New ‘DogWalk’ Windows zero-day bug gets free unofficial patches 마이크로소프트 지원 진단 도구(MSDT)에서 발견된 새로운 Windows 제로데이 취약점에 대한 무료 비공식 패치가 0patch 플랫폼을 통해 공개되었습니다. 농담으로 DogWalk라 명명된 이 취약점은 공격자가 (이메일을 통해 받거나 웹에서 다운로드한) 악의적으로 제작된 .diagcab 파일을 열 때 윈도우 시작 폴더에 실행 파일을 복사하기 위해 공격자가 악용할 수 있는 경로 탐색 취약점입니다. 해당 악성 실행 파일은 다음에 피해자가 윈도우를 재시작할 때 자동으로 실행됩니다. 이 취약점은 2020년 1월 보안 연구원인 Imre Rad가 처음으로 공개했습니다. 마이크로소프트는 해당 문제가 보..

국내외 보안동향 2022. 6. 8. 09:00

New Unpatched Bug Could Let Attackers Steal Money from PayPal Users 한 보안 연구원이 PayPal의 송금 서비스에서 공격자가 피해자를 속여 단 한 번의 클릭으로 자신도 모르게 공격자 계획한 거래를 완료하도록 허용하는 취약점을 발견했다고 주장했습니다. 또한 해당 취약점은 패치되지 않은 상태라고 밝혔습니다. 클릭재킹(Clickjacking)은 피해자가 악성코드를 다운로드하거나, 악성 웹사이트로 이동시키거나, 민감 정보를 유출시키도록 속이기 위해 무심코 무해하게 생긴 웹 페이지의 요소를 클릭하도록 하는 기술을 말합니다. 이는 보통 표시되는 페이지 상단에 보이지 않는 페이지나 HTML 요소를 표시하는 방식으로 수행되며, 사용자가 합법적인 페이지의 콘텐츠를 클..

국내외 보안동향 2022. 5. 24. 14:00

NGINX Shares Mitigations for Zero-Day Bug Affecting LDAP Implementation NGINX 웹 서버 프로젝트의 관리자가 LDAP(Lightweight Directory Access Protocol) 참조 구현에 존재하는 보안 취약점을 해결하기 위한 완화 조치를 발표했습니다. F5 Networks의 Liam Crilly와 Timo Stark는 지난 월요일 권고를 발표해 아래와 같이 밝혔습니다. "NGINX 오픈소스와 NGINX Plus 자체는 이에 영향을 받지 않으며, 참조 구현을 사용하지 않을 경우 조치가 필요하지 않습니다." NGINX는 사용자 인증에 LDAP를 사용하는 참조 구현은 아래 세 가지 조건에서만 영향을 받는다고 밝혔습니다. Python 기반 ..

국내외 보안동향 2022. 4. 13. 14:00

Apple issues emergency patches to fix actively exploited zero-days 애플이 아이폰, 아이패드, 맥 기기를 해킹하는데 활발히 악용되는 제로데이 취약점 2개를 해결하는 긴급 보안 패치를 공개했습니다. CVE-2022-22674로 등록된 첫 번째 제로데이 취약점은 인텔 그래픽 드라이버에 있는 out-of-bounds 읽기 문제로, 악성 앱이 커널 메모리를 읽을 수 있도록 허용할 수 있습니다. 애플은 권고문을 통해 아래와 같이 밝혔습니다. “out-of-bounds 읽기 문제로 인해 커널 메모리가 공개될 수 있었으며, 입력 유효성 검사를 개선하여 해결했습니다. 애플은 해당 이슈가 활발히 악용되었다는 제보를 받았습니다.” CVE-2022-22675로 등록된 두 ..

국내외 보안동향 2022. 4. 1. 14:00

New Spring Java framework zero-day allows remote code execution Spring Core Java 프레임워크의 새로운 제로데이 취약점인 'Spring4Shell'이 공개되었습니다. 해당 취약점은 애플리케이션에서 인증되지 않은 원격 코드 실행을 허용하는 것으로 나타났습니다. Spring은 소프트웨어 개발자가 엔터프라이즈 수준의 기능으로 Java 애플리케이션을 빠르고 쉽게 개발할 수 있도록 하는 인기 높은 애플리케이션 프레임워크입니다. 이후 이러한 애플리케이션을 Apache Tomcat과 같은 서버에 필요한 모든 종속성이 있는 독립 실행형 패키지로써 배포할 수 있습니다. 3월 29일, CVE-2022-22963으로 등록된 새로운 Spring Cloud Funct..

국내외 보안동향 2022. 3. 31. 08:19

Google Issues Urgent Chrome Update to Patch Actively Exploited Zero-Day Vulnerability 구글이 지난 금요일 실제 공격에서 활발히 악용되고 있는 크롬 브라우저의 심각도 높은 취약점을 패치하는 긴급 보안 업데이트를 공개했습니다. CVE-2022-1096으로 등록된 이 제로데이 취약점은 V8 JavaScript 엔진에 존재하는 유형 혼동 취약점입니다. 이는 2022년 3월 23일에 익명의 연구원이 제보했습니다. 처음에 초기화된 것과 호환되지 않는 유형을 사용해 리소스(예: 변수, 개체 등)에 접근할 때 발생하는 유형 혼동 오류는 C 및 C++와 같이 메모리에 안전하지 않은 언어에서 심각한 결과를 초래할 수 있어 공격자가 out-of-bound ..

국내외 보안동향 2022. 3. 28. 09:00

Apple fixed the first two zero-day vulnerabilities of 2022 애플이 제로데이 취약점 다수를 수정하기 위한 보안 업데이트를 발표했습니다. 이 중 하나는 iPhone 및 Mac 기기를 해킹하기 위해 실제 공격에서 활발히 악용되고 있는 것으로 나타났습니다. CVE-2022-22587로 등록된 이 제로데이 취약점 중 하나는 IOMobileFrameBuffer에 존재하며 iOS, iPadOS, macOS Monterey에 영향을 미치는 메모리 손상 이슈입니다. 해당 취약점을 악용할 경우 해킹된 기기에서 커널 권한으로 임의 코드가 실행됩니다. 애플은 보안 권고를 통해 아래와 같이 밝혔습니다. “악성 애플리케이션은 커널 권한으로 임의의 코드를 실행할 수 있습니다. 애플은 ..

국내외 보안동향 2022. 1. 27. 14:00

Google fixed the 17th zero-day in Chrome since the start of the year 구글이 실제 공격에서 악용되는 심각도 높은 제로데이 취약점인 CVE-2021-4102를 포함한 크롬 웹 브라우저의 취약점 5가지를 수정하는 보안 업데이트를 공개했습니다. CVE-2021-4102 취약점은 V8 JavaScript 및 WebAssembly 엔진의 use-after-free 이슈로 이를 악용할 경우 임의 코드 실행 또는 데이터 손상이 유발될 수 있습니다. 구글은 "CVE-2021-4102에 대한 익스플로잇이 실제 공격에 사용된다는 제보를 받았다"고 밝혔지만 공격에 대한 추가적인 정보는 공개하지 않았습니다. 이 취약점은 2021년 12월 9일 익명의 연구원이 제보했습니다...

국내외 보안동향 2021. 12. 15. 14:00