Polyfill.io: 공급망 취약점 및 익스플로잇

공급망 취약점은 수천 개의 웹사이트에 영향을 미치는 광범위한 인터넷 공격으로 이어질 수 있으므로 공급망 보안은 매우 중요합니다.

### 공급망 보안: 폴리필 공격과 브라우저 익스플로잇
* 🌐 현재 PolyKill로 알려진 폴리필 공격은 널리 사용되는 **polyfill.io 자바스크립트 라이브러리를 손상**시켜 **10만 개 이상의 웹사이트를 표적**으로 삼았습니다.
* 🔗 폴리필은 여러 브라우저에서 일관된 자바스크립트 기능을 보장하기 위해 사용되지만 **Chrome과 같은 최신 브라우저에서는 더 이상 필요하지 않습니다.**
* 🛡 이 공격은 중국 회사가 **polyfill.io 도메인을 인수**하고 브라우저 취약점을 악용할 수 있는 **난독화된 코드를 삽입**하는 방식으로 이루어졌습니다.
* 💻 브라우저 익스플로잇은 **Chrome과 Node.js에서 자바스크립트 코드를 해석하고 실행하는 V8 엔진의 취약점**을 노리는 방식으로 이루어집니다.
* 🔒 이와 같은 공급망 공격은 광범위한 침해를 방지하기 위해 **타사 코드 및 CDN 소스를 검증**하는 것이 중요하다는 점을 강조합니다.
* 🔍 PolyKill의 난독화된 코드는 **브라우저 샌드박스를 우회하여 사용자 컴퓨터에서 임의의 코드를 실행**할 수 있도록 설계되었습니다.
* 🌐 이 사건은 널리 사용되는 오픈 소스 라이브러리의 보안과 공급망 공격이 인터넷 보안에 미칠 수 있는 **잠재적 영향**에 대한 우려를 불러일으킵니다.
* 🛠 PolyKill 공격과 브라우저 보안 및 공급망 무결성에 미치는 영향을 완전히 이해하려면 **지속적인 분석**이 필요합니다.

malicious javascript injected into 100,000 websites

Teaching you 🧠 about the lowest level


Low Level Learning

공급망 보안은 종종 간과되지만, 폴리필 공급망 공격은 10만 개가 넘는 웹사이트에 영향을 미쳤습니다.

폴리킬이라고도 알려진 이 공격은 널리 사용되는 JavaScript 라이브러리를 표적으로 삼아 광범위한 취약점을 야기했습니다.

이 공격은 공급망 취약성이 인터넷에 미치는 중대한 영향과 소프트웨어 보안을 보장하기 위한 지속적인 과제를 강조했습니다.

io 인수와 의심스러운 자바스크립트 코드

한 중국 기업이 여러 브라우저에서 일관된 기능을 보장하기 위한 자바스크립트 라이브러리인 Polyfill.

이 라이브러리에는 사용자의 브라우저에 가짜 Google 애널리틱스 스크립트를 효과적으로 삽입하는 난독화된 코드가 포함되어 있는 것으로 밝혀졌습니다.

이 의심스러운 코드의 목적과 잠재적인 영향은 여전히 추측과 지속적인 리버스 엔지니어링 노력의 대상입니다.

자바스크립트 실행 및 잠재적 익스플로잇에서 V8 엔진의 역할

C++로 작성된 V8 엔진은 Chrome 및 Node.

js와 같은 브라우저에서 JavaScript 코드를 해석하고 실행하는 데 사용됩니다.

C++ 기반이기 때문에 호스트 컴퓨터에서 코드를 실행하기 위해 JavaScript를 통해 악용될 수 있는 메모리 손상 취약점에 취약할 수 있습니다.

io를 인수하면서 악의적인 캠페인에 대한 우려가 제기되었는데, 이는 악용된 JavaScript를 수많은 웹사이트 사용자에게 제공하여 대량 악용을 초래할 수 있기 때문입니다.

새로운 회사가 취한 조치와 흔적을 감추려는 시도는 단순한 우발적 해킹이 아닌 고의적이고 잠재적으로 악의적인 노력임을 나타냅니다.

io의 클라우드플레어 이름 무단 사용

io는 허가 없이 웹사이트에 Cloudflare의 이름을 허위로 사용한 혐의로 고발당했습니다.

Cloudflare는 이 허위 문구의 삭제를 요청했지만 Polyfill.

io는 Cloudflare의 비난에 대한 보복으로 자체 CDN을 개발할 계획을 발표했습니다.

io가 악성 JavaScript를 호스팅한다는 비난을 받고 소셜 미디어에서 반발에 직면하는 등 논란을 불러일으켰습니다.

오픈 ECSC에서 V8 활용하기: 깃발 뺏기 모험

Reban 01은 Open ECSC의 깃발 뺏기 챌린지 도중 Chrome CVE를 악용하여 JavaScript array.

exor 구현의 메모리 손상 취약점을 발견한 흥미로운 글을 공유했습니다.

이 글은 공급망 보안의 우려스러운 환경을 강조하며 SolarWinds 공격, XZ 백도어, JavaScript CDN에 코드 삽입을 언급하며 오픈 소스 및 타사 코드 사용의 미래에 대한 중요한 질문을 제기합니다.

이 주제가 흥미로웠다면 Reban 01에서 XZ 백도어에 대한 다른 동영상을 확인해 보시기 바랍니다.