Pixel 10을 겨냥한 ‘0-클릭’ 익스플로잇 체인: 문이 닫히면 창문이 열린다
우리는 최근 구글 픽셀 9에 대한 익스플로잇 체인을 공개했는데, 이를 통해 단 두 번의 익스플로잇만으로 안드로이드 환경에서 제로클릭 컨텍스트에서 루트 권한을 획득할 수 있음을 입증했습…
최신 보안 뉴스 (3,239건)
리눅스 커널 취약점 copy.fail - CVE-2026-31431
요약 CVE-2026-31431
CAPWAP 데몬의 범위를 벗어난 액세스
요약: FortiOS capwap 데몬에 존재하는 범위를 벗어난 쓰기(Out-Of-Bounds Write) 취약점 [CWE-787]으로 인해, 인증된 FortiAP, FortiExtender 또는 FortiSwitch를 제어하는 공격자가 FortiGat…
내보낸 TokenContentProvider를 통한 OTP 공개
요약: FortiTokenAndroid에서 Android 애플리케이션 구성 요소가 부적절하게 노출[CWE-926]된 경우, 기기에 설치된 다른 애플리케이션이 노출된 콘텐츠 제공자 URI를 통해 OTP 코드를 읽을 수 …
CLI에서의 OS 명령어 주입
요약: FortiAP 및 FortiAP-W2 CLI에 존재하는 OS 명령어 주입 취약점 [CWE-78]으로 인해, 인증된 공격자가 특수하게 조작된 CLI 명령어를 통해 권한이 없는 코드나 명령어를 실행할 수 있습니…
잘못된 전역 권한
FortiGate, FortiAnalyzer
API 엔드포인트에 대한 부적절한 접근 제어
요약: FortiAuthenticator의 부적절한 접근 제어 취약점 [CWE-284]으로 인해, 인증되지 않은 공격자가 특수하게 조작된 요청을 통해 권한이 없는 코드나 명령을 실행할 수 있습니다.
VPN 저장된 비밀번호에 사용된 하드코딩된 암호화 키
요약: FortiClient Windows 버전의 ‘권한 누락 [CWE-862]’ 취약점으로 인해, 인증된 로컬 공격자가 보호되지 않은 DLL 함수를 이용하여 현재 로그인된 사용자의 VPN 비밀번호를 해독할 수 있습…
신호 핸들러 내의 안전하지 않은 함수로 인한 DoS
요약: FortiAnalyzer 및 FortiManager API의 ‘잠재적으로 위험한 함수’ 취약점 [CWE-676]을 악용할 경우, 인증된 공격자가 여러 개의 특수하게 조작된 HTTP 요청을 통해 시스템이 중단되도록 …
CLI에서의 명령어 주입
요약: FortiAP, FortiAP-U 및 FortiAP-W2 CLI에서 OS 명령에 사용되는 특수 요소가 부적절하게 중화되는 취약점("OS 명령 주입") [CWE-78]으로 인해, 인증된 권한을 가진 공격자가 조작된 CLI …
관리자 인터페이스에서 임의의 로그 파일 읽기
요약: FortiDeceptor 웹 UI에서 발생하는 명령어 내 인자 구분자 부적절한 중화('인자 삽입') 취약점 [CWE-88]으로 인해, 최소한 읽기 전용 관리자 권한을 가진 인증된 공격자가 조작된 HTTP …
눈을 크게 뜨고: 스마트 글래스의 보안 및 개인정보 보호 위험을 완화하는 방법
패션을 비롯한 여러 트렌드는 몇 년에 한 번씩 다시 등장하는 경향이 있습니다. 따라서 10여 년 전 구글이 스마트 안경을 대중화하려는 시도가 실패로 돌아간 후, 이제 다시 스마트 안경이 유…
2026 RSAC 참관기: 새로운 보안 시대의 개막
Introduction 올해 RSA Conference(이하 RSAC) 2026은 보안 환경이 단순한 인공지능(AI) 보조의 시대를 넘어 스스로 가설을 세우고 행동하는 'Agentic AI(에이전틱 AI)'의 시대로 진입했음을 …
비밀번호 문제를 해결하는 건 123456만큼이나 쉽습니다.
전 세계에서 가장 많이 사용되는 비밀번호는 여러분이 생각하시는 그대로, 바로 ‘123456’입니다. 이는 전 세계 데이터 유출 사고로 노출된 비밀번호에 대한 NordPass의 최신 연례 보고서에 따…
「AI 기반 사이버공격 대비 기업 대응 요령 및 CEO 행동 수칙 」안내 등록일 조회수 30133 첨부파일 붙임1. AI 기반 사이버공격 대비 기업 대응 요령.pdf 붙임2. AI 기반 사이버공격 대비를 위한 CEO 행동 수칙.pdf TLP등급 TLP:CLEAR
최근 클로드 미토스(Claude Mythos) 등 보안 특화 AI 에이전트의 출현 등으로 기업의 보안 환경이 급격한 변화를 맞이하고 있습니다. 이에 과학기술정보통신부와 한국인터넷진흥원은 우리 기업…
GopherWhisper: 악성코드로 가득 찬 굴
ESET 연구진은 ‘GopherWhisper’라고 명명한, 이전에 보고된 바 없는 중국계 APT 그룹을 발견했습니다. 이 그룹은 주로 Go 언어로 작성된 다양한 도구를 활용하며, 인젝터와 로더를 사용하여 보…
‘Bissa Scanner’ 실체 규명: AI를 활용한 대규모 악용 및 인증 정보 수집
주요 내용 - 최근 다수의 피해자를 대상으로 한 공격, 공격 준비, 검토 및 검증에 사용된 노출된 서버를 발견했습니다.
새로운 NGate 변종이 트로이목마화된 NFC 결제 앱에 숨어 있다
ESET 리서치는 이전에 악용되던 NFCGate 도구 대신 ‘HandyPay’라는 정상적인 안드로이드 애플리케이션을 악용하는 NGate 악성코드 계열의 새로운 변종을 발견했습니다. 공격자들은 NFC 데이터…
그 데이터 유출 경고는 함정일 수도 있습니다
한때는 데이터 유출 통지를 받는 일이 드문 일이었을지 모릅니다. 하지만 데이터 유출 사고가 사상 최대 규모로 발생함에 따라, 이러한 통지는 더 이상 예전만큼 놀라운 일이 아닙니다.
미토스(Mythos) 위협에 대한 FAQ
미토스, 왜 중요한가? 최근 공개된 미토스(Mythos)와 프로젝트 글래스윙(Project Glasswing)은 단순한 AI 신기술 이슈가 아니라 사이버보안의 전제가 바뀌고 있다는 신호로 받아들여지고 있습…