New Spring Java framework zero-day allows remote code execution Spring Core Java 프레임워크의 새로운 제로데이 취약점인 'Spring4Shell'이 공개되었습니다. 해당 취약점은 애플리케이션에서 인증되지 않은 원격 코드 실행을 허용하는 것으로 나타났습니다. Spring은 소프트웨어 개발자가 엔터프라이즈 수준의 기능으로 Java 애플리케이션을 빠르고 쉽게 개발할 수 있도록 하는 인기 높은 애플리케이션 프레임워크입니다. 이후 이러한 애플리케이션을 Apache Tomcat과 같은 서버에 필요한 모든 종속성이 있는 독립 실행형 패키지로써 배포할 수 있습니다. 3월 29일, CVE-2022-22963으로 등록된 새로운 Spring Cloud Funct..

국내외 보안동향 2022. 3. 31. 08:19

Microsoft Patch Tuesday fixes CVE-2021-40444 MSHTML zero-day 마이크로소프트가 2021년 9월 ‘패치 화요일’ 보안 업데이트의 일부로 윈도우 10 컴퓨터 내 Microsoft Office 및 Office 365를 노린 타깃 공격에서 활발히 악용되는 치명적인 제로데이 RCE 취약점을 패치했습니다. CVE-2021-40444로 등록된 이 취약점은 윈도우 Internet Explorer 브라우저의 주요 HTML 컴포넌트이자 다른 애플리케이션에서도 사용되는 MSHTML에 존재합니다. 지난주 마이크로소프트는 Internet Explorer의 제로데이 취약점인 CVE-2021-40444를 취약한 윈도우 시스템을 하이재킹하려 시도하는 공격자가 활발히 악용 중이라 경고했습..

국내외 보안동향 2021. 9. 16. 14:00

Apple fixes actively exploited FORCEDENTRY zero-day flaws 애플이 iOS 및 macOS에 존재하는 제로데이 취약점인 CVE-2021-30860, CVE-2021-30858을 수정하기 위한 보안 패치를 출시했습니다. 또한 해당 취약점이 실제 공격에서 활발히 악용되고 있다고 경고했습니다. 지난 8월, Citizen Lab의 연구원들은 NSO Group의 Pegasus 스파이웨어를 바레인 활동가의 기기에 배포하는 데 사용된 제로클릭 iMessage 익스플로잇을 발견했습니다. 바레인 인권 센터, Waad, Al Wefaq의 회원을 포함한 활동가 9명의 iPhone이 LULU로 명명된 감시 작업의 일환으로 Pegasus 스파이웨어에 감염되었으며, 이는 바레인 정부의 작..

국내외 보안동향 2021. 9. 14. 14:00

Researcher published PoC exploit for Ghostscript zero-day 보안 연구원인 Nguyen The Duc가 GitHub에 Ghostscript 제로데이 취약점에 대한 PoC 익스플로잇 코드를 공개했습니다. 이 취약점은 공격자가 서버를 완전히 해킹하는데 악용할 수 있는 원격 코드 실행(RCE) 이슈 입니다. Ghostscript는 어도비(Adobe) 시스템의 PostScript 및 PDF 페이지 설명 언어용 인터프리터를 기반으로 하는 소프트웨어 제품군입니다. 문서 페이지를 표시하거나 인쇄하고, PostScript와 PDF 파일 간의 변환을 위한 페이지 설명 언어 파일의 래스터화 또는 렌더링에 주로 사용됩니다. 해당 라이브러리는 많은 서버에서 이미지 변환용으로 널리 사..

국내외 보안동향 2021. 9. 8. 14:00

Critical WordPress plugin zero-day under active exploitation 공격자들이 악성코드를 업로드하기 위한 제로데이 취약점을 악용하기 위해 Fancy Product Designer 플러그인을 사용하는 사이트를 스캔하고 있는 것으로 나타났습니다. Fancy Product Designer는 WordPress, WooCommerce, Shopify용 시각적 제품 구성 플러그인으로 고객이 자신의 그래픽 및 콘텐츠를 사용하여 제품을 커스텀할 수 있습니다. 해당 플러그인의 판매 통계에 따르면, Fancy Product Designer는 웹사이트 17,000곳 이상에 판매 및 설치되었습니다. 제로데이 취약점, WooCommerce 사이트에도 영향 미쳐 제로데이는 제작사에서 패치..

국내외 보안동향 2021. 6. 2. 09:00

Adobe fixes Reader zero-day vulnerability exploited in the wild Adobe가 12개의 프로그램 내 취약점을 수정하는 대규모 ‘패치 화요일(Patch Tuesday)’ 보안 업데이트를 공개했습니다. 이 중 Adobe Reader에 존재하는 취약점은 실제 공격에서 활발히 악용 중인 것으로 나타났습니다. 업데이트된 프로그램은 Adobe Experience Manager, Adobe InDesign, Adobe Illustrator, Adobe InCopy, Adobe Genuine Service, Adobe Acrobat and Reader, Magento, Adobe Creative Cloud Desktop Application, Adobe Media Enc..

국내외 보안동향 2021. 5. 12. 14:00

Apple fixes another three iOS zero-days exploited in the wild 애플이 실제 공격에 악용되고 있는 제로데이 취약점 3개를 패치하기 위한 보안 업데이트를 공개했습니다. 이 제로데이 취약점 3개 모두 익명의 연구원이 애플에 제보한 것입니다. 한 취약점(CVE-2021-1782)은 iOS 커널에 영향을 미치고, 다른 두 취약점 (CVE-2021-1870, CVE-2021-1871)은 WebKit 브라우저 엔진에 영향을 미칩니다. iOS 커널 취약점은 경쟁 상태(race condition) 이슈로 공격자가 사용하는 공격 코드의 권한을 상승시키도록 허용합니다. 두 WebKit 제로데이는 “논리적 문제”로 원격 공격자가 사용자의 사파리 브라우저 내에서 악성코드를 실행하..

국내외 보안동향 2021. 1. 27. 09:00

Apple fixes three iOS zero-days exploited in the wild 애플이 실제 공격에 악용된 것으로 발견된 iOS용 제로데이 취약점 3개를 패치하는 보안 업데이트를 공개했습니다. 구글의 위협 분석 그룹 디렉터인 Shane Huntley에 따르면, 이 iOS 제로데이 취약점 3개는 최근 공개된 크롬 제로데이 취약점 3개 [1, 2, 3] 및 윈도우 제로데이 취약점과 관련이 있습니다. 이전과 마찬가지로 구글은 공격자 또는 공격 대상에 대한 자세한 정보를 밝히지는 않았습니다. 제로데이가 특정 타깃에만 사용되었는지, 아니면 불특정 다수에 사용되었는지는 알 수 없는 상태이지만 iOS 사용자는 iOS 14.2로 업데이트 하는 것이 안전합니다. iPadOS 14.2와 watchOS 5...

국내외 보안동향 2020. 11. 6. 14:00