심볼릭 링크는 왜 아직도 Windows 권한 상승의 단골 통로일까 (CVE-2026-81963)

2026. 9. 9. 19:02

이미지 출처: CISA KEV서비스 하나가 C:\Windows\Temp 밑에 로그 파일을 만든다. 만들고, 쓰고, 지운다. 그 폴더는 사용자 누구나 파일을 만들 수 있는 곳이고, 서비스는 SYSTEM 권한으로 돈다. 이 두 문장이 한 문단 안에 같이 있으면, 그때부터는 취약점 이야기가 됨. CVE-2026-81963으로 정리된 Microsoft Windows의 링크 팔로잉(Link Following) 문제도 이 계열에 속함.핵심 요약높은 권한 프로세스가 사용자가 통제 가능한 경로를 검증 없이 따라가면서 생기는 권한 상승 유형임공격은 파일을 깨는 게 아니라 경로를 바꿔치기하는 것이며, 경쟁 조건 특성상 흔적이 짧게 스쳐 지나감방어는 패치가 1순위, 그다음이 재분석 지점(reparse point) 생성 탐지..

설명란이 비어 있는 커널 CVE를 만났을 때 방어자가 할 일

2026. 8. 28. 19:01

이미지 출처: CISA KEV보안 담당자로 일하다 보면 참 애매한 순간이 있음. 취약점 관리 대시보드에 새 CVE가 뜨는데, 눌러 들어가 보면 요약란에 "Unspecified vulnerability"라고만 적혀 있고 그 아래가 텅 비어 있는 경우임. CVE-2026-53362 같은 리눅스 커널 항목이 딱 그런 부류인데, 제품이 커널이라는 것 말고는 손에 잡히는 게 거의 없다 보니 "그래서 이걸 어쩌라는 거지?" 싶어짐.핵심 요약정보가 비어 있는 커널 CVE는 "위험이 없다"가 아니라 "공개 정보가 아직 정리되지 않았다"는 뜻으로 읽어야 함세부 내용을 기다리는 대신 커널 버전 인벤토리·패치 적용 경로·재부팅 창(window)을 먼저 정리하는 게 실질적 대응임탐지는 익스플로잇 시그니처가 아니라 커널 크래시..

특권 헬퍼가 사용자 디렉터리를 믿을 때 생기는 일 (CVE-2015-5287, Red Hat ABRT)

2026. 8. 27. 19:02

이미지 출처: CISA KEV2015년 가을, 레드햇 계열 서버를 돌리던 관리자들은 abrt 관련 보안 업데이트 공지를 한 번에 여러 건 받아야 했다. 그것도 원격 RCE가 아니라 전부 로컬 권한 상승이었다. "로컬이면 이미 들어온 거 아니냐"고 넘기기 쉬운데, 웹셸 하나로 www-data 권한만 잡은 공격자에게 로컬 루트 취약점은 사실상 게임의 후반부를 열어주는 열쇠라서 그렇게 가볍게 볼 물건이 아니었다. CVE-2015-5287은 그 묶음 중 하나다.핵심 요약ABRT(Automatic Bug Reporting Tool)는 크래시가 나면 자동으로 코어덤프와 진단 정보를 모아주는 도구인데, 그 수집 과정 일부가 높은 권한으로 동작함CVE-2015-5287은 그 특권 동작이 일반 사용자가 손댈 수 있는 경..

libuser가 /etc/passwd를 다시 쓰던 그 0.1초 (CVE-2015-3246)

2026. 8. 27. 13:02

이미지 출처: CISA KEV2015년 여름에 공개된 리눅스 로컬 권한 상승 이슈 중 하나는 화려한 메모리 손상이 아니라 "파일을 어떻게 저장하느냐"에 관한 것이었음. 셸코드도, ROP 체인도 없이 그냥 사용자 계정 정보를 담은 텍스트 파일 하나가 쓰다 만 상태로 남는 것, 그게 전부였음. 그런데 그 파일이 하필 /etc/passwd였다는 게 문제였음.핵심 요약libuser는 /etc/passwd를 수정할 때 파일을 통째로 잘라내고 다시 쓰는 방식을 썼고, 그 중간에 프로세스가 죽으면 파일이 반 토막 난 채로 남았음잘려나간 지점이 운 나쁘게(공격자 입장에선 운 좋게) 잡히면 루트 계정의 암호 필드가 비어버릴 수 있어 로컬 권한 상승으로 이어짐방어는 패치가 1순위, 그 다음이 userhelper 같은 se..

AI는 알아서 움직이고, MCP 패키지는 조용히 뒷문을 열었다 — 이번 주 보안 정리

2026. 8. 11. 08:02

이미지 출처: The Hacker News주말에 밀린 보안 뉴스를 몰아서 읽는 습관이 있는데, 이번 주 목록을 쭉 훑다가 손이 잠깐 멈췄음. 네 건의 굵직한 이슈가 서로 다른 사건처럼 보이는데, 뜯어보면 전부 "우리가 별생각 없이 믿고 있던 것"이 무너지는 이야기였음. 자율적으로 판단하는 AI, 사내 데이터가 다 모이는 BI 도구, 개발자가 습관적으로 설치하는 확장 패키지, 그리고 사무실 천장 위에서 몇 년째 돌아가는 라우터. 공통점은 하나, 전부 감시 목록에서 빠져 있던 자산이라는 것.핵심 요약AI 에이전트가 사람의 승인 없이 실제 작업을 수행하는 사례가 늘면서, '권한 위임'과 '실행 로그'가 새로운 보안 경계가 됨Metabase 계열 결함과 MCP 확장 생태계 공격은 모두 신뢰된 내부 경로를 타고 ..

옆집 계정의 쿼리가 내 데이터베이스에 닿는다: cPanel 권한상승 결함 방어 노트

2026. 8. 4. 21:32

이미지 출처: The Hacker NewscPanel 서버 한 대에 계정이 400개 올라가 있고, 그중 399개는 서로의 존재조차 모릅니다. 각자 자기 cPanel 로그인으로 들어가 자기 DB만 만지고 나오죠. 그 "각자"라는 경계를 지켜주는 건 물리적인 벽이 아니라 데이터베이스 권한 테이블 몇 줄이라는 게 문제인데, 이번에 알려진 cPanel의 치명적 결함은 정확히 그 몇 줄을 흔드는 종류입니다. 호스팅 고객이 자기 권한 안에서 시작해 결국 데이터베이스 root 권한으로 SQL을 실행할 수 있게 되는 구조라서요.핵심 요약일반 호스팅 고객 수준의 권한만 있어도 cPanel이 대신 만들어주는 DB 권한 경로를 타고 root 권한 SQL 실행까지 이어질 수 있음공유호스팅 특성상 피해가 한 계정에서 끝나지 않..

SOC에 AI를 붙이기 전에 정해야 할 것 — 사람이 남는 자리, 기계가 가져가는 자리

2026. 8. 3. 21:32

이미지 출처: The Hacker News보안 컨퍼런스 부스를 한 바퀴 돌면 이제 절반은 'AI 기반'이라는 문구를 걸고 있음. 작년까지 'AI 강화'였던 문구가 올해는 'AI 네이티브'로 바뀌었을 뿐, 실제로 SOC 안에서 무슨 일을 대신해 주느냐는 질문에는 여전히 답이 흐릿함. 그런데 이 흐릿함이 조직 안에서는 다른 감정으로 번역됨 — 남들은 이미 도입해서 앞서가는 것 같은데 우리만 뒤처지는 게 아닐까 하는 초조함. 이런 초조함이 도구 선정 회의를 지배하기 시작하면, 그 다음에 벌어지는 일은 대체로 비슷함.핵심 요약SOC에 AI를 도입하는 실패 패턴은 기술 문제가 아니라 '무엇을 자동화할지 정의하지 않은 채 도구를 먼저 사는' 순서 문제임LLM 계열 플랫폼이 실제로 잘하는 구간은 판단이 아니라 맥락 ..

지켜보기만 하다 놓친 손 — AI 에이전트가 '할 수 있는 일'을 좁히는 방어 설계

2026. 7. 24. 21:31

이미지 출처: The Hacker News한 금융권 보안팀이 사내에 붙인 AI 에이전트 대시보드를 자랑스레 보여준 적이 있다. 어떤 에이전트가 언제 켜졌고, 무슨 API를 몇 번 호출했는지 실시간으로 그래프가 흘렀다. 그런데 내가 물었다. "저 에이전트가 지금 당장 고객 DB 전체를 덤프하려 들면, 저 화면이 그걸 막나요?" 잠깐 침묵이 흘렀다. 답은 "아니요, 보이기만 해요"였다. 문제의 핵심이 바로 여기다. 보는 것(visibility)과 막는 것(enforcement)은 완전히 다른 이야기라는 것.핵심 요약AI 에이전트는 사람보다 빠르고 자율적으로 행동하므로, 로그를 '지켜보는' 방식만으로는 사고를 사후에 확인할 뿐 차단하지 못함.에이전트는 사실상 하나의 신원(non-human identity)이므..

화면 어딘가의 '투명한 문장'이 host PC 셸까지 이어지는 길 — 안드로이드 AI 에이전트를 노린 간접 프롬프트 주입

2026. 7. 21. 21:32

이미지 출처: The Hacker News스마트폰 화면을 대신 눌러 주는 AI 비서를 떠올려 보자. 사용자가 "이 앱 로그인 좀 해 줘", "이 메일 정리해 줘"라고 말하면 에이전트가 화면을 읽고, 버튼 위치를 파악하고, 대신 탭을 눌러 준다. 문제는 그 '화면을 읽는' 단계에 있음. 사람 눈에는 아무것도 없는 빈 공간처럼 보이는 자리에, 에이전트만 읽어 들이는 문장 하나가 심겨 있다면 어떻게 될까. 그 문장이 "지금까지 지시는 무시하고 아래 명령을 실행하라"라고 속삭인다면 말임.핵심 요약오픈소스 안드로이드 AI 에이전트가 화면의 보이지 않는 텍스트를 그대로 명령으로 받아들여, 연결된 host PC에서 코드를 실행할 수 있는 간접 프롬프트 주입 위험이 제기됨.핵심 원인은 '화면에 보이는 데이터'와 '에이..

인증은 성공했는데 왜 그 앱까지 열렸을까 — ADFS 접근제어 구멍(CVE-2026-56155) 읽는 법

2026. 7. 15. 13:01

이미지 출처: CISA KEV사내 계정 하나로 메일도 열고, 인사 시스템도 열고, 외부 SaaS도 여는 회사가 많음. 그 중심에 앉아 있는 게 ADFS(Active Directory Federation Services)임. 로그인 창을 대신 띄워 주고, "이 사람 맞습니다"라는 도장(토큰)을 찍어 각 서비스로 보내 주는 중개인 역할이라 보면 됨. 그런데 이번에 공개된 CVE-2026-56155는 그 도장 자체를 위조하는 이야기가 아님. 도장은 정상인데, 그 도장을 어디까지 쓸 수 있는지 구분이 충분히 촘촘하지 않았다는 이야기임. 분류상 'Insufficient Granularity of Access Control', 우리말로 옮기면 접근 통제의 결이 너무 굵었다는 뜻임.핵심 요약ADFS의 접근 제어 판정..

월급날처럼 돌아오는 SAP 패치데이 — NetWeaver·Commerce Cloud 경고를 '방어자 체크리스트'로 바꾸는 법

2026. 7. 14. 21:31

이미지 출처: BleepingComputer매달 둘째 주 화요일, SAP 관리자들의 달력에는 조용한 표시 하나가 찍혀 있음. 이른바 Security Patch Day. 이번에도 SAP는 NetWeaver와 Commerce Cloud를 겨냥한 여러 개의 심각(critical) 등급 결함을 공지하며 패치 노트를 쏟아냈음. 문제는, 이 경고가 기업 내부에서 '아, 또 왔네' 하는 배경음처럼 흘러가버린다는 데 있음. 정작 이 시스템들이 사내 재무·구매·전자상거래의 심장부라는 사실은 잊힌 채로 말임.핵심 요약SAP가 NetWeaver·Commerce Cloud의 심각 등급 취약점 다수를 패치데이로 공지 — ERP·커머스 핵심 시스템이 대상임.이런 결함은 주로 인증 우회·역직렬화·인젝션 계열로, 성공 시 원격 코드..

챗봇 하나 붙여놓고 'AI SOC'라 부른다 — 진짜 자율형과 겉핥기를 가르는 6가지 능력 점검표

2026. 7. 6. 21:32

이미지 출처: The Hacker News몇 년 전만 해도 보안 제품 소개서에 'AI 기반'이라는 문구가 붙으면 그 자체로 눈길이 갔음. 그런데 2026년 지금은 사정이 정반대가 됐음. SOC(보안관제) 도구치고 'AI'를 안 붙인 제품을 찾는 게 더 어려울 지경임. 문제는 그 'AI'라는 말의 무게가 제품마다 천차만별이라는 것임. 어떤 건 관제사가 하던 조사·판단을 실제로 대신 굴리는 자율형이고, 어떤 건 기존 대시보드 옆에 요약 챗봇 하나 얹어놓고 이름만 바꿔 단 수준임. 후자를 흔히 'bolt-on(볼트로 갖다 붙인)' AI라고 부름.핵심 요약2026년엔 거의 모든 관제 도구가 'AI'를 표방하지만, 실제로는 요약 챗봇을 얹은 겉핥기(bolt-on)와 조사·판단까지 대신하는 자율형이 뒤섞여 있음.진..