Trawling

보안·인프라 · 최신기사

취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.

Northflank, 고객에 모든 시크릿·자격증명 교체 권고

발행

Northflank는 보안 사고를 확인됨으로 표시하고, 환경변수와 자격증명이 노출됐다고 가정해 모든 키를 교체하라고 권고했습니다. 조사와 플랫폼 일부 구성요소의 중대 장애가 이어졌지만 실제 유출 범위와 침입 경로는 공개되지 않았습니다.

Go 보안팀, Linux 커널 취약점에 패치 커널 업그레이드 권고

발행

CVE-2026-98432는 Linux 커널의 IPv4 TCP 처리 취약점으로, Anthropic이 공개한 원격 공격 시연에는 MPTCP 리스너가 필요합니다. Go 1.24부터 Linux 리스너가 MPTCP를 기본 활성화해 Go 서버도 시연된 공격 경로를 열 수 있습니다. MPTCP 비활성화는 해당 경로를 제한하는 완화책이며 Go 보안팀은 패치된 커널로 업그레이드하라고 권고했습니다.

연구원, Azure API Connections 교차 테넌트 취약점 5건 공개

발행

Binary Security 연구원이 Azure Logic Apps API Connections에서 다른 테넌트의 Key Vault와 SQL에 접근할 수 있는 취약점 다섯 건을 공개했습니다. 연구원은 Microsoft가 보고된 취약점을 모두 수정했다고 밝혔지만, 게시물에는 개별 수정일과 영향받은 버전이 제시되지 않았습니다.

Cursor 마켓플레이스, Claude Code 변조 확장 배포…최대 5,000명 영향 가능성

발행

Cursor는 10월 29일 자사 마켓플레이스에서 Claude Code 2.1.313 변조본을 제거했으며, 해당 시간대 설치·업데이트 사용자 최대 5,000명이 영향받았을 수 있다고 밝혔습니다. 악성 코드는 SSH 키와 지속성 구성요소를 설치하고 호스트 정보를 전송하려 했으며, 확장 삭제만으로 흔적이 사라지지 않을 수 있어 별도 점검과 자격증명 교체가 필요합니다.

Colshare, 자체 공격 테스트서 기업용 위조 키 전달 결함 수정

발행

문서 공유 서비스 Colshare 개발자가 10월 29일 AI 에이전트로 서비스 복사본을 세 차례 공격 테스트해 여러 문제를 수정했다고 공개했습니다. 서버 저장소에 쓸 수 있는 공격자가 기업용 기기에 위조 키를 전달하는 치명적 결함도 발견됐습니다. 테스트는 개발자가 지휘한 자체 검증이며 독립 감사는 별도로 진행할 계획입니다.

Vite+ 1.0 출시… 린트·포맷·테스트 도구를 `vp`로 통합

발행

VoidZero가 2026년 9월 28일 Vite+ 1.0을 출시했습니다. Vite를 포함한 개발 도구를 `vp` 명령과 `vite.config.ts`를 중심으로 묶어 관리하는 도구 체계입니다. ESLint·Prettier와 Git 훅을 옮길 때는 프로젝트별 설정을 조정하고 검사 결과를 확인하는 과정이 필요합니다.

GLM 5.3, Firefox 구버전 6종에서 파일 유출 공격 구성

발행

Epoch AI는 GLM 5.3이 공개된 보안 수정 내용을 분석해 Firefox 6개 버전에서 웹페이지 방문만으로 로컬 파일을 빼내는 공격을 구성했다고 보고했습니다. 공격에 필요했던 별도 취약점은 Firefox 159에서 수정됐지만, Epoch AI는 이 버전에서 공격이 재현되는지 아직 확인하지 않았습니다.

미군 매장 냉동고 장애, 8월부터 사이버 방해 의혹…해킹 여부는 미확인

발행

미군 기지 매장 최소 6곳에서 8월 냉동고와 냉장 설비가 따뜻해져 식품이 상했습니다. 사이버 방해 가능성은 8월 28일 이미 보도됐고, 수사기관도 9월 초 조사에 착수했지만 조사 성격은 공개하지 않았습니다. 국방부가 의심되는 해킹으로 다룬다는 보도는 10월 29일 나왔으며 침입이나 공격 주체는 확인되지 않았습니다.

Fedora 45 최종 출시 승인, RC-1.4로 11월 3일 목표

발행

Fedora 프로젝트는 10월 29일 회의에서 Fedora 45 최종 출시를 승인하고 RC-1.4를 최종 검토 대상으로 정했습니다. 테스트 커버리지와 Fedora CoreOS·IoT의 준비 상태를 확인했으며, 일부 문제는 수정본이나 우회 방법을 고려해 출시 차단 사유로 보지 않았습니다. 11월 3일은 회의 당시의 출시 목표일입니다.

계약 종료 뒤에도 다시 켜진 Flock 카메라…데이턴시가 중단 지시

발행

미네소타주 데이턴시는 Flock 카메라 계약을 끝내고 작업 중단을 통보했지만, 업체가 정비 작업지시를 진행해 카메라 두 대가 다시 가동됐다고 밝혔습니다. Flock이 왜 지시를 따르지 않았는지는 확인되지 않았고, 장비 회수에는 최대 60일이 걸린다는 시 설명이 나왔습니다.

Axis Camera Station, 서버 장악에서 카메라 계정 복호화까지 이어진 공격 경로

발행

보안 연구자가 공장 환경의 침투 테스트에서 Axis Camera Station 취약점을 연결해 서버를 장악하고 카메라 계정을 복호화한 과정을 공개했습니다. 서버 취약점과 저장 데이터 암호화 취약점의 수정 버전이 다르며, Axis는 패치 전 백업의 삭제와 저장된 자격증명 변경도 권고했습니다.

TeamViewer 화면 버퍼 크기 계산 오류, 세션 수락 뒤 Windows서 원격 코드 실행으로 이어져

발행

TeamViewer의 화면 처리 과정에서 정수 오버플로가 발생해 실제보다 작은 버퍼를 할당하고도 큰 화면 크기 기준으로 데이터를 기록하는 취약점이 발견됐습니다. 공격자는 사용자가 악성 또는 침해된 호스트와 원격제어 세션을 수립하면 뷰어 프로세스 권한으로 코드를 실행할 수 있으며, TeamViewer는 15.83과 구형 분기별 수정 버전을 배포했습니다.

PAN-OS 관리 인터페이스 취약점, 방화벽 장악 뒤 내부 AD 공격으로 이어져

발행

Dream은 취약한 PAN-OS 관리 인터페이스를 겨냥한 PHP 원격 코드 실행과 리눅스 커널 권한 상승을 연결해 방화벽과 관리 서버 25대를 침해한 작전을 공개했습니다. 공격자는 미국 정부 관련 환경의 내부망에 터널을 만들고 Active Directory 정보를 수집했으며, 후속 계정 침해 시도의 성공 여부는 확인되지 않았습니다.

리눅스 TCP 결함, 9.8점이어도 실제 위험은 커널·MPTCP 조건 따라 달라집니다

발행

리눅스 IPv4 TCP 처리에서 발생하는 use-after-free 취약점(CVE-2026-98432)이 확인됐습니다. Anthropic은 MPTCP 리스너가 있는 서버에서 원격 root 명령 실행에 성공한 PoC를 공개했지만, 실제 공격 조건과 CVSS 점수는 평가 주체마다 다릅니다. 10월 29일 기준 Debian·Oracle·SUSE·Amazon Linux 일부 커널은 수정됐고 Ubuntu와 RHEL은 수정 패키지를 내놓지 않았습니다.

루팅한 공유기에서 PHP 웹사이트를 띄웠다… 공개 운영에는 권한과 설정 노출이 걸림돌

발행

한 사용자가 취약한 설정 가져오기 기능을 통해 공유기에서 명령 실행 권한을 얻고, MIPS용 PHP 8.5.12와 웹 서버를 올려 외부에 사이트를 공개했습니다. 다만 PHP가 root로 실행된다는 작성자의 설명과 공개 페이지의 환경 변수 표시는 일치하지 않으며, phpinfo가 서버 설정과 요청 정보를 드러내는 문제도 있습니다.

AI 코딩 에이전트의 비밀정보 유출, Git 스캔만으로 막기 어려운 이유

발행

AI 코딩 도구로 전달되는 비밀정보는 저장소에 커밋하지 않아도 오류 로그, 환경변수 출력, 인증 헤더를 통해 대화 맥락에 들어갈 수 있습니다. 붙여넣기 전 마스킹과 코드 스캔에 더해 에이전트의 파일·명령 접근과 실행 권한을 제한해야 하는 이유를 살펴봅니다.

WAP Push 메시지로 안드로이드 전화 기능을 멈추는 결함, 실제 공격 범위는 아직 불명확

발행

공개된 안드로이드 코드에는 WAP Push 길이값을 검사하지 않고 배열 크기로 쓰는 경로가 있어, 잘못된 값이 전화 기능 프로세스를 종료시킬 가능성이 있습니다. 다만 전화번호만 알면 누구나 공격할 수 있는지, 반복 전송으로 기기가 지속적으로 망가지는지는 공개 코드와 PoC만으로 확인되지 않습니다.