방화벽을 지키던 콘솔이 먼저 열렸다 — 공격에 악용된 SmartConsole 제로데이, 탐지·완화 우선순위

2026. 7. 23. 21:31

이미지 출처: BleepingComputer방화벽 정책을 손보려고 SmartConsole을 켜는 건 관리자에게 하루의 시작 같은 일임. 규칙 하나 바꾸고, 로그 몇 줄 넘겨보고, 배포 버튼을 누르는 익숙한 화면. 그런데 그 익숙한 관리 화면 자체가 공격의 입구가 됐다는 소식이 들려왔음. Check Point가 실제 공격에 악용되던 SmartConsole 제로데이를 급히 패치했다고 밝혔고, "경계선을 지키는 도구가 먼저 뚫린다"는, 방어자 입장에선 가장 껄끄러운 시나리오가 또 한 번 현실이 된 셈임.핵심 요약방화벽 관리 클라이언트인 SmartConsole의 제로데이가 실제 공격에 쓰였고, Check Point가 긴급 패치를 배포함.관리 평면(management plane)이 뚫리면 정책·로그·인증이 한꺼번..

틀린 비밀번호 몇 번에 건물 전체 제어기가 멈춘다 — KNX 계정 잠금 설계가 만든 CVE-2023-4346

2026. 7. 16. 19:01

이미지 출처: CISA KEV사무실 조명, 공조, 블라인드, 출입 게이트가 한 벽면의 작은 제어반에서 조용히 돌아가는 건물을 떠올려 보자. 그 뒤에는 대개 KNX라는 오래된 빌딩 자동화 프로토콜이 깔려 있음. 그런데 이 KNX가 "보안을 강화하겠다"고 켜 두는 접속 인가(Connection Authorization) 기능이, 어떤 조건에서는 오히려 건물 관리자 자신을 문 밖으로 밀어내는 무기가 된다는 게 이번 이야기임. CVE-2023-4346, 이름부터가 '지나치게 엄격한 계정 잠금 메커니즘'이라 붙은 결함임.핵심 요약KNX 접속 인가(Option 1)의 계정 잠금이 너무 뻑뻑해, 잘못된 키 입력이 쌓이면 장치가 사실상 잠겨 정상 관리자까지 못 들어감.공격자는 코드 실행 없이 '틀린 키를 반복'하는 개..

라우터는 왜 '내 관리자'의 요청을 의심하지 않았을까 — 시스코 IOS CSRF(CVE-2008-4128)가 남긴 교훈

2026. 7. 14. 19:01

이미지 출처: CISA KEV2008년, 사무실 구석에서 조용히 돌아가던 시스코 라우터 이야기부터 해봄. 당시 많은 장비는 브라우저로 접속해 설정을 만지는 웹 관리 인터페이스를 켜둔 채 방치돼 있었음. 그런데 이 편리한 창구가, 관리자가 잘못된 웹페이지 하나를 여는 순간 공격자의 손발이 되어버릴 수 있다는 사실이 드러났음. 그게 바로 CVE-2008-4128, 시스코 IOS의 크로스사이트 요청위조(CSRF) 취약점임.핵심 요약로그인된 관리자의 브라우저를 속여, 라우터 웹 관리 인터페이스로 위조된 설정 요청을 대신 보내게 만드는 CSRF 결함.공격은 취약점이 아니라 '관리자의 신뢰받는 세션'을 빌려 쓰는 방식이라, 비밀번호를 몰라도 성립함.가장 확실한 완화는 안 쓰는 HTTP 관리 서버를 끄고, 꼭 써야 ..

공장에서 딸려 나온 관리자 계정 하나 — Tenda 라우터에 숨은 백도어를 집에서 찾아내는 방법

2026. 7. 7. 21:31

이미지 출처: The Hacker News공유기를 처음 설치할 때 우리가 정하는 건 보통 와이파이 비밀번호 하나뿐이다. 그런데 그 아래, 사용자가 만든 적도 없고 지운 적도 없는 계정이 이미 하나 켜져 있었다면 어떨까. 이번에 CERT/CC가 경고한 Tenda 라우터 펌웨어 문제가 정확히 그 이야기임. 사용자가 아무리 비밀번호를 강하게 바꿔도, 제조사가 펌웨어에 심어둔 '숨은 관리자' 통로는 그대로 남아 있는 구조라는 점에서 성격이 좀 다름.핵심 요약Tenda 일부 라우터 펌웨어에 사용자가 만들지 않은 관리자 성격의 숨은 접근 통로가 존재한다는 CERT/CC 경고가 나옴.이런 하드코딩된 계정·서비스는 비밀번호 변경으로 막히지 않아, 원격관리·불필요한 포트를 끄는 '노출 차단'이 1차 방어임.집에서도 관리..

서버실 한구석 변환기가 공격자의 첫 발판이 되기까지 — EDS5000 실착취 경보 읽는 법

2026. 6. 25. 21:31

이미지 출처: The Hacker News공장 제어반 옆, 배전반 아래, 병원 검사실 캐비닛 안. 시리얼 케이블을 랜선으로 바꿔주는 손바닥만 한 장비 하나가 거기 박혀 있다. 누가 언제 설치했는지 아무도 기억하지 못하고, 펌웨어를 마지막으로 올린 게 몇 년 전인지도 모른다. Lantronix EDS5000이 딱 그런 물건이다. 그리고 이번에 미국 사이버보안기관(CISA)이 내놓은 메시지는 단순하다 — 이 결함이 더 이상 보고서 속 가능성이 아니라, 지금 실제로 악용되고 있다는 것이다.핵심 요약EDS5000은 시리얼 장비를 네트워크에 붙여주는 디바이스 서버로, 산업·의료·건물자동화 현장에 '설치 후 방치'된 채 많이 깔려 있음.관리 웹 인터페이스의 코드 인젝션 계열 결함이 실제 공격에 사용 중이라는 경고가..

UniFi OS가 입력값을 의심하지 않을 때 벌어지는 일

2026. 6. 24. 13:01

이미지 출처: CISA KEV퇴근 후 불 꺼진 사무실, 천장의 액세스포인트와 구석 랙에 놓인 게이트웨이가 조용히 깜빡이고 있음. 평소엔 한 번도 들여다보지 않던 장비지만, 이 모든 걸 한데 묶어 다스리는 UniFi OS에 "들어온 값을 제대로 따져 묻지 않는" 결함이 보고되면서 사정이 달라짐. CVE-2026-34910은 바로 그 지점, 입력 검증(Improper Input Validation)의 빈틈을 찌르는 이야기임.핵심 요약CVE-2026-34910은 Ubiquiti UniFi OS의 부적절한 입력 검증 결함으로, 신뢰하지 말아야 할 외부 입력을 그대로 처리하는 데서 시작됨.UniFi OS는 네트워크 전체를 통제하는 관리 평면(management plane)이라, 한 곳이 흔들리면 가시성과 제어권이..

수상한 외부 접속은 없었다 — DragonForce가 화상회의 트래픽 속에 C2를 숨긴 수법

2026. 6. 19. 21:31

이미지 출처: The Hacker News침해 사고를 분석하다 보면 방화벽 로그에서 가장 먼저 찾는 게 "이상한 곳으로 나가는 통신"이다. 처음 본 도메인, 평판 나쁜 IP, 새벽에 갑자기 깨어나는 비콘. 그런데 DragonForce가 쓴 이번 수법은 그 직관을 정면으로 비껴간다. 나가는 트래픽의 목적지가 다름 아닌 마이크로소프트 Teams의 정상 중계 서버였기 때문이다. 회사 전원이 매일 쓰는 화상회의 통신과 공격자의 명령제어(C2) 통신이 같은 길 위에서 섞여 흐르고 있었던 셈이다.핵심 요약DragonForce가 Teams의 TURN 중계 인프라를 빌려 C2 트래픽을 정상 화상회의 통신으로 위장함목적지가 합법적인 마이크로소프트 IP라 평판·도메인 차단으로는 거의 걸러지지 않음탐지의 핵심은 "Teams..

지점 수백 개를 다스리는 콘솔이 파일 경로 앞에서 무릎 꿇을 때

2026. 6. 18. 19:01

이미지 출처: CISA KEV기업의 SD-WAN은 본사와 지점, 데이터센터, 클라우드를 한 장의 지도처럼 묶어 관리함. 그 지도의 펜대를 쥔 곳이 바로 Cisco Catalyst SD-WAN Manager(예전 이름 vManage)임. 정책을 뿌리고, 장비 상태를 보고받고, 펌웨어를 밀어넣는 중앙 통제실이라는 뜻임. 그런 통제실이 "이 파일을 읽어줘"라는 요청 한 줄을, 정해진 칸 밖까지 들여다보는 데 써먹힐 수 있다면 이야기가 달라짐. CVE-2026-20262는 정확히 그 지점, 즉 경로(path) 처리의 빈틈을 가리킴.핵심 요약CVE-2026-20262는 Cisco Catalyst SD-WAN Manager(vManage)의 디렉터리/경로 순회(Path Traversal) 결함으로, 의도된 폴더 밖..

데이터센터 스위치가 '같다'고 착각할 때 생기는 일 — Arista EOS CVE-2026-7473

2026. 6. 16. 10:43

이미지 출처: 재시도대형 데이터센터 백본에서 트래픽을 분류하고 걸러내는 핵심 장비 중 하나가 Arista의 스위치, 그리고 그 위에서 도는 EOS(Extensible Operating System)임. 그런데 이 EOS에서 "두 값이 같은지 비교하는 과정"이 일부 요소를 빠뜨린 채 판단을 내려버리는 문제가 보고됨. 식별자는 CVE-2026-7473이고, 분류상 Incomplete Comparison with Missing Factors(불완전한 비교, CWE-1023 계열)에 해당함.핵심 요약Arista EOS가 어떤 값을 검증할 때 비교에 필요한 일부 요소를 누락해, 본래 막아야 할 트래픽·요청을 통과시킬 수 있는 취약점임.핵심 위험은 권한·필터·접근제어가 의도와 다르게 동작하는 "조용한 우회"이며, ..

access 로그 분석 할때 꿀팁

2020. 11. 2. 22:43

access 로그를 분석할때 많은 어려움이 존재한다. 예를 들어 음 .... access 로그를 보면 양이많이 나온다. 그런걸 쉽게 정리하기위해 cat access.log | awk '{print $1, $7}' | sort | uniq -c | sort -rn 을 하게되면 역순으로 많이 들어간것을 찾을수있다. cat access.log | awk '{print $4}' | tr "[" " " 을 하게되면 시간까지 뽑을수있다.

netdiscover tutorial :)

2016. 12. 26. 19:41

netdiscover 같은 경우에는 기본적으로 backtrack 5 나 kali 에 있는 network tool이다. netdiscover은 active / passive scanner이다. 사용방법을 한번 알아보자 . 기본적으로 netdiscover 만 입력해도 이렇게 뜨는 것을 알수있다. 좀더 구체적으로 사용하기위해 netdiscover -h 를 입력하면 도움말이나오는데 -r 옵션을 이용하여 대역대를 설정해줄수도 있다.

nmap tutorial :)

2016. 12. 17. 20:07

nmap은 network mapper의 줄인말로 네트워크를 검색할 때 매우 좋은 툴이지만 해커에게 강한 무기가 될수 있는 오픈 소스 이다. nmap의 공식 사이트는 www.nmap.org 이며 우분투 같은 경우엔 apt-get install nmap