공대생의 이것저것☀︎

거실에 연결해 둔 안드로이드 TV 박스가 밤새 다른 사람의 인터넷 통로로 쓰였다면 어떨까. 넷플릭스나 유튜브를 볼 때는 아무 이상이 없으니 알아챌 방법도 거의 없다. 구글이 11월 2일 이런 기기 130만 대 이상을 묶은 봇넷을 끊었다고 발표했다. 이름은 XCPE다. 이번 건이 이전의 TV 박스 봇넷과 다른 점은 백도어를 넣은 주체다. 구글은 박스를 만든 중국 선전의 제조사 Videostrong이 펌웨어에 일부러 백도어를 심고, 그 접근 권한을 범죄 조직에 팔았다고 판단했다. 이 글은 구글과 협력 보안업체들이 공개한 내용, 앞서 나온 Vo1d·Kimwolf 봇넷과의 차이, 집과 회사에서 확인할 것을 정리했다. 구글이 11월 2일 발표한 내용구글 위협 인텔리전스 그룹(GTIG)은 XCPE 백도어를 운영한..

리눅스 커널의 IPv4 TCP 처리 코드에서 CVSS 9.8짜리 취약점이 나왔다. 번호는 CVE-2026-98432이고, 2015년 코드 변경 때 생긴 문제라 커널 4.4 이후 버전이 모두 영향을 받는다. 인터넷에 열린 리눅스 서버라면 웹 서버든 API 서버든 일단 해당 여부를 따져 봐야 하는 범위다. 이번 건이 주목받은 이유는 공격 시연 때문이다. AI 회사 Anthropic이 10월 27일 연구 글에서 이 버그로 원격 루트 권한을 얻는 과정을 공개했다. 로그인도, 사용자 클릭도 필요 없었다. 이 글은 무엇이 문제인지, 내 서버가 해당되는지, 패치가 안 나온 배포판은 어떻게 버틸지를 정리했다. 연결 요청 하나를 두 CPU가 동시에 만질 때TCP 연결은 클라이언트가 SYN을 보내고 서버가 SYN-ACK..

10월 마지막 주에 여행 관련 회사 두 곳이 연달아 유출 공지를 올렸다. 여행 플랫폼 마이리얼트립은 일부 이용자의 여권번호와 여권 만료일까지 나갔다고 밝혔다. 같은 주 진에어는 회원정보 조회 API가 공격받아 1,454명의 정보가 유출됐다고 공지했다. 비밀번호는 바꾸면 되고 카드는 재발급하면 된다. 여권번호는 여권을 새로 만들기 전까지 바꿀 수 없다. 그래서 "여권을 다시 만들어야 하나"라는 질문이 가장 많이 나온다. 이 글은 두 사건에서 확인된 사실과, 여권번호가 실제로 어디에 쓰이고 어디까지 위험한지를 정리했다. 두 회사가 밝힌 내용마이리얼트립은 10월 25일께 외부의 비정상 접근을 확인하고 28일 홈페이지에 공지했다. 유출 항목은 이름, 이메일, 휴대폰 번호, 생년월일, 성별, 암호화된 비밀번호다..

10월 29일 아침, 커뮤니티에 비슷한 글이 몇 개 올라왔다. G마켓 보관함에 넣어 둔 온라인 문화상품권이 새벽에 이미 등록·사용 처리돼 있었다는 내용이다. 글쓴이들은 그날 G마켓에 접속한 기록조차 없었다고 했다. 이런 일이 생기면 보통 비밀번호 도용부터 의심한다. 다른 사이트에서 새어 나간 아이디·비밀번호로 로그인했을 것이라는 추측이다. 그런데 G마켓이 11월 1일 낸 설명은 달랐다. 로그인 비밀번호는 유출되지 않았고, 외부 서비스의 API 취약점을 통해 들어왔다는 것이다. 이 글은 G마켓 사고에서 지금까지 확인된 것과, 같은 주에 연달아 터진 모바일 상품권 사고 두 건을 함께 정리했다. 지금까지 알려진 것날짜내용10월 28~29일일부 고객의 e쿠폰 핀번호를 제3자가 무단 등록·사용10월 30일G마켓..

애플 첫 폴더블폰 아이폰 듀오가 출시 일주일 만에 화면 문제로 시끄럽다. 접었다 펴기만 했는데 안쪽 화면이 갈라지거나 흰 줄이 생겼다는 글이 레딧에 올라오기 시작했고, 해외 매체와 사용자들은 이 논란을 '크랙게이트'라고 부른다. 애플은 문제를 인정하고 교체해 주겠다고 했다. 다만 원인은 아직 밝히지 않았다. 지금까지 확인된 사실과 국내 구매자가 알아둘 교체 조건을 정리한다. 어떤 증상인가이미지 출처: Apple Newsroom 아이폰 듀오는 10월 16일 사전예약을 받았고, 23일 한국과 미국, 중국 등에서 출시됐다. 펼치면 19.3cm, 접으면 13.6cm 화면이다. 국내 출고가는 256GB가 329만 원이고 2TB는 509만 원으로, 아이폰 가운데 가장 비싸다. 통신사 사전예약 물량은 1분 만에 ..