flawopen.com/보안 사고

보안 사고 분석 및 포스트모템

기념비적인 실제 보안 침해와 자율 AI 에이전트 샌드박스 탈출에 대한 심층 기술 분석 및 프로덕션 강화 방안.

여기에 수록된 모든 사고는 공식적으로 검증된 실제 사건입니다. 벤더 권고문과 CVE 레코드를 기반으로 작성되었습니다.

인젝션 (Injection)

Expression Injection · CWE-917 · CVSS 10.0

Log4Shell: 로그 파일에 문자열을 남기던 기능이 원격 코드 실행이 된 이유

Log4Shell (CVE-2021-44228) 심층 포스트모템: Log4j 2의 JNDI 룩업 기능이 어떻게 단순 로그 문자열을 전 세계 Java 생태계의 원격 코드 실행(RCE)으로 변모시켰는지 분석합니다.

December 2021 · CVE-2021-44228 · Apache Log4j 2 Expression Injection · CWE-917 · 147M records

Equifax: 배포된 지 두 달 된 패치 방치로 1억 4,700만 명의 신용 정보 유출

Equifax 침해 사고 (CVE-2017-5638) 기술 분석: Apache Struts의 Content-Type 헤더 파싱 오류로 인한 OGNL 원격 코드 실행 및 1억 4,700만 명 신용 정보 유출 전말.

2017 · CVE-2017-5638 · Apache Struts 2 SQL Injection · CWE-89 · Mass exploitation

MOVEit Transfer: 단 하나의 SQL 인젝션이 촉발한 수천 개 기업의 연쇄 침해

MOVEit Transfer 침해 사고 (CVE-2023-34362) 기술 분석: 미인증 SQL 인젝션을 통해 LEMURLOOT 웹셸을 심고 전 세계 수천 개 조직의 기밀을 탈취한 기법.

May 2023 · CVE-2023-34362 · Progress MOVEit Transfer SQL Injection · CWE-89 · Vulnerability chain

CVE-2025-1094: 주입 공격을 막으려던 이스케이프 함수가 직접 명령 실행 통로를 열어준 사건

PostgreSQL 취약점 (CVE-2025-1094) 기술 분석: libpq의 PQescapeLiteral() 인코딩 처리 오류가 미 재무부 워크스테이션 침해로 이어진 공격 체인.

2024–2025 · CVE-2025-1094 · PostgreSQL, BeyondTrust

경로 탐색 및 SSRF

Path Traversal · CWE-22 · CVSS 10.0

CVE-2026-85706: 인증되지 않은 단 한 번의 요청으로 GitLab 서버 내 모든 파일을 읽어낸 취약점

GitLab 취약점 (CVE-2026-85706) 기술 분석: 단 한 번의 미인증 HTTP 요청으로 GitLab 셀프 호스팅 인스턴스의 파일시스템 임의 파일을 탈취한 원인.

September 2026 · CVE-2026-85706 · GitLab CE/EE SSRF · CWE-918 · 100M+ records

Capital One: 사소한 SSRF 결함이 클라우드 계정 전체를 장악당하게 만든 과정

Capital One 침해 사고 기술 분석: WAF 서버의 SSRF 취약점을 통해 AWS 인스턴스 메타데이터 서비스(IMDS)에서 임시 IAM 자격증명을 탈취한 공격 흐름.

2019 · AWS EC2 instance metadata · Capital One

메모리 안전성 (C, C++, unsafe Rust)

Out-of-bounds Read · CWE-125 · C

Heartbleed: 단 한 줄의 길이 검사 누락이 인터넷 절반을 마비시키다

Heartbleed (CVE-2014-0160) 기술 분석: OpenSSL의 TLS Heartbeat 구현에서 패킷 길이 검증이 누락되어 요청당 최대 64KB의 서버 힙 메모리가 탈취된 원인을 분석합니다.

2014 · CVE-2014-0160 · OpenSSL Out-of-bounds Read · CWE-125 · C

Citrix Bleed: 단 하나의 함수 반환값 오해가 다중 인증(MFA)을 완벽히 무력화한 전말

Citrix Bleed (CVE-2023-4966) 기술 분석: NetScaler ADC의 snprintf 함수 반환값 오판단으로 인해 인가된 사용자의 세션 토큰이 덤프되어 MFA가 무력화된 메커니즘.

2023 · CVE-2023-4966 · Citrix NetScaler ADC/Gateway Out-of-bounds Write · CWE-787 · C

Baron Samedit: 단 하나의 역슬래시 뒤에 10년 동안 숨겨져 있던 Root 권한

Baron Samedit (CVE-2021-3156) 기술 분석: Sudo의 인자 이스케이프 해제 과정에서 발생한 힙 오버플로우로 인해 10년 만에 드러난 로컬 루트 권한 상승 결함.

2021 · CVE-2021-3156 · sudo Out-of-bounds Write · CWE-787 · unsafe Rust

Rust가 메모리 안전하지 않을 때: unsafe 블록과 smallvec 힙 오버플로우의 진실

Rust smallvec 힙 버퍼 오버플로우 (CVE-2021-25900 / RUSTSEC-2021-0003) 분석: unsafe 블록 내 size_hint() 신뢰가 부른 심각한 사운드니스(Soundness) 위반.

2021 · CVE-2021-25900 · RUSTSEC-2021-0003 · smallvec 풀체인 익스플로잇 · CWE-787 / CWE-122 · 제로데이

BlueMoon 제로데이 풀체인: Chrome V8 및 Windows ALPC

BlueMoon 제로데이 익스플로잇 체인 기술 분석: Chrome V8 버퍼 오버플로와 Windows 커널 ALPC 힙 오버플로를 연계하여 샌드박스를 우회하고 SYSTEM 권한을 탈취한 과정.

2026년 9월 · CVE-2026-87491 · CVE-2026-85880 · BlueMoon 메모리 경계 초과 접근 · CWE-125 / CWE-787 · 모바일 제로데이

ANGLE 범용 제로데이: Chrome, iOS, Android 동시 침해

CVE-2025-14174 기술 분석: Google ANGLE 그래픽 레이어의 버퍼 오버플로 취약점이 Chrome과 iOS Apple WebKit을 동시에 무력화한 메커니즘.

2025년 12월 · CVE-2025-14174 · ANGLE / WebKit / Chrome 부적절한 링크 해석 · CWE-59 · 실제 공격 악용 제로데이

Windows Update 스택 심볼릭 링크 권한 상승 제로데이

CVE-2026-81963 기술 분석: 일반 로컬 사용자가 NTFS 디렉터리 정션을 악용하여 NT AUTHORITY\SYSTEM 권한으로 상승한 Windows Update 제로데이 취약점.

2026년 9월 · CVE-2026-81963 · Windows Update Stack

소프트웨어 공급망 보안

Embedded Malicious Code · CWE-506 · CVSS 10.0

XZ Utils 백도어: 전 세계 Linux 서버를 통째로 넘겨줄 뻔했던 3년간의 공급망 공격

XZ Utils 백도어 (CVE-2024-3094) 심층 분석: 공격자가 오픈소스 메인테이너의 번아웃을 악용해 3년간 신뢰를 쌓은 뒤 liblzma를 통해 sshd 인증을 장악한 과정.

2024 · CVE-2024-3094 · XZ Utils / liblzma Untrustworthy Component · CWE-1357 · Nation-state

SUNBURST: 신뢰받던 빌드 파이프라인 자체가 최악의 취약점이 된 순간

SolarWinds SUNBURST 침해 분석: 소스 코드 저장소를 변경하지 않고 컴파일 과정에서 Orion 핵심 라이브러리에 백도어를 삽입한 공급망 공격 기법.

2020 · SolarWinds Orion · CVE-2020-10148 Embedded Malicious Code · CWE-506 · Self-propagating

Shai-Hulud: 사람의 개입 없이 스스로 새 버전을 빌드하고 배포한 npm 공급망 웜

Shai-Hulud npm 웜 기술 분석: postinstall 라이프사이클 스크립트를 통해 개발자 토큰을 탈취하고 500개 이상의 오픈소스 패키지를 자동 감염·배포한 전말.

September 2025 · npm registry ecosystem

자율 AI 에이전트

Protection Mechanism Failure · CWE-693

엔지니어링 가이드

보안 강화 블루프린트

AI 에이전트 보안 청사진: 샌드박싱, 도구 제어 및 아웃바운드 트래픽 통제

단계별 구현 가이드: 에이전트 실행 환경 격리, 컨테이너 외부 네트워크 통신 차단, 잔여 환경 자격증명 정리 및 인간 참여형 승인 장치 구축.

참고 가이드 · 에이전트 시스템