인쇄 대기열 뒤의 관리 콘솔: PaperCut CVE-2026-81578 방어 노트

2026. 9. 1. 13:02

이미지 출처: CISA KEV사무실 복합기 옆 랙에 조용히 꽂혀 있는 서버 한 대. 자산 대장에는 그냥 "프린터 관리" 다섯 글자로 적혀 있고, 담당 부서는 총무팀으로 되어 있고, 보안팀 점검 리스트에서는 매년 마지막 순번으로 밀리는 그 장비 말입니다. PaperCut NG/MF에서 Missing Authentication for Critical Function 계열 취약점(CVE-2026-81578)이 공개될 때마다 저는 이 장면부터 떠올리게 되는 것 같습니다.핵심 요약CVE-2026-81578은 PaperCut NG/MF의 중요 기능이 인증 검사 없이 호출될 수 있는 문제로, CWE-306(중요 기능에 대한 인증 누락) 계열에 속함프린트 서버는 AD 연동·서비스 계정·전 부서 접근이라는 조건을 동시에..

PaperCut NG/MF 관리 기능에 숨은 unsafe reflection, CVE-2026-82078 대응 정리

2026. 9. 1. 08:02

이미지 출처: CISA KEV사무실 구석에 놓인 인쇄 서버는 자산 목록에서도 늘 맨 아래쪽에 있음. 담당은 총무팀이고, 패치 주기는 "복합기 잘 나오면 됐지"에서 멈춰 있는 경우가 대부분임. 그런데 그 장비가 도메인 계정으로 인증을 받고, 부서별 출력 로그를 쌓고, 관리 콘솔을 웹으로 열어두고 있다면 이야기가 달라짐. CVE-2026-82078은 바로 그 PaperCut NG/MF에서 안전하지 않은 리플렉션(unsafe reflection) 처리가 문제로 지목된 사례임.핵심 요약PaperCut NG/MF가 외부에서 들어온 값을 클래스·메서드 이름으로 그대로 써서 호출하는 구조(CWE-470)가 문제의 핵심임공격이 성사되면 인쇄 서버 프로세스 권한으로 임의 코드가 실행될 수 있고, 이 서버는 보통 내부망 ..

백신 예외 폴더가 ValleyRAT의 안전가옥이 됐다

2026. 8. 31. 21:32

이미지 출처: The Hacker News사용자가 백신 설정 창을 열고, 예외 경로에 폴더 하나를 손수 추가한다. 설치가 자꾸 막히니까, 화면에 뜨는 안내대로. 그 클릭 한 번으로 그 폴더 안의 모든 파일은 검사 대상에서 영구히 빠지고, ValleyRAT은 바로 그 자리에 자기 집을 짓는다. 이번 사례가 불편한 이유는 익스플로잇이 정교해서가 아니라, 보안 제품을 무력화한 게 공격자가 아니라 피해자 본인이라서다.핵심 요약유효한 코드서명이 붙은 애드웨어·유틸리티가 미끼로 쓰이며, 사용자가 직접 백신 예외 경로를 등록하도록 유도함예외 폴더 안에서 정상 서명 실행파일이 악성 DLL을 사이드로딩해 ValleyRAT 백도어를 메모리에 올림방어의 초점은 시그니처가 아니라 예외 목록 자체를 자산으로 관리하고 감사하는 ..

"인증하려면 Win+R을 누르세요": TerminalFix가 노린 건 브라우저가 아니라 사람이었다

2026. 8. 30. 21:32

이미지 출처: The Hacker News페이지 하나가 뜹니다. 익숙한 주황색 로고, 익숙한 "사람인지 확인하는 중" 문구. 그런데 이번엔 체크박스가 없어요. 대신 "확인을 완료하려면 Win+R을 누르고 Ctrl+V, Enter를 눌러주세요"라는 안내가 뜹니다. 여기서 손이 먼저 움직인 사람과, 잠깐 멈춘 사람. TerminalFix라는 이름이 붙은 이번 캠페인은 정확히 그 0.5초의 차이를 노렸습니다.핵심 요약가짜 Cloudflare 인증 화면으로 사용자가 직접 악성 명령을 복사·실행하게 만드는 ClickFix 계열 초기침투 기법임최종 목적은 정상 터널링 서비스를 악용한 리버스 터널 백도어로, 아웃바운드 연결만 쓰기 때문에 방화벽 인바운드 정책을 그대로 우회함방어 지점은 페이로드가 아니라 실행 경로에 ..

워드프레스를 무너뜨린 건 코어가 아니라 플러그인 다섯 개였다

2026. 8. 30. 13:02

이미지 출처: The Hacker News워드프레스 코어는 생각보다 단단하다. 보안팀도 있고, 자동 업데이트도 기본으로 돌고, 심각한 결함이 나오면 며칠 안에 패치가 배포된다. 그런데도 매달 "사이트가 통째로 넘어갔다"는 사고가 끊이지 않는 이유는 단순하다. 실제로 뚫리는 건 코어가 아니라 그 위에 얹은 플러그인과 테마이기 때문. 이번에도 플러그인·테마 다섯 곳에서 사이트 탈취나 원격 코드 실행으로 이어지는 결함이 한꺼번에 공개됐고, 하나같이 "인증 없이" 또는 "구독자 권한만으로" 시작할 수 있는 유형이었음.핵심 요약워드프레스 사고의 대부분은 코어가 아니라 서드파티 플러그인·테마의 권한 검사 누락에서 출발함파일 업로드 검증 부재, 임의 옵션 변경, 파일 포함(LFI) 세 갈래가 결국 웹셸과 관리자 계정..

사내 Git 서버 하나가 조직 전체의 실행 권한을 쥐고 있다면 — Gitea CVE-2026-60004

2026. 8. 30. 08:02

이미지 출처: CISA KEV회사에서 GitHub 대신 Gitea를 쓰는 팀이 생각보다 많음. 가볍고, 바이너리 하나로 뜨고, 라이선스 부담도 없어서 스타트업이나 사내망 개발팀이 자체 호스팅으로 올려두는 경우가 흔함. 그런데 그 "가볍게 올려둔" 서버가 조직의 모든 소스코드와 CI 파이프라인의 출발점이라는 걸 잊기 쉬움. CVE-2026-60004는 그 지점을 정확히 찌르는 코드 인젝션 계열 취약점임.핵심 요약Gitea에서 보고된 코드 인젝션 취약점으로, 신뢰되지 않은 입력이 서버 측에서 실행 가능한 문맥으로 흘러 들어가는 구조가 문제의 핵심임Git 서버는 소스코드·CI 러너·배포 자격증명이 한곳에 모이는 지점이라, 단일 취약점이 곧바로 공급망 침해로 번질 수 있음대응은 최신 버전 업그레이드가 1순위이고..

CVE-2019-1068: SQL Server 내부 함수 처리가 무너지면 서비스 계정까지 간다

2026. 8. 29. 21:32

이미지 출처: CISA KEV2019년 7월 패치 화요일은 실제로 악용되고 있던 윈도우 제로데이 두 건 때문에 시끄러웠다. 그 소란 속에서 조용히 목록 한 줄을 차지하고 지나간 것이 CVE-2019-1068, Microsoft SQL Server의 원격 코드 실행 취약점임. 제로데이가 아니었고 공개 익스플로잇도 돌지 않았으니 대부분의 조직이 "다음 정기 점검 때"로 미뤘고, 그렇게 미뤄진 DB 서버가 몇 년 뒤 내부 침투 단계에서 발목을 잡는 경우를 심심찮게 보게 됨.핵심 요약SQL Server가 내부 함수 처리를 잘못하는 지점에서 발생하는 원격 코드 실행 결함으로, 조작된 쿼리 하나가 SQL Server 데이터베이스 엔진 서비스 계정 권한의 코드 실행으로 이어짐"인증된 사용자만 가능"이라는 조건은 안심..

NetScaler 앞단에 놓인 장비 한 대, 왜 매번 표적이 되는가

2026. 8. 29. 13:01

이미지 출처: CISA KEV사내 네트워크 다이어그램을 펼쳐보면 인터넷과 내부망 사이 딱 한 칸에 놓여 있는 상자가 있음. VPN 게이트웨이이자 로드밸런서이자 인증 관문 역할을 겸하는 Citrix NetScaler ADC/Gateway가 대표적인데, 이 위치에 있다는 것 자체가 공격자에게는 최고의 가성비 표적이 된다는 뜻임. CVE-2026-8452는 바로 그 장비에서 메모리 버퍼 경계를 벗어난 연산이 가능하다는 내용으로 등록된 건임.핵심 요약CVE-2026-8452는 Citrix NetScaler ADC/Gateway의 메모리 버퍼 경계 처리 결함(CWE-119 계열)으로, 인터넷에 직접 노출되는 엣지 장비라는 점에서 위험도가 큼이런 유형은 크래시·재부팅·세션 이상 같은 흔적을 남기므로, 로그와 코어덤..

저장소 경로 한 칸을 벗어나면 — Artifactory가 걸러내지 못한 파일명

2026. 8. 28. 21:31

이미지 출처: CISA KEV사내 빌드 파이프라인에서 아티팩트 저장소는 늘 조용한 존재입니다. 젠킨스가 돌고, 이미지가 올라가고, 개발자들은 npm install 한 줄로 그걸 내려받죠. 아무도 저장소 자체를 의심하지 않습니다. 그런데 그 저장소가 "파일을 어디에 저장할지"를 사용자가 준 문자열로 결정하고 있다면 어떨까요. CVE-2026-66384는 바로 그 지점, JFrog Artifactory가 경로 문자열을 지정된 디렉터리 안으로 제대로 가두지 못한 문제로 등록되어 있습니다.핵심 요약JFrog Artifactory에서 파일 경로가 지정된 저장소 디렉터리 밖으로 벗어날 수 있는 결함(경로 제한 미흡, CWE-22 계열)이 보고됨아티팩트 저장소는 CI/CD의 상류에 있어, 임의 위치 쓰기·읽기가 성립..

설명란이 비어 있는 커널 CVE를 만났을 때 방어자가 할 일

2026. 8. 28. 19:01

이미지 출처: CISA KEV보안 담당자로 일하다 보면 참 애매한 순간이 있음. 취약점 관리 대시보드에 새 CVE가 뜨는데, 눌러 들어가 보면 요약란에 "Unspecified vulnerability"라고만 적혀 있고 그 아래가 텅 비어 있는 경우임. CVE-2026-53362 같은 리눅스 커널 항목이 딱 그런 부류인데, 제품이 커널이라는 것 말고는 손에 잡히는 게 거의 없다 보니 "그래서 이걸 어쩌라는 거지?" 싶어짐.핵심 요약정보가 비어 있는 커널 CVE는 "위험이 없다"가 아니라 "공개 정보가 아직 정리되지 않았다"는 뜻으로 읽어야 함세부 내용을 기다리는 대신 커널 버전 인벤토리·패치 적용 경로·재부팅 창(window)을 먼저 정리하는 게 실질적 대응임탐지는 익스플로잇 시그니처가 아니라 커널 크래시..

서명은 맞는데 사용자는 아무나 — ownCloud WebDAV 서명 검증이 놓친 조건

2026. 8. 28. 13:02

이미지 출처: CISA KEV2023년 11월 말, 파일 공유 서버를 운영하던 관리자들이 한 주 사이에 ownCloud 권고문 세 건을 연달아 받아야 했음. 그중 하나가 오늘 볼 CVE-2023-49105인데, 같은 시기 훨씬 유명해진 graphapi 정보노출(CVE-2023-49103)에 가려 상대적으로 조용히 지나간 감이 있음. 그런데 방어자 입장에서 보면 이쪽이 더 고약함. 설정 파일 하나 읽히는 게 아니라, 남의 계정 파일을 읽고 쓰고 지울 수 있는 문제였기 때문임.핵심 요약ownCloud core의 WebDAV 접근 경로에서, 서명된 URL 검증 로직이 "누가 요청했는가"를 충분히 묶어두지 못해 인증 없이 타인 파일에 접근 가능했던 문제임.공격에 특별한 도구가 필요 없음 — 평범한 WebDAV ..

5.8에서 들어와 5.17에서 막힌 구멍: 리눅스 watch_queue OOB Write

2026. 8. 27. 21:32

이미지 출처: CISA KEV리눅스 커널 5.8에 watch_queue라는 조용한 기능이 하나 들어왔음. 키링(keyring)이나 장치 상태가 바뀔 때 커널이 사용자 공간으로 알림을 밀어 넣어주는 통로인데, 일반 파이프를 특수한 플래그로 열어서 만드는 구조라 눈에 잘 띄지도 않았음. 그런데 이 통로에 붙는 필터 설정 코드가 같은 값을 두 번 검사하면서 기준을 서로 다르게 잡아버렸고, 그 어긋남이 2022년 3월 CVE-2022-0995로 정리됐음.핵심 요약리눅스 커널 watch_queue 알림 서브시스템의 필터 설정 경로에서 힙 경계 밖 쓰기(OOB Write)가 발생함. 로컬 일반 사용자가 root 권한 상승까지 노릴 수 있는 유형임.원인은 "필터 개수를 세는 검사"와 "필터를 실제로 채우는 검사"가 ..