LuaRocks 보안 사고: LuaJIT 바이트코드로 서버 원격 코드 실행
LuaRocks.org가 LuaJIT 바이트코드를 일반 Lua 소스처럼 불러오는 취약점으로 원격 코드 실행 공격을 받았습니다. 운영자는 서버를 교체하고 자격 증명을 폐기했으며, 기존 패키지 변조 흔적은 찾지 못했다고 밝혔습니다. 이용자는 API 키를 재발급하고 비밀번호와 2단계 인증을 다시 설정해야 합니다.
보안·인프라 · 최신기사
취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
Flock, 보안 연구자가 공개한 카메라 지도에 삭제 요구 — 인증 없이 전국 335,701대 위치 노출
연구자 Joshua Michael은 Flock 웹사이트의 인증 없는 접근 취약점을 이용해 카메라 위치 데이터베이스를 확보하고 335,701대의 위치를 지도에 공개했습니다. Flock은 보안 침해를 부인하면서 상표권 침해를 이유로 지도 삭제를 요구했으며, 이번 사건은 감시 데이터의 보안과 기업의 공개 책임을 둘러싼 논란으로 이어졌습니다.
프롬프트 인젝션은 새로운 SQL 인젝션입니다 — 아직 대비가 부족합니다
프롬프트 인젝션은 신뢰할 수 없는 데이터와 명령이 같은 문맥에 섞이는 취약점이며, 에이전트가 행동 권한까지 가지면 피해 범위가 커집니다. 글은 SQL의 매개변수화 쿼리처럼 확실한 구조적 해결책이 아직 없다고 짚고, 권한 최소화와 사람의 승인 등으로 피해를 제한하자고 제안합니다.
탈옥하지 않은 iPhone에서 Windows PC 게임 실행하기 — FEX-Emu·Wine·DXMT 조합
Madeira는 FEX-Emu로 x86-64 코드를 ARM64로 변환하고 Wine과 DXMT를 결합해 탈옥하지 않은 iPhone에서 Windows 게임을 실행하는 연구 프로젝트입니다. Thumper와 ULTRAKILL은 플레이 가능하지만 게임마다 성능과 안정성에 차이가 있고, JIT 때문에 앱을 직접 사이드로드해야 합니다.
8BitDo 펌웨어 암호화 역공학
GD32 기반 8BitDo 제품군의 펌웨어 암호화 방식을 분석하고 복호화·재암호화 도구를 공개했습니다. 여러 제품에서 같은 키스트림을 재사용한 탓에 암호문끼리 비교해 평문을 복구할 수 있었고, 분석자는 해당 암호화가 적용된 펌웨어 데이터 전체를 해독했습니다.
Linode에 Guix 이미지 배포하기
Guix Cookbook의 Debian 이미지 변환 방식 대신, Guix 시스템 이미지를 직접 만들어 Linode에 올리는 절차를 설명합니다. 가상 디스크와 부팅 설정, 파일 시스템 확장, 네트워크·SSH 구성을 맞추고 `guix deploy`로 운영체제를 관리합니다.
벤치마크 측정값의 잡음을 줄이는 서버 튜닝
같은 벤치마크도 CPU 스케줄링과 클록 변화에 따라 실행 시간이 달라집니다. 코어 고정, 주파수 governor 설정, SMT와 turbo 비활성화 순으로 서버를 조정해 변동계수(CV)를 2.72%에서 0.26%로 낮춘 과정을 보여줍니다.
GRO가 가린 TLS 핸드셰이크의 실제 패킷 분할
양자내성 TLS ClientHello가 실제 인터넷 경로에서 TCP 세그먼트 두 개로 나뉘는지 확인한 실험입니다. 수신 측 GRO가 패킷을 합쳐 tcpdump에 한 개로 보이게 했으며, GRO를 끈 뒤 1448바이트와 42바이트 세그먼트로 나뉜 기록을 얻었습니다.
SOUND — Mac 앱마다 이퀄라이저·음량·출력 장치를 따로 설정하세요
SOUND는 재생 중인 Mac 앱마다 8밴드 이퀄라이저와 음량, 출력 장치를 따로 설정하는 메뉴 막대 앱입니다. 가상 오디오 드라이버 없이 로컬에서 실시간 처리하며 무료로 제공하지만 macOS 26이 필요합니다.
Toolpak 소개 — 이미지 기반 Linux의 개발 도구 배포 구상
GNOME OS 개발자 알라테이라(Alatiera)가 이미지 기반 Linux에서 개발 도구를 호스트 OS와 분리해 배포하는 구상 Toolpak을 제안합니다. 도구마다 의존성을 묶은 이미지를 서명·검증하고 호스트 자원에는 제한 없이 접근하게 해, 시스템을 건드리지 않으면서 기존 CLI 도구를 그대로 쓰는 것이 목표입니다.
EX-ARRR: Apple 제로클릭 취약점의 경로를 추적하다
OpenEXR 디코더의 채널 수 불일치로 발생한 힙 오버플로가 iMessage 첨부 파일 처리 과정에서 사용자 조작 없이 실행되는 경로를 분석합니다. 글은 취약점 재현부터 힙 제어, 익스플로잇 한계와 Apple의 완화책까지 설명합니다.
쓰기 전용 게이밍 마우스의 HID 프로토콜을 역공학해 Linux 설정 앱을 만들었습니다
Attack Shark X6 마우스의 USB 트래픽과 Windows 드라이버를 분석해 HID 프로토콜을 구현한 Linux 데스크톱 설정 앱입니다. 기기는 설정을 읽어 돌려주지 않으므로 앱이 장치별 설정을 로컬에 저장하며, DPI·폴링레이트·조명·버튼 매핑 등을 조정합니다.
DeepSeek Elastic Compute(DSec) — 에이전트 학습용 탄력적 샌드박스 인프라
DeepSeek은 에이전트 학습과 평가에 쓰이는 샌드박스를 대규모로 실행하는 플랫폼 DSec을 공개했습니다. 여러 격리 환경을 통합하고 메모리 공유와 자원 회수를 적용해, 160개 노드에서 하루 약 300만 개 샌드박스를 처리합니다.
Steam Link에 NixOS 올리기
Valve 서명 커널만 부팅하는 Steam Link에서 기존 커널에 kexec 기능을 모듈로 추가해 NixOS 커널로 넘기는 방법을 설명합니다. 오래된 ARM 커널을 최신 GCC로 빌드하고 NixOS 이미지를 2.3GB에서 1.2GB로 줄인 과정과 디버깅 방법도 공개합니다.
vAuth, 리눅스용 가상 FIDO2 인증기 공개 베타 출시
vAuth는 TPM 2.0을 갖춘 리눅스 PC에서 패스키를 기기에 묶어 보관하고, 웹사이트와 FIDO2 지원 앱에 보안 키로 인증하는 프로그램입니다. 첫 베타 패키지는 Debian 13 amd64용이며, TPM 초기 설정과 복구 절차에 제약이 있어 설치 전 상태를 확인해야 합니다.
NetBSD 디스크 레이블 살펴보기
NetBSD 11 x86_64 가상 머신에서 디스크 레이블(disklabel)의 위치와 바이너리 구조를 직접 확인합니다. 헤더 파일과 헥스 덤프를 대조하고 체크섬을 검산한 뒤 파티션 항목을 직접 수정해 disklabel 명령의 출력과 비교합니다.
Avast 백신 샌드박스 진입과 탈출 2부 — CVE-2025-13032로 SYSTEM 권한 획득하기
연구진이 Avast 커널 드라이버의 이중 페치 취약점 CVE-2025-13032를 악용해 최신 Windows 11에서 SYSTEM 권한을 얻는 과정을 설명합니다. paged pool 오버플로를 I/O Ring 객체 손상으로 연결하고, 커널 읽기·쓰기 원시 기능과 주소 유출을 만든 뒤 프로세스 토큰을 바꿉니다.
LG TV의 네트워크 트래픽을 감시했습니다 — 패킷 캡처로 Gamers Nexus 조사 확인
한 사용자가 루팅한 LG OLED TV에 네트워크 탭을 연결해 며칠간 패킷을 수집하고 Zeek와 Arkime으로 분석했습니다. 영상은 TV가 시청하지 않을 때도 5분마다 집 안의 기기를 묻는 트래픽을 보낸다고 설명하며, 스마트 TV의 네트워크 활동과 개인정보 문제를 다룹니다.
카시오 신시사이저 CZ-101 패치를 웹 신시사이저에서 재현하기
웹 기반 CZ-101 신시사이저 CZP-1에 Boards of Canada 관련 패치 데이터를 불러온 과정과 공유 기능을 소개합니다. 제작자는 MIDI 시스템 익스클루시브 데이터를 Claude로 JSON 형식으로 변환했으며, 소리 데이터를 담은 URL로 패치를 공유합니다.
Salesbleed, Salesforce 에이전트를 악용해 Slack 피싱 유도
Salesforce Agentforce의 취약점 ‘Salesbleed’를 악용하면 Web-to-Lead 폼에 심은 지시문으로 에이전트를 조종해 내부 Slack 스레드에 피싱 메시지를 보낼 수 있습니다. Salesforce는 Slack 메시지 전송에 사용자 확인을 기본 적용하고 URL 검사 방식을 강화했습니다.