인증을 묻지 않는 PeopleSoft, 무엇을 어떻게 막을까

2026. 6. 16. 11:06

이미지 출처: 재시도기업 인사·급여 시스템의 뒤편에는 생각보다 오래된 코드가 돌고 있음. Oracle PeopleSoft Enterprise는 대학, 공공기관, 대기업의 인사관리(HCM)와 재무 업무를 떠받치는 플랫폼이고, 그 토대가 되는 미들웨어가 바로 PeopleTools임. 이번에 공개된 CVE-2026-35273은 그 PeopleTools에서 중요 기능에 대한 인증 누락(Missing Authentication for Critical Function) 유형으로 분류된 취약점임. 쉽게 말해, 원래라면 로그인을 거쳐야 닿을 수 있는 어떤 기능이 인증 절차를 건너뛴 채 노출될 수 있다는 뜻임.핵심 요약CVE-2026-35273은 Oracle PeopleSoft PeopleTools의 '중요 기능 인증 ..

Serv-U가 스스로 멈추는 날 — CVE-2026-28318, 자원 고갈이라는 조용한 위협

2026. 6. 16. 10:41

이미지 출처: 재시도파일 전송 서버는 평소엔 존재를 잊고 지내는 인프라임. 사용자들은 그냥 파일을 올리고 내리며, 관리자도 디스크 용량이나 인증서 만료 정도만 신경 씀. 그런데 그 조용한 서버가 어느 순간 응답을 멈추고, 재시작해도 금세 다시 먹통이 된다면 이야기가 달라짐. SolarWinds Serv-U에서 보고된 CVE-2026-28318은 바로 그런 종류의 결함임. 누군가 데이터를 훔쳐가는 게 아니라, 서버가 자기 자원을 통제하지 못해 스스로 무너지는 제어되지 않은 자원 소비(Uncontrolled Resource Consumption, CWE-400) 문제임.핵심 요약CVE-2026-28318은 SolarWinds Serv-U의 자원 고갈 계열 취약점으로, 가용성(서비스 중단)을 노리는 DoS 성..

또 방화벽이 뚫렸다? Check Point Security Gateway 인증 우회 취약점(CVE-2026-50751) 정리

2026. 6. 14. 15:55

이미지 출처: CISA KEV경계를 지켜주던 방화벽 그 자체가 통째로 입구가 되어버린다면, 과연 우리는 무엇을 믿어야 할까요? 최근 보안 커뮤니티가 다시 한 번 술렁였음. 바로 Check Point Security Gateway에서 부적절한 인증(Improper Authentication) 문제, 즉 CVE-2026-50751이 공개됐기 때문임. 기업 네트워크의 정문을 지키는 장비에서 인증이 제대로 안 된다는 건, 생각보다 훨씬 무서운 이야기임.핵심 요약Check Point Security Gateway의 인증 처리 결함으로, 권한 없는 접근이 가능해질 수 있는 취약점임(CVE-2026-50751).경계 장비 특성상 외부에 노출되어 있어, 공개 직후부터 스캐닝·악용 시도가 빠르게 늘어나는 유형임.벤더 권..

또 LLM 게이트웨이가 털렸다? CVE-2026-42271 LiteLLM 명령어 주입 취약점, 방어자 시점으로 뜯어보기

2026. 6. 14. 15:41

이미지 출처: CISA KEV요즘 사내에 LLM 하나쯤 붙여 쓰는 건 너무 당연한 일이 됐는데 말입니다, 그 LLM 트래픽을 한곳에 모아주는 "게이트웨이"가 뚫리면 어떻게 될까요? 이번에 또 하나 터졌습니다. BerriAI의 LiteLLM에서 발견된 CVE-2026-42271 명령어 주입(Command Injection) 취약점인데, 단순히 "AI가 이상한 말 한다" 수준이 아니라 서버에서 임의 명령이 돌아갈 수 있는 결입니다. 과연 우리 환경은 안전할까요?핵심 요약LiteLLM(LLM 프록시/게이트웨이)에서 외부 입력이 시스템 명령으로 흘러드는 명령어 주입 취약점(CVE-2026-42271)이 보고됨.성공 시 게이트웨이 호스트에서 임의 명령 실행 → API 키·내부망 자격증명 유출, 측면 이동으로 번질..

nikto 사용법과 약간의 의문점?

2024. 7. 2. 20:24

해당 블로그는 해킹 및 보안 블로그로 공부 및 연구용으로 작성되어지고 있습니다. 아래의 내용을 기반으로 해킹 시도 및 실제 공격을 시도하여 일어나는 모든 책임은 본인(따라한자)에게 있음을 알려드리며, 글쓴이는 아무런 책임을 지지 않습니다. 꼭 공부 및 연구용으로만 사용하여 주시길 바랍니다. 감사합니다. 요즘 nikto를 많이 사용하는 것같다. 간단하게 사용하기 좋아서 조금씩 사용한다. web취약점을 찾기위해 사용을 하는것보단 backup파일 등을 찾기에 편리하기 위해 사용을 많이 하곤한다. nikto를 사용하는 명령어는 단순하게 입력을 해도된다. 먼저 사용하는 법은 아래와 같다.nikto -h domain -C all 이렇게 간단한 옵션을 주고 하면 된다. delay 등 옵션들이 여러개가 있는데 차차쓰면..

CVE-2023-22527 : Atlassian Confluence 취약점

2024. 3. 3. 15:57

해당 블로그는 해킹 및 보안 블로그로 공부 및 연구용으로 작성되어지고 있습니다. 아래의 내용을 기반으로 해킹 시도 및 실제 공격을 시도하여 일어나는 모든 책임은 본인(따라한자)에게 있음을 알려드리며, 글쓴이는 아무런 책임을 지지 않습니다. 꼭 공부 및 연구용으로만 사용하여 주시길 바랍니다. 또한 약간의 틀린내용 및 사용된 취약점이 추가적으로 있음을 알려드립니다. 몇달전 텔레그램을 통해 대학교, 여러기관의 데이터가 유출된 일이 있었다. 공격자는 중국의 니옌으로 불리는 해커로 시작되었으며 텔레그램을 통해 실제 데이터들이 유출이 되었다. 명절(설)을 앞두고 있는 상황이라 공휴일에 또한 공격을 진행할 것이라고 예고는 했으나 니옌의 텔레그램을 통한바로는 문제의 소지가 있던 부분을 서로 오해를 풀고 마무리가 되었다..

kali setoolkit을 이용한 피싱 사이트 만들기

2023. 9. 8. 16:29

해당 블로그는 해킹 및 보안 블로그로 공부 및 연구용으로 작성되어지고 있습니다. 아래의 내용을 기반으로 해킹 시도 및 실제 공격을 시도하여 일어나는 모든 책임은 본인(따라한자)에게 있음을 알려드리며, 글쓴이는 아무런 책임을 지지 않습니다. 꼭 공부 및 연구용으로만 사용하여 주시길 바랍니다. 감사합니다. kali를 사용하다 보면 피싱사이트를 만들거나 테스트 용으로 가짜 사이트를 만들어야 하는 경우가 있다. 이때 주로 사용하는 도구가 setoolkit 이라는 도구인데 피싱 사이트를 만드는 것 뿐아닌 스팸메일 등 사회공학 기법에서 사용하는 공격기법들이 다양하게 사용할 수 있다. setoolkit을 사용하기 위해선 먼저 msfdb와 postgresql을 실행 해야한다. sudo service postgresql..

모의해킹을 해보자! -armitage 2편

2023. 8. 21. 19:56

해당 블로그는 해킹 및 보안 블로그로 공부 및 연구용으로 작성되어지고 있습니다. 아래의 내용을 기반으로 해킹 시도 및 실제 공격을 시도하여 일어나는 모든 책임은 본인(따라한자)에게 있음을 알려드리며, 글쓴이는 아무런 책임을 지지 않습니다. 꼭 공부 및 연구용으로만 사용하여 주시길 바랍니다. 감사합니다. 2023.08.18 - [Metasploit/Kali & Backtrack] - 모의해킹을 해보자!-armitage편 모의해킹을 해보자!-armitage편 해당 블로그는 해킹 및 보안 블로그로 공부 및 연구용으로 작성되어지고 있습니다. 아래의 내용을 기반으로 해킹 시도 및 실제 공격을 시도하여 일어나는 모든 책임은 본인(따라한자)에게 있음 blog.z3alous.xyz 몇일 전에 위의 글을 작성하였다. 이..

모의해킹을 해보자!-armitage편

2023. 8. 18. 22:41

해당 블로그는 해킹 및 보안 블로그로 공부 및 연구용으로 작성되어지고 있습니다. 아래의 내용을 기반으로 해킹 시도 및 실제 공격을 시도하여 일어나는 모든 책임은 본인(따라한자)에게 있음을 알려드리며, 글쓴이는 아무런 책임을 지지 않습니다. 꼭 공부 및 연구용으로만 사용하여 주시길 바랍니다. 감사합니다. 약 1달 전쯤 toss에서 만들어진 영상을 보았다. 해당영상이다. https://youtu.be/tAqgvP07RnQ 해당 영상을 보는동안 시간 가는줄 모르고 계속 보고있었다. 해당 동영상에 나오는 분들을 실제로 아는 분들이지만 이렇게 보니 더더욱 멋있어 보였다. '토스를 해킹하는 자' 라는 영상을 보고 여러가지에 흥미를 가졌다. forensic을 주로 하던 나였는데 업무를 하면서 조금씩 취약점과 모의해킹..

CALDERA를 통한 시나리오 침투 테스트(에이전트설치)

2022. 11. 17. 21:46

해당 블로그는 해킹 및 보안 블로그로 공부 및 연구용으로 작성되어지고 있습니다. 아래의 내용을 기반으로 해킹 시도 및 실제 공격을 시도하여 일어나는 모든 책임은 본인(따라한자)에게 있음을 알려드리며, 글쓴이는 아무런 책임을 지지 않습니다. 꼭 공부 및 연구용으로만 사용하여 주시길 바랍니다. 감사합니다. 저번에 포스팅은 caldera를 설치하는 방법에 대해 작성해보았다. 2022.10.27 - [Metasploit/MiTRE ATT&CK] - MITRE ATT&CK 사이버 모의 공격 도구 이론과 실무 도서 후기 1 MITRE ATT&CK 사이버 모의 공격 도구 이론과 실무 도서 후기 1 박원형 교수님께 책을 선물받은 후 조금씩 읽어보았다. MITRE ATT&CK(이하 마이터)이란 단체는 해킹관련 업무 및 ..

Nexpose 궁금증이 풀리는 순간

2022. 11. 11. 18:40

해당 블로그는 해킹 및 보안 블로그로 공부 및 연구용으로 작성되어지고 있습니다. 아래의 내용을 기반으로 해킹 시도 및 실제 공격을 시도하여 일어나는 모든 책임은 본인(따라한자)에게 있음을 알려드리며, 글쓴이는 아무런 책임을 지지 않습니다. 꼭 공부 및 연구용으로만 사용하여 주시길 바랍니다. 감사합니다. 몇일전에 이러한 글을 올린적이 있다. 2022.11.06 - [Metasploit/Vulnerability] - Nexpose를 사용하면서 의문인점? Nexpose를 사용하면서 의문인점? 해당 블로그는 해킹 및 보안 블로그로 공부 및 연구용으로 작성되어지고 있습니다. 아래의 내용을 기반으로 해킹 시도 및 실제 공격을 시도하여 일어나는 모든 책임은 본인(따라한자)에게 있음 blog.z3alous.xyz 이게..

Nexpose를 사용하면서 의문인점?

2022. 11. 6. 22:47

해당 블로그는 해킹 및 보안 블로그로 공부 및 연구용으로 작성되어지고 있습니다. 아래의 내용을 기반으로 해킹 시도 및 실제 공격을 시도하여 일어나는 모든 책임은 본인(따라한자)에게 있음을 알려드리며, 글쓴이는 아무런 책임을 지지 않습니다. 꼭 공부 및 연구용으로만 사용하여 주시길 바랍니다. 감사합니다. 최근에 업무때문에 스캐너를 사용해야하는 일이 있었다. 기존에 웹스캐너 등은 많이 사용해보았지만 시스템 스캐너 및 CVE 스캐너는 잘 사용해보지 않았다. 그래서 이 참에 써보아야해서 써보았는데... 총 3개를 써보았다. openvas(GVM) nexpose nessus 이렇게 3개를 사용했는데.. nexpose를 사용하면서 궁금한 점이 생겼다. 일단 환경은 아래와 같이 구성하여 테스트를 하였다. victim..