할 수 있습니다. Iframe과..

국내외 보안동향 2020. 8. 10. 09:00

Google white hat hacker found code execution flaw in Notepad 유명한 화이트햇 해커인 Google Project Zero의 Tavis Ormandy가 마이크로소프트의 메모장 텍스트 편집기에서 코드 실행 취약점을 발견했습니다. Ormandy는 이 버그를 마이크로소프트에 제보했으며, 구글의 취약점 공개 정책에 따라 해당 결함의 기술적 세부 정보를 공개하기 전 90일을 기다릴 예정입니다. 물론, Ormandy는 마이크로소프트가 이 문제를 해결하기 위한 보안 패치를 공개한 후에도 세부 정보를 공개할 수 있습니다. Ormandy는 이 취약점이 메모리 변형 버그라 추측했으며, 트위터에 메모장에서 shell을 띄우는 방법을 보여주는 이미지를 공개했습니다. Ormandy는..

국내외 보안동향 2019. 5. 31. 15:33

Microsoft Fix for Windows JET Database Bug Not Perfect, Micropatch Available Windows JET 데이터베이스 엔진이 패치 후에도 여전히 원격 코드 실행 버그에 취약한 것으로 나타났습니다.CVE-2018-8423로 등록 된 이 취약점은 9월 20일 대중에 공개 되었습니다. 마이크로소프트가 제대로 된 업데이트를 다시 발행하기 전 까지, 사용자들은 마이크로패치를 임시로 적용해 문제를 해결할 수 있습니다. 이 임시 패치는 0Patch 플랫폼을 통해 무료로 배포 됩니다. 새로운 임시 인메모리 픽스 공개 돼 Acros Security 측에 따르면, 마이크로소프트의 해결책은 완전하지 않으며 문제를 제거하기 보다는 취약점을 제한할 뿐입니다. CEO인 Mit..

국내외 보안동향 2018. 10. 15. 15:31

크롬 버그, 사이트들이 음성 및 영상을 알림 없이도 녹음/녹화할 수 있도록 허용Chrome Bug Allows Sites to Record Audio and Video Without a Visual Indicator 구글 크롬 브라우저에서 웹사이트들이 별도의 알림 없이 음성 및 비디오를 녹음/녹화할 수 있도록 허용하는 버그가 발견되었습니다. 이 버그를 악용하기 위해서는 악성 웹사이트가 사용자의 음성 및 영상 컴포넌트에 접근하도록 허가를 받아야 하긴 하지만, 이 이슈가 사용자의 음성 및 영상을 캡쳐하기 위해 방법이 될 수 있는 만큼 다양하게 악용될 수 있는 것으로 보입니다. 이 버그의 핵심 요소는 크롬이 오디오나 비디오 스트림을 기록할 때 보통 보여주는 “빨간 원과 점” 아이콘입니다. 보안전문가는 Bar-..

국내외 보안동향 2017. 5. 30. 14:59

리눅스 시스템을 다운시키는 Systemd 취약점 발견Systemd vulnerability crashes Linux systems 트윗이 가능할 정도로 짧은 명령어를 사용해 대부분의 리눅스 시스템을 다운시킬 수 있는 새로운 취약점이 발견 되었습니다. 보안 인증서 업체 SSLMate의 리눅스 관리자 및 설립자 Andrew Ayer는 해당 버그를 발견했다고 밝혔습니다. 이 버그는 잠재적으로 NOTIFY_SOCKET=/run/systemd/notify systemd-notify”” 명령어를 입력하는 것만으로도 다수의 중요한 명령어들을 무력화시키고, 다른 명령어들이 불안정하게 만들 수 있어 주의가 필요합니다. Ayer은 이 버그의 심각성에 대해 “이 모든 것은 트윗이 가능할 정도로 짧은 명령어를 통해 야기시킬 ..

국내외 보안동향 2016. 10. 10. 16:12

LG 앱 업데이트 시 SSL 인증서 확인하지 않는 것으로 밝혀져Researcher Says LG App Update Mechanism Doesn’t Verify SSL Cert LG에서 제조된 수 많은 스마트폰에서 공격자들이 APK 파일을 악성 파일로 바꿔치기할 수 있는 취약점이 발견되었습니다. LG도 다른 제조사들과 같이 구글 플레이 스토어에서 다운이 불가능한 커스텀 앱들을 폰에 탑재하고 있습니다. 이 앱들은 스마트폰에 선 탑재되어 출시되며 새로운 코드를 다운로드 하기위해 LG 서버에 연결하는 독립된 업데이트 메커니즘을 가지고 있습니다. Search-Lab은 “새로운 앱이나 앱 업데이트들은 APK 파일 형태로 독립된 업데이트 채널로 설치되는데, 업데이트 시 사용자 확인을 거치지 않고 설치되므로 공격자가..

국내외 보안동향 2015. 6. 30. 14:19

피싱 공격을 허용하는 iOS, OS X의 메일 버그 발견 Mail Bug on iOS, OSX, Opens Door to Phishing Attacks iOS와 OS X의 메일 클라이언트에서 공격자가 외부 HTML을 로드하여 피싱 공격을 실행할 수 있도록 허용하는 버그가 발견되었습니다. 이는 체코의 Jan Souček 연구원에 의해 밝혀졌으며 공격자가 HTML과 CSS를 이용해 사용자 스스로가 그들의 아이디와 비밀번호를 입력하도록 유도합니다. Souček은 올해 초 해당 버그를 발견한 후 애플에 제보했지만, 5개월이 지난 지금에도 버그는 고쳐지지 않아 PoC를 공개하게 되었다고 밝혔습니다. 해당 이슈는 애플의 이메일 클라이언트가 HTML 태그를 보여주기 때문에 발생하는 것이며, 이메일 메시지의 콘텐츠를 ..

국내외 보안동향 2015. 6. 11. 14:56