PyPI Python Package Repository Patches Critical Supply Chain Flaw 지난주, PyPI(Python Package Index)의 관리자가 취약점 3가지에 대한 수정 사항을 발표했습니다. 그 중 하나는 임의 코드 실행 및 해당 공식 소프트웨어 저장소를 완전히 제어하는 ​​데 악용될 수 있습니다. 이 보안 취약점은 일본의 보안 연구원인 RyotaK이 발견해 제보했습니다. 발견된 취약점 3가지는 아래와 같습니다. PyPI의 레거시 문서 삭제 취약점 - PyPI에서 배포 도구를 호스팅하는 레거시 문서를 삭제하는 메커니즘에 존재하는 취약점으로, 공격자가 제어할 수 없는 프로젝트의 문서 제거 가능 PyPI의 역할 삭제 취약점 - PyPI의 역할 삭제 메커니즘에 존재하..

국내외 보안동향 2021. 8. 3. 14:00

Critical SaltStack RCE Bug (CVSS Score 10) Affects Thousands of Data Centers 오픈소스 SaltStack Sat 구성 프레임워크에서 치명적인 보안 취약점 2개가 발견되었습니다. 공격자가 이 취약점을 악용할 경우 데이터 센터와 클라우드 환경에 설치된 원격 서버에서 임의 코드를 실행할 수 있는 것으로 나타났습니다. F-Secure 연구원들은 지난 3월 초 이 취약점을 발견하였으나, SaltStack 연구원들이 이 문제를 해결하는 패치(버전 3000.2)를 공개한 후 하루 뒤인 4월 30일에야 이 취약점에 대한 세부사항을 공개했습니다. 이 취약점은 CVE-2020-11651, CVE-2020-11652로 등록되었으며, CVSS 점수 10을 기록했습니다..

국내외 보안동향 2020. 5. 4. 10:14

Two malicious Python libraries were stealing SSH and GPG keys 파이썬 보안 팀이 PyPI (Python Package Index)에서 악성 파이썬 라이브러리 2개를 제거했습니다. 이 두 라이브러리는 감염된 개발자의 프로젝트에서 SSH와 GPG 키를 훔치고 있었던 것으로 드러났습니다. 이 두 라이브러리는 “python3-dateutil”과 “jeIlyfish”로 모두 동일한 개발자인 “olgired2017″이 제작했으며, 정식 앱과 유사한 이름을 사용했습니다. python3-dateutil 라이브러리는 인기 높은 “dateutil” 라이브러리를 모방했으며 “jeIlyfish”(첫번째 L은 대문자 I로 사용)는 “jellyfish” 라이브러리를 모방했습니다. ..

국내외 보안동향 2019. 12. 5. 14:53

패치되지 않은 파이썬과 자바 취약점, 해커들이 FTP 인젝션을 통해 방화벽 우회하도록 허용해Unpatched Python and Java Flaws Let Hackers Bypass Firewall Using FTP Injection 자바와 파이썬에 승인되지 않은 이메일을 발송하고 어떠한 방화벽도 우회할 수 있는 보안 취약점이 존재하는 것으로 확인되었습니다. 이 두가지 취약점은 아직 패치가 되어있지 않기 때문에, 해커들은 이를 악용하여 중요한 네트워크와 인프라에 잠재적 공격 작업을 설계할 수 있습니다. 이 취약점은 자바와 파이썬 프로그래밍 언어가 FTP 링크를 처리하는 방식에 존재합니다. Username 파라미터의 문법 체크(syntax check)를 하지 않아 프로토콜 인젝션 취약점이 발생하는 것입니다..

국내외 보안동향 2017. 2. 23. 08:30

Python urllib HTTP 헤더 인젝션 취약점 Python의 urllib라이브러리(Python2에서는 urllib2，Python3에서는 urllib)에는 HTTP 스키마에 프로토콜 스트림 인젝션 취약점이 존재합니다. 만약 공격자가 Python 코드를 조작하여 임의의 URL 혹은 Python 코드를 통해 악의적인 webserver에 방문하도록 한다면, 내부망은 심각한 보안위협을 받을 수 있습니다. HTTP 프로토콜은 호스트를 처리할 때 인코딩된 퍼센티지 값으로 받아들인 뒤 디코딩 후 HTTP 데이터 스트림에 포함시킵니다. 하지만 추가적인 검증이나 인코딩을 하지 않기 때문에, 새로운 라인을 추가할 수 있습니다. #!/usr/bin/env python3 import sysimport urllibimpo..

국내외 보안동향 2016. 6. 21. 10:46