정보보호 한잔

📌 3줄 요약1. 보안 기업 Armadin이 파일전송(MFT) 솔루션 Cleo Harmony에서 직접 가입한 저권한 계정만으로 전체 관리자 권한과 호스트 명령 실행까지 도달한 공격 체인을 공개했습니다 (2026.09.02).2. 하나로는 사소하거나 닿을 수 없는 결함 4개(SAML 서명 래핑 + 과권한 토큰 + 저장소 혼동 + 내장 Actions)를 엮어 만든 사례로, "조합의 위험"을 보여 줍니다.3. CVE-2026-84114·CVE-2026-84115로 등록됐고 Harmony 5.8.1.11에서 수정됐습니다. 특히 CVE-2026-84115는 익스플로잇이 공개돼 긴급성이 높으니, 가능하면 최신 릴리스까지 즉시 올리는 것이 핵심입니다.🎯 결론부터인터넷에 노출된 MFT 서버에서, 누구나 만들 수 있..

📌 3줄 요약1. 공개 저장소에 올라온 악성 이슈 하나가 AI 에이전트를 조종해, 같은 계정의 비공개 저장소 정보를 공개 PR로 흘려보낸 사례입니다 (Invariant Labs, 2025.05.26).2. MCP 서버 코드의 버그가 아니라 "비공개 데이터 + 외부 입력 + 외부로 쓰기"가 한 에이전트에 모인 구조 문제라, 패치 한 번으로 끝나지 않습니다.3. 지금은 Lockdown 모드·콘텐츠 정화가 생겼지만 "인가 경계가 아니다"라고 공식 문서가 밝히고 있어, 토큰 범위 축소와 읽기 전용 설정이 여전히 핵심입니다.🎯 결론부터GitHub MCP를 쓰는 AI 에이전트가 공개 저장소의 글을 읽을 수 있고, 비공개 저장소에도 접근할 수 있고, 공개 저장소에 글을 쓸 수 있다면 같은 유형의 유출이 언제든 다..

📌 3줄 요약1. webhacklist.com은 2006년부터 이어진 「Top 10 Web Hacking Techniques」의 수상작뿐 아니라 모든 후보작을 연도별로 모아 둔 무료 아카이브예요.2. 원문 블로그가 사라져도 읽을 수 있게 Markdown·PDF 보존본을 함께 제공해서, 오래된 기법도 끝까지 따라가 볼 수 있어요.3. 2026년 연구는 AI가 수집한 예비 목록으로 따로 공개 중이라, 버그헌터가 최신 공격 흐름을 빠르게 훑기에 좋아요(단, 미검증 목록).🎯 webhacklist가 뭔가요?웹 보안 커뮤니티는 매년 그해 가장 참신한 웹 해킹 연구를 후보로 올리고, 투표와 전문가 심사를 거쳐 Top 10을 뽑아요. 이 목록은 Jeremiah Grossman이 시작했고, 2016년부터는 Burp..