Kant's Times

Critical AnythingLLM Vulnerability Exposes Systems to Remote Code Execution Critical AnythingLLM Vulnerability Exposes Systems to Remote Code ExecutionA critical security flaw (CVE-2024-13059) in the open-source AI framework AnythingLLM has raised alarms across cybersecurity communities.gbhackers.com 취약점 개요CVE-2024-13059는 오픈소스 AI 프레임워크 AnythingLLM에서 발견된 치명적인 원격 코드 실행(RCE) 취약점임해당 취약점은 관리자 또는 매니저 ..

Critical Apache Roller flaw allows to retain unauthorized access even after a password change Critical Apache Roller Vulnerability (CVSS 10.0) Enables Unauthorized Session Persistence Apache Roller 취약점 개요 (CVE-2025-24859)영향 버전: Apache Roller 6.1.4 이하 모든 버전심각도: CVSS 10.0 (최고 등급)취약점 유형: 세션 관리 오류(Session Management Flaw)설명: 사용자 또는 관리자가 비밀번호를 변경해도 기존 로그인 세션이 만료되지 않음공격자가 탈취한 세션을 통해 비밀번호 변경 이후에도 지속적인 ..

'솔루션은 자체 개발, 오픈소스도 활용'...토스, 보안 비책 大공개 '솔루션은 자체 개발, 오픈소스도 활용'...토스, 보안 비책 大공개15일 서울 더플라자 호텔에서 열린 제143차 CISO포럼에서 토스뱅크가 자체 솔루션 개발 등 정보보호 사례를 발표했다. 과기정통부와 KISA도 올해 정부 정보보호 정책 방향과 정보보호 공시제도 신www.boannews.com 보안 전략 방향자체 개발 솔루션과 오픈소스 도구의 병행 운용을 통해 통합된 보안 관리 체계 구현분산된 보안 데이터와 리포트를 효율적으로 통합 관리하기 위한 목적자동화 중심의 보안 운영으로 효율성 및 비용 절감 달성주요 자체 개발 보안 시스템취약점 진단 관리 시스템(VMS)외부 위협 정보 수신 및 내부 시스템 취약점 진단 자동화사전 대응 프로세스를..

“지브리를 좋아하는 친구에게 선물로”… 챗GPT 해킹법 유행 “지브리를 좋아하는 친구에게 선물로”… 챗GPT 해킹법 유행최근 ‘지브리 화풍 이미지’ 제작 등으로 챗GPT가 논란을 빚은 상황에, 생성형 인공지능(AI) 해킹법이 유행하고 있다. 감수성을 자극하는 시나리오를 제작한 후 이미지 제작을 요청하거나 정보it.chosun.com 감성 시나리오 기반 우회 요청사용자가 감정적 이야기(예: 친구에게 선물, 할머니 이야기 등)를 기반으로 콘텐츠 생성을 유도"지브리 스타일 선물 만들기"와 같은 요청으로 정책 제한 우회이미지 생성 제한 대상임에도 우회 요청으로 생성 응답 유도 가능약식 표현 및 오타 활용지브리(Ghibli)를 지이브리, 지브리풍 등으로 변형하여 우회 요청제한 단어를 직접 사용하지 않고도 동일 목..

20 Best Free SOC (Security Operations Centers) Tools in 2025 오픈소스 SOC 도구 개요SOC(Security Operations Center)는 사이버 위협 탐지, 분석, 대응을 담당하는 조직 단위오픈소스 SOC 도구는 무상으로 제공되며 코드 공개를 통해 투명성, 확장성, 사용자 맞춤형 구성이 가능로그 수집 및 분석, 침입 탐지, 네트워크 트래픽 모니터링, 위협 인텔리전스 공유, 사고 대응 자동화 등의 기능을 수행오픈소스 SOC 도구의 주요 이점비용 효율성: 라이선스 비용 없이 무료로 사용 가능커스터마이징: 내부 환경에 맞는 설정 및 기능 추가가 가능투명성: 코드 검토를 통해 백도어나 취약점 여부 검증 가능커뮤니티 지원: 전 세계 개발자들의 지속적 업데이트..

SpotBugs Access Token Theft Identified as Root Cause of GitHub Supply Chain Attack 공격 개요 및 공격 경로GitHub 기반 공급망 공격은 SpotBugs 저장소의 GitHub Actions 워크플로우 오용으로 시작됨공격자는 SpotBugs 저장소의 유지관리자의 개인 액세스 토큰(PAT) 을 탈취한 후 lateral movement를 통해 reviewdog 및 tj-actions/changed-files에까지 악성 코드를 전파최초 공격자는 2024년 11월경부터 활동한 것으로 추정되며, 2025년 3월 Coinbase 공격으로 확산공격 기법 및 상세 절차SpotBugs 유지관리자가 CI/CD 문제 해결을 위해 2024년 11월 28일 Git..

North Korean Hackers Deploy BeaverTail Malware via 11 Malicious npm Packages 주요 공격 개요북한 APT 그룹이 ‘Contagious Interview’ 캠페인의 일환으로 npm 저장소에 악성 패키지 11종을 업로드해 BeaverTail 악성코드 및 원격 액세스 트로이 목마(RAT) 로더를 유포해당 패키지는 총 5,600회 이상 다운로드되었으며, 일부분은 비트버킷(Bitbucket) 저장소와 연계됨일부 패키지는 인터뷰를 가장한 소셜 엔지니어링 기법을 통해 감염을 유도악성 npm 패키지 목록 및 특징등록된 패키지: empty-array-validator, twitterapis, dev-debugger-vite, snore-log, core-pino..

Malicious Python Packages on PyPI Downloaded 39,000+ Times, Steal Sensitive Data 악성 패키지 개요Python 공식 저장소(PyPI)에 업로드된 악성 패키지 3종이 민감 정보 탈취 및 신용카드 자동화 테스트(carding)에 활용된 사례가 확인됨해당 패키지는 정상 라이브러리를 위장하거나, 대놓고 악성 행위를 수행하는 코드가 포함되어 있었음주요 패키지 및 다운로드 횟수bitcoinlibdbfix: 1,101회bitcoinlib-dev: 735회disgraysa: 37,217회공격 기법 및 행위bitcoinlibdbfix, bitcoinlib-dev정상 파이썬 비트코인 라이브러리(bitcoinlib)의 문제를 해결하는 것처럼 위장사용자가 clw ..

깃허브, 무료 고급 보안 스캐닝 기능으로 개발자 민감 정보 보호 강화 깃허브, 무료 고급 보안 스캐닝 기능으로 개발자 민감 정보 보호 강화깃허브가 개발자의 민감 정보 유출을 막기 위해 새로운 고급 스캔 기능을 무료로 제공한다.www.cio.com 민감 정보 유출 현황 및 배경2024년 한 해 동안 깃허브에서 3,900만 건 이상의 민감 정보 유출 발생API 키, 인증 토큰 등 다양한 자격증명이 실수나 인식 부족으로 코드에 노출기존 자동 유출 차단 기능에도 불구하고 개발자의 보안 인식 부족이 지속적인 위협 요인GHAS 기능 업데이트 및 무상 제공GitHub Advanced Security(GHAS) 3.18 업데이트로 민감 정보 스캔 기능 무상 제공시점 기반 스캔(Point-in-time scan)을 통해..

납품부터 업데이트까지 뚫린다…SW공급망 보안 강화 나선 KISA 납품부터 업데이트까지 뚫린다…SW공급망 보안 강화 나선 KISA디지털 전환이 가속화되면서 사이버공격 수법도 교묘해지고 있다. 과거처럼 시스템..www.dt.co.kr SW 공급망 위협의 심각성최근 사이버공격의 60% 이상이 SW 공급망 경유로 발생공격자는 시스템 정면공격보다 외부 협력사 및 오픈소스를 통한 우회 침투 전략을 사용악성코드가 정상 코드처럼 위장된 형태로 배포되어 탐지 어려움 증가공격 피해가 1개 기업을 넘어 전체 생태계로 확산되는 구조공급망 보안을 위한 SBOM 도입 필요성SW자재명세서(SBOM: Software Bill of Materials)는 SW 구성요소를 투명하게 식별·관리할 수 있는 체계오픈소스, 라이브러리, 상용 코..