Polyfill.io: 공급망 취약점 및 익스플로잇

공급망 취약점은 수천 개의 웹사이트에 영향을 미치는 광범위한 인터넷 공격으로 이어질 수 있으므로 공급망 보안은 매우 중요합니다.

### 폴리필 공급망 공격의 영향
공급망 보안은 종종 간과되지만, 폴리필 공급망 공격은 10만 개가 넘는 웹사이트에 영향을 미쳤습니다. 폴리킬이라고도 알려진 이 공격은 널리 사용되는 JavaScript 라이브러리를 표적으로 삼아 광범위한 취약점을 야기했습니다. 이 공격은 공급망 취약성이 인터넷에 미치는 중대한 영향과 소프트웨어 보안을 보장하기 위한 지속적인 과제를 강조했습니다.

### 중국 기업의 Polyfill.io 인수와 의심스러운 자바스크립트 코드
한 중국 기업이 여러 브라우저에서 일관된 기능을 보장하기 위한 자바스크립트 라이브러리인 Polyfill.io를 인수했습니다. 이 라이브러리에는 사용자의 브라우저에 가짜 Google 애널리틱스 스크립트를 효과적으로 삽입하는 난독화된 코드가 포함되어 있는 것으로 밝혀졌습니다. 이 의심스러운 코드의 목적과 잠재적인 영향은 여전히 추측과 지속적인 리버스 엔지니어링 노력의 대상입니다.

### 자바스크립트 실행 및 잠재적 익스플로잇에서 V8 엔진의 역할
C++로 작성된 V8 엔진은 Chrome 및 Node.js와 같은 브라우저에서 JavaScript 코드를 해석하고 실행하는 데 사용됩니다. C++ 기반이기 때문에 호스트 컴퓨터에서 코드를 실행하기 위해 JavaScript를 통해 악용될 수 있는 메모리 손상 취약점에 취약할 수 있습니다. 새로운 회사가 polyfill.io를 인수하면서 악의적인 캠페인에 대한 우려가 제기되었는데, 이는 악용된 JavaScript를 수많은 웹사이트 사용자에게 제공하여 대량 악용을 초래할 수 있기 때문입니다. 새로운 회사가 취한 조치와 흔적을 감추려는 시도는 단순한 우발적 해킹이 아닌 고의적이고 잠재적으로 악의적인 노력임을 나타냅니다.

### Polyfill.io의 클라우드플레어 이름 무단 사용
Polyfill.io는 허가 없이 웹사이트에 Cloudflare의 이름을 허위로 사용한 혐의로 고발당했습니다. Cloudflare는 이 허위 문구의 삭제를 요청했지만 Polyfill.io는 이에 응하지 않았습니다. 이에 대해 Polyfill.io는 Cloudflare의 비난에 대한 보복으로 자체 CDN을 개발할 계획을 발표했습니다. 이 상황은 Polyfill.io가 악성 JavaScript를 호스팅한다는 비난을 받고 소셜 미디어에서 반발에 직면하는 등 논란을 불러일으켰습니다.

### 오픈 ECSC에서 V8 활용하기: 깃발 뺏기 모험
Reban 01은 Open ECSC의 깃발 뺏기 챌린지 도중 Chrome CVE를 악용하여 JavaScript array.exor 구현의 메모리 손상 취약점을 발견한 흥미로운 글을 공유했습니다. 이 글은 공급망 보안의 우려스러운 환경을 강조하며 SolarWinds 공격, XZ 백도어, JavaScript CDN에 코드 삽입을 언급하며 오픈 소스 및 타사 코드 사용의 미래에 대한 중요한 질문을 제기합니다. 이 주제가 흥미로웠다면 Reban 01에서 XZ 백도어에 대한 다른 동영상을 확인해 보시기 바랍니다.

### 공급망 보안: 폴리필 공격과 브라우저 익스플로잇
* 🌐 현재 PolyKill로 알려진 폴리필 공격은 널리 사용되는 **polyfill.io 자바스크립트 라이브러리를 손상**시켜 **10만 개 이상의 웹사이트를 표적**으로 삼았습니다.
* 🔗 폴리필은 여러 브라우저에서 일관된 자바스크립트 기능을 보장하기 위해 사용되지만 **Chrome과 같은 최신 브라우저에서는 더 이상 필요하지 않습니다.**
* 🛡 이 공격은 중국 회사가 **polyfill.io 도메인을 인수**하고 브라우저 취약점을 악용할 수 있는 **난독화된 코드를 삽입**하는 방식으로 이루어졌습니다.
* 💻 브라우저 익스플로잇은 **Chrome과 Node.js에서 자바스크립트 코드를 해석하고 실행하는 V8 엔진의 취약점**을 노리는 방식으로 이루어집니다.
* 🔒 이와 같은 공급망 공격은 광범위한 침해를 방지하기 위해 **타사 코드 및 CDN 소스를 검증**하는 것이 중요하다는 점을 강조합니다.
* 🔍 PolyKill의 난독화된 코드는 **브라우저 샌드박스를 우회하여 사용자 컴퓨터에서 임의의 코드를 실행**할 수 있도록 설계되었습니다.
* 🌐 이 사건은 널리 사용되는 오픈 소스 라이브러리의 보안과 공급망 공격이 인터넷 보안에 미칠 수 있는 **잠재적 영향**에 대한 우려를 불러일으킵니다.
* 🛠 PolyKill 공격과 브라우저 보안 및 공급망 무결성에 미치는 영향을 완전히 이해하려면 **지속적인 분석**이 필요합니다.

malicious javascript injected into 100,000 websites

Teaching you 🧠 about the lowest level
