2024년 3월, 압축 라이브러리 xz-utils(liblzma)의 배포판 빌드 산출물 안에서 정교하게 숨겨진 백도어가 발견됐습니다. 이 백도어는 systemd 알림 기능을 쓰는 OpenSSH의 인증 경로를 타고 원격 코드 실행(RCE)으로 이어질 수 있었습니다. 발견 계기는 한 개발자가 로그인 과정에서 sshd의 CPU 사용량이 평소보다 유독 높다는 것을 이상하게 여긴 것이었습니다.
워드프레스 코어의 확장 취약점인 XSS2Shell(CVE-2026-64638)은 개별적으로 보면 낮은 심각도인 결함 여러 개가 이어져, 결국 무인증 원격 코드 실행(RCE)까지 도달하는 사례입니다. 시작은 로그인 실패 화면에 뜨는 문구 하나였습니다.
한 보안 분석가가 트레이딩 커뮤니티에 올라온 "비트코인 전략 파일"을 열었다가 4단계로 이어지는 악성코드 유포 사슬을 발견했습니다. 시작점은 WinRAR의 파일 경로 처리 결함(CVE-2023-38831)을 악용한 조작된 압축 파일이었고, 끝은 감염 PC의 정보를 훔쳐가는 원격 제어 채널이었습니다. 이 글은 그 분석 과정을 통해 "왜 파일 포맷 파서의 사소한 판단 오류가 치명적인 침해로 이어지는가"를 짚습니다.
보안 연구팀 Theori는 Windows 커널의 네트워크 드라이버(afd.sys)에서 힙 오버플로우 결함을 찾아 CVE-2023-28218로 이어지는 연구를 2023년 Hexacon 컨퍼런스에서 발표했습니다. 취약점 자체는 흔한 정수 오버플로우형 버그지만, 연구팀이 주목받은 지점은 이 버그를 "우연이 아니라 매번" 터뜨리는 방법이었습니다. 사용자 메모리를 다루는 커널 코드 특유의 타이밍 문제를 이용해 신뢰도 높은 커널 권한 상승 경로를 완성했습니다.
보안 리서치 업체 NumenCyber가 실제 공격에서 이미 악용된 것으로 확인된 Windows 커널 취약점 CVE-2023-29336을 분석했습니다. 창(window) 객체는 참조 잠금을 걸었지만 그 안에 중첩된 메뉴 객체는 잠그지 않은 오래된 코드 습관이 원인으로, 해제된 메모리를 재사용하는 UAF(use-after-free, 해제 후 재사용) 취약점으로 이어졌습니다. Windows 11에서는 통하지 않는 것으로 보이지만 이전 버전에서는 여전히 실질적 위험으로 분석됐습니다.
2024년 초부터 해킹된 정상 웹사이트에 몰래 심어져 방문자의 암호화폐 지갑 서명을 유도하는 "드레이너(drainer)" 악성코드가 급증했습니다. 웹 보안 업체 Sucuri에 따르면 이 가운데 "Angel Drainer"라는 서비스형 도구는 4주 사이 5,751개의 서로 다른 도메인에서 발견됐습니다. 핵심은 취약점을 뚫는 게 아니라, 방문자가 이미 갖고 있는 "이 사이트는 정상이다"라는 믿음과 "지갑에 서명 한 번 하는 건 별일 아니다"라는 오해를 그대로 이용한다는 점입니다.
2019년, 보안 연구자 Harsh Jaiswal은 Vimeo의 API 콘솔이 서버 쪽에서 대신 요청을 보내주는 기능을 분석하다가, URL 경로의 일부로 취급되는 파라미터에 경로 순회(path traversal) 문자열을 넣을 수 있다는 걸 발견했습니다. 이 결함은 오픈 리다이렉트와 이어 붙여져 서버 쪽 요청 위조(SSRF)로 이어졌고, 최종적으로는 Vimeo가 올라가 있던 클라우드 인프라의 메타데이터 서비스까지 건드릴 수 있는 수준까지 갔습니다. 원문에 따르면 초기 임시 조치 보상 100달러에 이어 영구 수정 확인 후 4,900달러가 추가 지급돼, 합계 5,000달러가 지급됐습니다.
Ledger의 보안 연구팀 Donjon은 Trust Wallet 브라우저 확장에서, 지갑을 만들 때 쓰는 무작위성(엔트로피)이 사실상 32비트밖에 안 된다는 결함을 발견했습니다. 그 결과 이 확장으로 만든 지갑은 **주소만 알면 개인키를 즉시 계산해낼 수 있었습니다.** 표준 암호 알고리즘은 하나도 깨지지 않았습니다. 깨진 것은 그 알고리즘에 넣는 "주사위"의 품질이었습니다.
오래된 CVE지만 지금도 반복되는 취약점 클래스의 교과서 같은 사례입니다. Apache Struts2의 "동적 메서드 호출" 편의 기능이, 요청 파라미터 하나를 데이터가 아니라 실행 가능한 코드로 취급하면서 무인증 원격 코드 실행으로 이어졌습니다.
서버가 공격자 지정 URL로 요청을 보내게 만드는 SSRF(서버 사이드 요청 위조)는 코드만 보면 다 똑같아 보입니다. 그런데 같은 모양의 결함이라도 그 값이 **어디서 들어오는지**에 따라 실제 위험도가 크게 갈립니다. 이 글은 저희가 검증 작업을 반복하며 정리한, SSRF의 진짜/가짜를 가르는 기준 하나를 소개합니다.
보안 연구자 NullSecurityX는 Shopify에서 낮은 심각도 결함 두 개를 이어 붙여, 별도의 Shopify ID를 만든 적 없는 스토어를 통째로 탈취할 수 있는 경로를 찾았습니다. 보고된 포상금은 22,500달러로 알려져 있습니다. 핵심은 "한 곳에서 확인된 이메일"이라는 상태를 다른 곳에서도 그대로 믿어버린 신뢰 경계 설계였습니다.
Microsoft SharePoint Server에서 인증 우회 결함(CVE-2023-29357)과 원격 코드 실행 결함(CVE-2023-24955)을 이어 붙이면, 로그인 계정 없이도 서버에 임의 명령을 실행할 수 있는 사전인증(pre-auth) RCE 체인이 완성됩니다. 이 글이 다루는 원문은 이 체인을 실제로 재현한 뒤 메모리 덤프를 WinDbg로 뜯어보며 공격이 서버 내부에서 어떻게 흘러가는지 포렌식으로 되짚은 디버깅 사례 연구입니다.
보안 연구자 tinopreter는 한 예약 플랫폼의 버그바운티 프로그램에서, 홈페이지 캐싱과 쿠키의 SameSite 속성이라는 서로 무관해 보이는 두 설정이 겹쳤을 때 사용자의 로그인 토큰이 통째로 새어 나갈 수 있다는 것을 보였습니다. 심각도는 HIGH, 포상금은 2,000달러로 원문에 명시돼 있습니다. 캐시라는 "성능을 위한 장치"가 그 자체로 인증 우회 경로가 될 수 있다는 걸 보여주는 사례입니다.
연구자 veath1은 ProtonVPN Windows 클라이언트(v3.2.9)의 서비스 프로세스가 일반 사용자 권한으로 쓸 수 있는 폴더를 SYSTEM 권한으로 삭제한다는 사소해 보이는 결함 하나를 발견했습니다. 이 결함은 심볼릭 링크·레이스 컨디션(경쟁 조건) 기법과 결합돼, 결국 일반 사용자가 SYSTEM 권한 명령 프롬프트를 얻는 로컬 권한상승(LPE)으로 이어졌습니다. CVSS 3.1 기준 점수는 7.8(HIGH)로 저장소에 명시돼 있습니다.
윈도우 프로그램은 자신이 불러올 라이브러리(DLL)를 이름만으로 찾고, 그 이름이 어느 경로에서 왔는지는 크게 따지지 않습니다. 보안 연구자 Elliot(elliotonsecurity.com)은 이 오래된 약점을 다시 들여다보며, 악성 DLL을 몰래 끼워 넣는 기법(DLL 하이재킹) 자체가 아니라 그 다음 단계 — 끼워 넣은 뒤 코드를 "안전하게" 실행하는 방법 — 를 새로 정리했습니다. 이 원리를 이해하면 신뢰된 실행파일이라는 말이 실제로 무엇을 검증하고 무엇을 검증하지 않는지가 보입니다.
리눅스 커널의 오버레이 파일시스템(OverlayFS)이 파일을 "위 계층"으로 복사할 때, 그 파일의 소유자 정보가 지금 이 사용자 네임스페이스 안에서 실제로 유효한 값인지 확인하지 않았습니다. 이 틈을 이용하면 일반 사용자가 가짜 파일시스템으로 "이 파일은 root 소유의 SUID 바이너리"라고 커널을 속여, 결국 root 권한을 얻을 수 있습니다. 리서치 업체 Datadog Security Labs가 이 구조를 상세히 분석해 공개했습니다.
연구자가 사내 침투 테스트 도중 우연히 발견한 결함이 OpenResty의 lua-nginx-module 전반에 영향을 주는 HTTP 요청 스머글링으로 이어졌습니다. 원인은 아주 단순한 규칙 하나 — "HEAD 요청에는 원래 처리할 몸통(body)이 없다" — 를 코드 한 곳이 깜빡한 것이었습니다.
NGINX Plus와 NGINX 오픈소스판의 요청 재작성 모듈(`ngx_http_rewrite_module`)에서 힙(heap, 동적 메모리 영역) 버퍼 오버플로우 취약점이 공개됐습니다. CVSS 9.2로 평가된 이 결함(CVE-2026-42945)은 공개 며칠 만에 실전 악용 시도가 관측됐다고 보안 업체 VulnCheck가 밝혔습니다. 연구자들은 원격 코드 실행까지 이어지려면 특정 설정과 완화 기법 비활성화가 겹쳐야 한다고 선을 그었습니다.
데이터 분석·BI 플랫폼 Metabase에서 로그인조차 필요 없는 SQL 인젝션이 발견됐습니다. 비밀번호 재설정이라는, 원래 인증 안 된 사용자도 쓸 수 있어야 하는 기능 하나가 관리자 계정 탈취로 이어졌습니다. CVSS 10.0(치명적) — 만점입니다. 공개 약 5일 후 미국 CISA의 실제 악용 확인 목록(KEV)에 올랐습니다.
Objective-See의 Patrick Wardle이 매년 발행하는 연간 맥(Mac) 악성코드 리뷰의 2023년판을 재구성합니다. 랜섬웨어부터 정보탈취형 악성코드(인포스틸러), 국가배후 그룹의 백도어까지 수십 개 샘플을 다룬 원문에서, 개별 사례를 나열하는 대신 전체를 관통하는 공통 패턴 세 가지만 추려봤습니다.
Pwn2Own 출전을 준비하던 연구자 blackcon이 여러 LLM 제공사를 하나의 API로 묶어주는 오픈소스 게이트웨이 LiteLLM에서 템플릿 인젝션(SSTI) 취약점을 발견했습니다. 단일 HTTP 요청만으로 서버에서 루트 권한 코드 실행까지 이어지는 결함이었지만, 대회 직전 메인테이너가 별도 공지 없이 조용히 고쳐버리면서 대회 출전은 무산됐습니다.
보안 업체 Avast는 북한 연계 해킹 그룹 라자루스(Lazarus)가 실전에서 사용한 윈도우 커널 제로데이(개발사도 모르는 미공개 취약점)를 발견해 마이크로소프트에 신고했습니다. 이 취약점은 2024년 2월 정기 패치에서 CVE-2024-21338로 수정됐습니다. 눈에 띄는 건 취약점 자체보다 라자루스가 이걸 쓴 방식입니다 — 취약한 서명 드라이버를 따로 가져다 쓰는 기존 수법(BYOVD) 대신, 윈도우에 원래 있던 드라이버 하나의 결함만으로 관리자 권한을 커널 권한으로 바꿔치기했습니다.
한국인터넷진흥원(KISA)이 오래된 소프트웨어를 자동으로 최신 버전으로 갱신해 주는 "보안 취약점 클리닝 서비스"를 시범 운영했습니다. 보안 연구팀 티오리(Theori)는 이 서비스가 기존 보안 프로그램에 얹혀 동작하는 과정에서, 시스템 최고 권한(SYSTEM)으로 임의 코드를 실행할 수 있는 구조적 결함을 찾아 KISA에 제보했습니다. 좋은 의도로 만든 자동 업데이트 기능이, 신뢰 기반 자체가 흔들리면 오히려 가장 위험한 진입로가 될 수 있다는 사례입니다.
마이크로소프트 액티브 디렉터리(AD)의 인증 체계인 Kerberos에서 신규 취약점 2건이 공개됐습니다. 출발점은 LDAP 서버가 특정 유니코드 문자를 완전히 무시한다는, 얼핏 사소해 보이는 특성이었습니다. 이 하나의 특성이 2021년 패치로 막혔던 옛 취약점의 우회로를 다시 열었고, 최종적으로는 저권한 사용자가 도메인 관리자 계정의 비밀번호를 스스로 재설정하는 데까지 이어졌습니다.
KAIST Hacking 연구팀(Kanghyuk Lee, Insu Yun)은 국내 공유기 제조사 ipTIME의 AX2004M 모델(펌웨어 14.19.0)에서, 관리 기능을 처리하는 CGI 바이너리의 인증 검사 로직이 URL 경로 하나로 완전히 우회된다는 것을 발견했습니다. 웹 서버 설정에 걸려 있던 심볼릭 링크 하나가 그 우회 경로를 열어줬고, 최종적으로는 로그인 없이 관리자 비밀번호를 재설정하고 원격 셸까지 얻을 수 있었습니다. 이 취약점은 KISA의 취약점 식별체계에 KVE-2023-0133으로 등재돼 있습니다.
개발자 jmswrnr는 자기 집 스마트 공기청정기를 자체 홈 자동화 시스템(Home Assistant)에 붙이고 싶다는 소박한 동기에서 출발해, 이 기기가 만든 회사 클라우드 서버 없이는 원격 제어가 아예 불가능하다는 사실을 발견하고 직접 뜯어보기로 합니다. 그 결과 회로 기판의 디버그 핀 몇 개, 암호화되지 않은 저장소, 그리고 표준 프로토콜 대신 손수 만든 암호화 방식이 어떻게 차례로 무너지는지가 드러났습니다.
2023년 Google이 라스베이거스 데프콘 현장에서 연 초청제 버그바운티 행사 "LLM bugSWAT"에서, 연구자 Roni Carta(Lupin)·Joseph Thacker(rez0)·Justin Gardner(Rhynorater) 3인은 협업으로 Bard(현 Gemini)와 Google Cloud Console의 결함 여러 건을 찾아냈습니다. 그중 가장 인상적인 건은 Bard에게 이메일을 요약해 이미지 형태로 응답하게 만들어, 그 내용을 공격자 서버로 통째로 빼돌리는 프롬프트 인젝션이었습니다. 세 사람이 이 행사에서 받은 포상금 합계는 5만 달러로 원문에 명시돼 있습니다.
보안 업체 Socket이 코드 에디터 확장 마켓플레이스 **Open VSX**에서 확산 중인 "GlassWorm" 캠페인의 새 변형을 보고했습니다. 이번 변형의 핵심은 처음엔 완전히 무해해 보이는 확장을 올려두고, 나중 업데이트에서 다른 확장을 끌어오게 만드는 방식으로 진화했다는 점입니다. 설치 시점의 심사만으로는 이런 확산을 걸러낼 수 없다는 것을 보여주는 사례입니다.
보안 연구자 cybxis는 GitLab의 로그인 이메일 인증(Login Email Verification) 기능이 웹 로그인 경로에서는 정상 작동하지만, OAuth의 ROPC(Resource Owner Password Credentials) 흐름으로 우회하면 완전히 빠진다는 것을 HackerOne 제보로 확인했습니다. 결과적으로 GitLab은 이를 버그로는 인정하되 정식 취약점으로는 인정하지 않았습니다 — 판단이 갈린 지점 자체가 흥미로운 사례입니다.
뉴질랜드 보안업체 Pulse Security는 GitLab의 CI/CD(코드를 커밋하면 자동으로 빌드·배포까지 이어주는 파이프라인) 환경에서, 낮은 권한의 사용자 계정 하나로 시작해 결국 프로덕션 서버에 root로 접속하는 공격 체인을 실습 환경에서 시연했습니다. 각 단계는 개별적으로는 GitLab의 "정상 기능"이지만, 여러 프로젝트가 하나의 실행 인프라(러너)를 공유하면서 격리가 충분하지 않을 때 이 기능들이 이어 붙어 심각한 권한 상승 경로가 됩니다.
중국 보안 기업 Knownsec의 404 Team이 오픈소스 지리정보 서버 GeoServer에서 SQL 인젝션 취약점 CVE-2023-25157(및 자매 취약점 CVE-2023-25158)을 분석했습니다. 지리 데이터 조회 표준인 OGC 필터 언어를 실제 데이터베이스 질의문으로 바꾸는 계층에서, 사용자가 넣은 값이 이스케이프 없이 SQL 문자열에 그대로 이어붙었습니다. 공식 패치는 이미 배포돼 있습니다.
보안 업체 Praetorian의 연구팀이 F5 BIG-IP의 관리 인터페이스(TMUI)를 대상으로 능동적인 취약점 리서치를 진행하던 중, 프런트엔드 Apache와 백엔드 Tomcat이 같은 요청을 서로 다르게 해석하는 틈을 찾아냈습니다. 이 틈을 이용하면 로그인 절차 없이도 임의의 관리자 계정을 만들 수 있었고, 이 결함은 CVE-2023-46747로 등록됐습니다. 두 프로세스 사이의 인증 책임 분담이 얼마나 쉽게 무너지는지 보여주는 사례입니다.
다단계 네트워크 분리(defense-in-depth)는 중요한 시스템일수록 접근 경로를 여러 겹으로 감싸는 설계입니다. 그런데 침투테스트에서는 이미 장악한 호스트 하나를 발판(pivot) 삼아, 외부에서 직접 보이지 않는 두 단계 뒤 네트워크까지 트래픽을 릴레이해 도달하는 경우가 흔합니다. 이 글은 그 "이중 피보팅(double pivoting)" 기법의 원리를 재구성합니다.
2023년 8월, 보안업체 Converge의 연구자들은 기업용 파일 전송 소프트웨어 CrushFTP에서 인증 절차 자체를 우회하는 제로데이 취약점을 발견했습니다. 공격자는 로그인 없이 특정 프로토콜의 요청 헤더만 조작해 서버 내부 파일을 읽고 지우고, 결국 원격 코드 실행까지 이를 수 있었습니다. 공개 인터넷에 노출된 인스턴스만 약 1만 대로 알려졌습니다.
Datadog Security Labs 연구팀은 2024년, 수많은 코드가 AWS의 가상머신 이미지(AMI)를 "이름"만으로 찾아 쓰고 있다는 패턴을 발견했습니다. 이 패턴을 악용하면 아무나 특정 이름의 이미지를 공개로 올려두는 것만으로 다른 사람의 AWS 계정에서 코드를 실행시킬 수 있었습니다. 연구팀은 이 방식으로 AWS 내부 시스템까지 실제로 뚫렸다는 사실을 확인했습니다.
침입탐지는 흔히 "이 파일이 악성인가"를 묻지만, 실제 침해 사고의 상당수는 새 악성코드가 아니라 시스템에 원래 있던 정상 도구로 이뤄집니다. 이 글은 공개된 위협 인텔리전스 보고서 하나를 재구성해, "무엇을 찾을 것인가"라는 가설을 어떻게 세우고 로그 쿼리로 옮기는지 그 방법론만 짚어봅니다. 실제 탐지 규칙이나 쿼리 문법은 원문·공개 시그마룰 저장소를 참고하시고, 여기서는 사고방식만 다룹니다.
보안 연구자 nokline은 ChatGPT의 "공유(share)" 기능을 살펴보다가, 이미 이전에 다른 연구자(Nagli)가 발견해 패치됐다고 알려졌던 웹 캐시 기만(WCD) 취약점이 URL 경로 순회(path traversal) 문자열을 살짝 다르게 인코딩하는 것만으로 다시 열린다는 걸 확인했습니다. 이 결함으로 사용자 인증 토큰을 캐시에서 훔쳐 계정을 탈취할 수 있었고, 원문에 따르면 연구자 본인 기준 최고액인 6,500달러가 지급됐습니다.
서버가 암호를 아무리 튼튼하게 걸어놨어도, "네가 보낸 암호문은 채움값(패딩) 규칙에 안 맞아"라는 에러 하나만 흘리면 공격자는 그 실마리만으로 평문을 한 바이트씩 복원할 수 있습니다. 열쇠를 훔치는 게 아니라, 서버에게 "이거 규칙 맞아?"만 반복해 물어보는 고전 암호 공격입니다. 연구자 Bruno Rocha Moura가 정리한 이 공격의 원리를, 실행 코드 없이 개념으로만 짚어봅니다.
보안 연구자 한 명이 Claude Code(앤트로픽의 에이전트형 코딩 도구)와 MCP(Model Context Protocol, LLM에게 외부 도구를 함수처럼 호출하게 해주는 개방 표준)를 엮어, 취약점 헌팅 과정 대부분을 자동화한 개인 연구 파이프라인을 공개했습니다. 도구 자체보다 눈에 띄는 것은 설계 철학입니다 — 새로 찾은 결과를 처음부터 "찾아낸 취약점"이 아니라 "아직 증명 안 된 환각(hallucination)"으로 다루는 검증 관문 구조입니다.
SonicWall이 공개한 CVE-2023-51467은 오픈소스 전사적자원관리(ERP) 솔루션 Apache OFBiz의 인증 우회 취약점으로, 인증 없이 원격 코드 실행(RCE)까지 이어질 수 있습니다. 흥미로운 점은 이 취약점이 새로운 버그가 아니라, 앞선 두 차례의 패치가 근본원인은 남겨둔 채 증상만 막았기 때문에 다른 자리에서 다시 열린 같은 구멍이라는 것입니다.
디지털 포렌식(사고·범죄 조사를 위해 기기에서 증거를 확보·분석하는 절차) 연구자 Mattia Epifani는 2023년 10월 공개된 안드로이드14를 Pixel 7A에 한 달가량 실제로 써 보면서, 조사관 입장에서 어디에 어떤 증거가 남는지를 항목별로 정리했습니다. 이 글은 원문이 다루는 범위 안에서 "이런 파일에 이런 정보가 있다"는 지도를 요약한 것이며, 이전 버전 대비 정확히 무엇이 바뀌었는지에 대한 체계적인 비교표는 원문 자체도 제공하지 않고 개별 아티팩트를 나열하는 방식입니다(원문 확인 완료).
NVISO의 모바일 보안 연구자 Jeroen Beckers는 실제 진단 업무 중 문자열을 암호화해 숨겨둔 안드로이드 ARM64(64비트 ARM 아키텍처) 앱을 분석하게 되면서, 디버거를 붙이지 않고도 리버스엔지니어링 도구(Ghidra) 안에서 코드를 직접 실행시켜(에뮬레이션) 암호화된 문자열을 복원하는 절차를 정리했습니다. 마지막 단계는 파이썬 스크립트로 자동화해, 앱 전체의 난독화 문자열을 한 번에 풀어내는 데까지 나아갑니다.