관리 콘솔의 옆문 — Cisco FMC가 인증을 우회당하는 '대체 경로' 구조와 방어 점검

2026. 9. 11. 21:32

이미지 출처: CISA KEV방화벽을 한 대만 굴려본 사람은 안다. 정작 공격 표면으로 가장 무서운 건 방화벽 그 자체가 아니라, 수십 대의 방화벽을 한 화면에서 주무르는 관리 서버라는 것을. Cisco의 Firewall Management Center(FMC, 과거 FireSIGHT·FMC)는 바로 그 자리에 앉아 있음. 정책 배포, 룰셋 갱신, 이벤트 집계가 전부 여기를 거침. 그런데 이 관리 평면에서 정규 로그인 절차를 밟지 않고도 인증된 것처럼 행세할 수 있는 틈(CVE-2026-20079)이 보고됨. 분류상으로는 CWE-288, 즉 "대체 경로 또는 채널을 이용한 인증 우회"에 해당함.핵심 요약Cisco FMC의 관리 인터페이스에서 정상 인증 절차를 건너뛰는 대체 경로로 권한을 획득할 수 있는 ..

스크립트 한 줄에 공백 하나 더 — MikroTik RouterOS가 인자 경계를 잘못 읽은 자리(CVE-2026-86060)

2026. 9. 11. 13:02

이미지 출처: CISA KEV작은 사무실이나 원룸 건물 배전반을 열어 보면 열 중 서넛은 하얀 MikroTik 장비가 들어앉아 있음. 가격이 착하고 RouterOS 기능이 웬만한 엔터프라이즈 장비 못지않다 보니 국내 소규모 ISP, 학원, 카페, 그리고 홈랩 유저들까지 폭넓게 쓰는 물건임. 그런데 이 장비의 운영체제인 RouterOS에서 명령어 인자 구분자를 제대로 무력화하지 못하는 취약점이 CVE-2026-86060으로 등록됐음. 분류는 CWE-88, 풀어 쓰면 "명령 안의 인자 구분자를 부적절하게 중화함"임. 이름만 보면 지루한 문자열 처리 문제 같지만, 라우터라는 위치를 생각하면 절대 가볍게 넘길 수 없는 유형이라 정리해 둠.핵심 요약RouterOS가 사용자 입력을 내부 명령의 인자로 넘길 때 공백..

심볼릭 링크는 왜 아직도 Windows 권한 상승의 단골 통로일까 (CVE-2026-81963)

2026. 9. 9. 19:02

이미지 출처: CISA KEV서비스 하나가 C:\Windows\Temp 밑에 로그 파일을 만든다. 만들고, 쓰고, 지운다. 그 폴더는 사용자 누구나 파일을 만들 수 있는 곳이고, 서비스는 SYSTEM 권한으로 돈다. 이 두 문장이 한 문단 안에 같이 있으면, 그때부터는 취약점 이야기가 됨. CVE-2026-81963으로 정리된 Microsoft Windows의 링크 팔로잉(Link Following) 문제도 이 계열에 속함.핵심 요약높은 권한 프로세스가 사용자가 통제 가능한 경로를 검증 없이 따라가면서 생기는 권한 상승 유형임공격은 파일을 깨는 게 아니라 경로를 바꿔치기하는 것이며, 경쟁 조건 특성상 흔적이 짧게 스쳐 지나감방어는 패치가 1순위, 그다음이 재분석 지점(reparse point) 생성 탐지..

상품 설명란에 넣은 중괄호 하나 — Adobe Commerce 템플릿 엔진이 그것을 명령으로 읽을 때

2026. 9. 9. 13:01

이미지 출처: CISA KEV쇼핑몰 관리자 페이지에서 상품 설명을 편집하다 보면, 굵게·기울임 말고도 이상한 문법이 하나 눈에 띔. {{store url=""}} 같은 중괄호 두 개짜리 지시문. Magento 계열을 만져본 사람이면 다들 한 번쯤 써봤을 그 문법인데, 이게 바로 이번 이야기의 출발점임.핵심 요약Adobe Commerce·Magento의 템플릿 엔진이 특수 문자를 제대로 무력화하지 않아, 콘텐츠에 삽입된 지시문이 서버에서 그대로 해석될 수 있는 문제임공격 표면은 관리자 콘텐츠 필드·이메일 템플릿·CMS 블록처럼 "사용자가 문자열을 넣고 서버가 렌더링하는" 모든 지점임방어는 패치 적용이 1순위, 그다음이 관리자 권한 최소화·템플릿 필터 화이트리스트 점검·렌더링 로그 기반 탐지임템플릿 엔진이 ..

프록시와 Starlette가 같은 요청을 다르게 읽을 때 — 경계면에서 갈라지는 한 건의 HTTP

2026. 9. 7. 19:01

이미지 출처: CISA KEV사내 API 게이트웨이 로그를 보다가 이상한 걸 발견하는 순간이 있음. 프록시 액세스 로그에는 요청이 한 건인데, 뒤에 있는 애플리케이션 로그에는 두 건이 찍혀 있는 경우 말입니다. 이게 바로 HTTP 요청 스머글링이 남기는 가장 전형적인 흔적이고, 이번에 Starlette에 붙은 CVE-2026-48710도 정확히 이 계열의 문제임.핵심 요약Kludex/Starlette에서 HTTP 요청·응답 스머글링(Request/Response Smuggling) 취약점이 보고됨 — 프록시와 앱이 같은 바이트 스트림을 다르게 해석하는 경계면 불일치 문제.실질 위험은 인증·WAF·라우팅 우회, 캐시 오염, 다른 사용자 응답 탈취까지 이어질 수 있다는 점.대응은 세 겹 — Starlette..

워드프레스를 무너뜨린 건 코어가 아니라 플러그인 다섯 개였다

2026. 8. 30. 13:02

이미지 출처: The Hacker News워드프레스 코어는 생각보다 단단하다. 보안팀도 있고, 자동 업데이트도 기본으로 돌고, 심각한 결함이 나오면 며칠 안에 패치가 배포된다. 그런데도 매달 "사이트가 통째로 넘어갔다"는 사고가 끊이지 않는 이유는 단순하다. 실제로 뚫리는 건 코어가 아니라 그 위에 얹은 플러그인과 테마이기 때문. 이번에도 플러그인·테마 다섯 곳에서 사이트 탈취나 원격 코드 실행으로 이어지는 결함이 한꺼번에 공개됐고, 하나같이 "인증 없이" 또는 "구독자 권한만으로" 시작할 수 있는 유형이었음.핵심 요약워드프레스 사고의 대부분은 코어가 아니라 서드파티 플러그인·테마의 권한 검사 누락에서 출발함파일 업로드 검증 부재, 임의 옵션 변경, 파일 포함(LFI) 세 갈래가 결국 웹셸과 관리자 계정..

설명란이 비어 있는 커널 CVE를 만났을 때 방어자가 할 일

2026. 8. 28. 19:01

이미지 출처: CISA KEV보안 담당자로 일하다 보면 참 애매한 순간이 있음. 취약점 관리 대시보드에 새 CVE가 뜨는데, 눌러 들어가 보면 요약란에 "Unspecified vulnerability"라고만 적혀 있고 그 아래가 텅 비어 있는 경우임. CVE-2026-53362 같은 리눅스 커널 항목이 딱 그런 부류인데, 제품이 커널이라는 것 말고는 손에 잡히는 게 거의 없다 보니 "그래서 이걸 어쩌라는 거지?" 싶어짐.핵심 요약정보가 비어 있는 커널 CVE는 "위험이 없다"가 아니라 "공개 정보가 아직 정리되지 않았다"는 뜻으로 읽어야 함세부 내용을 기다리는 대신 커널 버전 인벤토리·패치 적용 경로·재부팅 창(window)을 먼저 정리하는 게 실질적 대응임탐지는 익스플로잇 시그니처가 아니라 커널 크래시..

특권 헬퍼가 사용자 디렉터리를 믿을 때 생기는 일 (CVE-2015-5287, Red Hat ABRT)

2026. 8. 27. 19:02

이미지 출처: CISA KEV2015년 가을, 레드햇 계열 서버를 돌리던 관리자들은 abrt 관련 보안 업데이트 공지를 한 번에 여러 건 받아야 했다. 그것도 원격 RCE가 아니라 전부 로컬 권한 상승이었다. "로컬이면 이미 들어온 거 아니냐"고 넘기기 쉬운데, 웹셸 하나로 www-data 권한만 잡은 공격자에게 로컬 루트 취약점은 사실상 게임의 후반부를 열어주는 열쇠라서 그렇게 가볍게 볼 물건이 아니었다. CVE-2015-5287은 그 묶음 중 하나다.핵심 요약ABRT(Automatic Bug Reporting Tool)는 크래시가 나면 자동으로 코어덤프와 진단 정보를 모아주는 도구인데, 그 수집 과정 일부가 높은 권한으로 동작함CVE-2015-5287은 그 특권 동작이 일반 사용자가 손댈 수 있는 경..

libuser가 /etc/passwd를 다시 쓰던 그 0.1초 (CVE-2015-3246)

2026. 8. 27. 13:02

이미지 출처: CISA KEV2015년 여름에 공개된 리눅스 로컬 권한 상승 이슈 중 하나는 화려한 메모리 손상이 아니라 "파일을 어떻게 저장하느냐"에 관한 것이었음. 셸코드도, ROP 체인도 없이 그냥 사용자 계정 정보를 담은 텍스트 파일 하나가 쓰다 만 상태로 남는 것, 그게 전부였음. 그런데 그 파일이 하필 /etc/passwd였다는 게 문제였음.핵심 요약libuser는 /etc/passwd를 수정할 때 파일을 통째로 잘라내고 다시 쓰는 방식을 썼고, 그 중간에 프로세스가 죽으면 파일이 반 토막 난 채로 남았음잘려나간 지점이 운 나쁘게(공격자 입장에선 운 좋게) 잡히면 루트 계정의 암호 필드가 비어버릴 수 있어 로컬 권한 상승으로 이어짐방어는 패치가 1순위, 그 다음이 userhelper 같은 se..

"등록할 땐 공인 IP였는데요" — MLflow 웹훅이 남의 메타데이터를 대신 읽어준 사건

2026. 8. 25. 19:02

이미지 출처: CISA KEVCVE 번호가 배정되고 몇 시간 만에 전 세계 허니팟 센서에 스캔이 잡혔다. 표적은 인터넷에 그대로 열려 있던 MLflow 트래킹 서버였고, 공격자들이 노린 건 모델도 실험 기록도 아니었음. 그 서버가 올라타 있는 클라우드 인스턴스의 임시 자격증명이었다.핵심 요약MLflow 웹훅 테스트 엔드포인트(POST /api/2.0/mlflow/webhooks/{id}/test)가 인증 없이 호출 가능하고, 등록 때 검증한 주소를 리다이렉트 이후 다시 확인하지 않아 전(全)내용 열람형 SSRF가 성립함. CVSS 9.3.3.15.0 미만 전 버전이 영향권. 3.15.0은 검증된 주소를 연결 시점에 고정하는 방식으로 수정됨.이미 실전 악용 중이며 KEV 목록에도 등재됨. 패치와 함께 아웃..

앞단은 막았는데 뒷단이 열렸다, WebLogic 프록시 플러그인 CVE-2026-21962

2026. 8. 25. 13:02

이미지 출처: CISA KEV웹 서버를 앞에 세우고 애플리케이션 서버를 뒤에 숨기는 구성은 자바 진영에서 거의 20년 가까이 정석 취급을 받아 왔음. Oracle HTTP Server(OHS)가 요청을 받아 WebLogic Server로 넘겨주는 프록시 플러그인, 흔히 mod_wl_ohs 혹은 mod_weblogic이라 부르는 그 모듈이 그 정석의 한가운데에 있음. 그런데 이번에 공개된 CVE-2026-21962는 그 중간 다리 자체가 "누구를 어디로 보낼지"를 잘못 판단할 수 있다는 이야기라서, 구조를 믿고 설계했던 사람일수록 더 신경이 쓰이는 사안임.핵심 요약Oracle HTTP Server와 WebLogic Server 프록시 플러그인에서 접근 통제가 제대로 적용되지 않는 결함으로, 원격에서 HTT..

0.58부터 63.4까지, Metabase 비밀번호 재설정에 열려 있던 SQL 인젝션

2026. 8. 12. 19:02

이미지 출처: CISA KEV점수판에서 10.0은 더 내려갈 곳이 없다는 뜻임. CVE-2026-72898에 붙은 CVSS 3.1 점수가 정확히 그 10.0이고, 인증 없음·사용자 상호작용 없음·공격 난이도 낮음이 한 줄에 다 모여 있음. 게다가 패치가 나오기 전부터 실제 공격에 쓰이던 제로데이였고, 8월 11일자로 CISA 악용 목록에도 올라갔음. BI 대시보드 하나 띄워두려고 사내에 올려둔 Metabase가 지금 이 순간 외부에서 관리자 계정으로 접수당할 수 있는 상태라는 얘기임.핵심 요약Metabase의 비밀번호 재설정 처리 경로에서 인증 없이 애플리케이션 DB에 SQL을 주입할 수 있고, 결과는 관리자 권한 탈취임(CWE-89, CVSS 10.0).1.58 계열부터 0.63.4까지 영향을 받으며 ..