보안
New ASLR-busting JavaScript is about to make drive-by exploits much nastier
ASLR(Address Space Layout Randomization)이라 불리는 시스템 보호장치를 손쉽게 망가뜨릴 수 있는 JavaScript를 이용한 새로운 공격 방식에 대한 소식.. CPU에 기본적으로 사용되고 있는 메모리 캐시를 통한 하드웨어 자체의 결함을 이용한 사이드 채널 공격 방식인데 ASLR Cache 혹은 AnC라고 불린다고. 현재 영향 받는 CPU 리스트는 링크를 참조할 수 있음.
New MacOS ransomware spotted in the wild
OSX/Filecoder.E 라고 불리는 Swift로 작성된 랜섬웨어 소식.. 토렌트를 통해 전파되며 상용툴의 크랙으로 위장하고 있다고.. 비용을 지불해도 복구 불가능하니 주의하라는 이야기가..
Java and Python FTP Attacks Can Punch Holes Through Firewalls
Java와 Python의 FTP 구현체의 버그에 대한 소식.. 문제가 되는 점은 CRLF 값을 필터링 하지 않아서 전혀 엉뚱한 커맨드를 실행할 수 있도록해서 외부에 포트를 열어줄 수 있는 문제가 있다고.. 방화벽에서 클래식 모드 FTP 변환을 허용하지 않도록 하면 임시로 막을 수는 있다고..
Google Has Demonstrated a Successful Practical Attack Against SHA-1
구글의 SHA-1 해시값 충돌 공격에 대한 시연 소식.. 서로다른 PDF파일이 같은 SHA-1 해시값을 갖는… MD5와 함께 역사의 뒤안길로 사라지는 SHA-1의 관짝에 못을;
Apache Subversion Fails SHA-1 Collision Test, Exploit Moves Into The Wild
WebKit의 git-svn 미러 사이트에 SHA-1 해시값 충돌 공격을 성공해 저장소를 망가뜨린 사례가 나왔다고.. SVN은 SHA-1 해시값을 이용해 커밋들을 구별하는데 서로 다른 파일에 같은 해시값이 들어와서 충돌이.. 임시로 이 문제를 막기위한 스크립트에 대한 정보가 있는 글 링크
Massive Bug May Have Leaked User Data From Millions of Sites. So … Change Your Passwords
현재는 패치된 상태이지만 Cloudflare의 시스템상 버그로 인해 고객의 민감한 정보가 무작위로 유출 되었을 가능성이 있다는 소식.. 작년 9월 22일부터 유출 되었을 가능성이 있고 고객들 중에 꽤 유명한 업체들도 포함되어 있으며 주기적인 패스워드 변경과 2단계 인증등을 생활화 하라는 이야기가…
