Trawling

보안·인프라 · 최신기사

PHP, 긴급 PHP2Shell 패치 이틀 만에 추가 미패치 RCE 경고

발견 출처 Reddit발행

PHP가 특정한 세션 설정 조합에서 발생하는 추가 원격 코드 실행(RCE) 경로를 공개했습니다. 영향 범위가 좁아 긴급 패치 대신 session.upload_progress 비활성화를 권고했으며, 앞서 PHP2Shell 대응으로 같은 설정을 껐다면 추가 조치는 필요하지 않습니다.

pgrust를 ClickBench에서 제외해야 합니다: 제출물이 벤치마크 규칙을 어겼습니다

발견 출처 Hacker News발행

ClickBench의 pgrust 0.4-preview 제출물에 쿼리별 최적화 코드와 결과 재사용 캐시가 포함됐다는 이유로 제외 요청이 제기됐습니다. pgrust 제작자는 해당 코드는 실행되지 않았고 캐시는 사전 계산 결과가 아닌 중간 데이터용이라며 반박했지만, 제한된 SQL 지원 상태로 제출한 점은 인정했습니다.

리눅스에서 Adobe 앱을 실행하는 AdobeWine 0.3.1 공개

발견 출처 Reddit발행

AdobeWine은 Wine 11.18에 90개 패치를 적용해 Linux에서 Creative Cloud 앱을 설치하고 실행하는 프로젝트입니다. Photoshop 등 여러 앱의 기능을 Windows 결과물과 대조했지만, 검증은 초기 단계이며 기준 장비도 NVIDIA RTX 4070 노트북 한 대입니다.

스웨덴 정부, 업무용 컴퓨터에서 ChatGPT와 Claude 접속 차단

발견 출처 Hacker News발행

스웨덴 정부청사는 월요일부터 직원 업무용 컴퓨터에서 ChatGPT와 Claude 접속을 차단하고 승인된 Copilot 사용을 유도합니다. 자체 AI 플랫폼을 통한 두 서비스 접근은 일부 직원에게 계속 허용하며, Copilot 보안도 강화했습니다.

METR·Redwood Research, OpenAI 에이전트 모니터링에서 수백 건의 행동을 숨길 수 있는 취약점 발견

발견 출처 Reddit발행

METR와 Redwood Research가 OpenAI 내부 모니터링 시스템을 3주간 평가해 에이전트의 최근 행동 수백 건을 기록에서 숨길 수 있는 취약점과 모니터링 공백을 보고했습니다. Responses API 트래픽 중 평가 기간에 감시된 비율은 약 75~94%였으며, OpenAI는 확인된 취약점을 수정했다고 평가단에 밝혔습니다.

중간 CA 키 8개가 쉽게 추측되자 eMudhra, 글로벌 SSL/TLS 사업 철수

발견 출처 Reddit발행

인도 인증기관 eMudhra가 중간 인증기관(CA) 키 8개가 쉽게 추측되는 값으로 드러난 뒤 글로벌 SSL/TLS 사업에서 철수하기로 했습니다. Chrome과 Firefox의 신뢰 중단으로 약 3만 800개의 인증서가 영향을 받으며, ACME 자동 갱신 환경도 별도 이전 작업이 필요합니다.

PHP2Shell 유출 뒤 공격 도구가 준비됐지만 실제 침해는 확인되지 않았습니다

발견 출처 Reddit발행

PHP 핵심부의 원격 코드 실행 취약점 두 건이 패치 전에 유출됐고, 패치 배포 약 20분 뒤부터 스캔이 시작됐습니다. Hunt.io는 공격 도구와 시도는 확인했지만 실제 침해는 찾지 못했으며, 메모리 손상에서 실제 코드 실행으로 이어지려면 추가 조건이 필요하다고 설명합니다.

Jank, C++와 직접 연동하는 네이티브 Clojure 방언

발견 출처 Hacker News발행

Jank는 Clojure 방언에 C++ 상호운용 기능을 결합한 언어입니다. Clang 기반 JIT로 REPL에서 C++ 코드를 실행하며, C++ 헤더와 라이브러리를 직접 사용하고 네이티브 의존성을 빌드하도록 설계했습니다.

WorldTUI: 3억 6천만 매개변수 모델을 터미널인 척하도록 학습시켰습니다

발견 출처 Hacker News발행

WorldTUI는 실제 셸이나 파일시스템 없이 키 입력마다 터미널 화면의 변화를 예측하는 3억 6천만 매개변수 모델입니다. 화면 행 병렬 디코딩과 자기 오류 수정 학습으로 속도와 일관성을 높였지만, 파일 읽기 테스트는 13회 중 9회 성공해 실제 터미널처럼 신뢰할 수 있는 수준은 아닙니다.

UUIDv7은 생각만큼 많은 속성을 보장하지 않습니다

발견 출처 Lobsters발행

UUIDv7은 생성 시각을 담고 대체로 정렬되지만, 정확한 시각이나 엄격한 단조 증가를 보장하지 않습니다. 시계가 역행할 때 Python 구현의 타임스탬프가 실제 시각보다 계속 앞서가는 사례를 보이고, 구현별 보장과 전제 조건을 확인하라고 제안합니다.

Redis 8.4의 digest 기반 SET, 1MB 비교 후 쓰기 지연을 4.4ms에서 1.8ms로 줄여

발견 출처 dev.to발행

Redis 8.4의 SET 조건부 옵션 IFEQ와 IFDEQ는 기존 값이나 digest가 일치할 때만 쓰기를 수행합니다. 작성자의 localhost 측정에서 1MB 값에 IFDEQ를 쓰면 기존 GET-후-SET보다 지연이 줄었고, 동시 갱신 실험에서는 재시도 루프로 lost update를 막았습니다. 다만 값의 동일성만 비교하므로 WATCH와 의미가 다를 수 있습니다.

Docker는 기묘합니다

발견 출처 Hacker News발행

컨테이너는 별도의 가상 머신이 아니라 Linux 프로세스에 격리와 자원 제한을 적용한 형태입니다. 글쓴이는 이미지가 디렉터리에서 출발하고 runc가 Go의 스레드·fork 제약을 우회하는 방식 등을 직접 런타임을 만들며 배웠다고 설명합니다.

Snapdragon X2 노트북에서 macOS 27 구동하는 Snapintosh 공개

발견 출처 Reddit발행

개발자 Miguel C가 Snapdragon X2 노트북에서 macOS 27을 실행하는 실험 프로젝트 Snapintosh의 코드와 문서를 공개했습니다. Metal 그래픽 가속도 구현했지만 지원 기종이 한 모델뿐이고, 부팅 때마다 Mac이 필요해 일상용으로 쓰기에는 제약이 큽니다.

Header Accordions: HTTP/3 서버를 겨냥한 QPACK 증폭 공격

발견 출처 Lobsters발행

QPACK 헤더 압축을 처리하는 HTTP/3 구현 10종 가운데 7종에서 작은 요청이 서버의 메모리 고갈이나 CPU 고정으로 이어지는 취약점이 발견됐습니다. 공통 원인은 압축된 크기만 제한하거나 디코딩 후에야 크기를 검사하는 데 있으며, 글은 필드별 누적 크기를 디코딩 과정에서 제한해야 한다고 설명합니다.

개인키가 4였던 인증서 사고 뒤 TLS 사업에서 철수하는 eMudhra

발견 출처 Reddit발행

eMudhra가 3~8비트 수준으로 쉽게 추측할 수 있는 개인키가 포함된 TLS 인증서 8건을 발급한 뒤 글로벌 SSL/TLS 사업에서 철수한다고 밝혔습니다. 회사는 규제 준수 비용과 낮은 매출 비중을 이유로 들었지만, 사고를 둘러싼 사회관계망서비스의 관심이 과도했다고도 주장했습니다.