2026년 10월 17일 (토).

핵심 요약

• NIST가 2000년 채택한 ECDSA 타원곡선 암호화 표준의 seed 값 출처가 수십 년간 미스터리였다. NSA가 설명 없이 제시한 이 값들은 보안 커뮤니티에서 의도된 백도어 가능성에 대한 의심을 받아왔다.
• Anthropic의 Claude가 2026년 10월 30분 내에 NIST P-192, P-224, P-256, P-384, P-521의 seed 출처를 규명했다. 해시 알고리즘이 아니라 C 라이브러리의 lrand48 난수생성기를 Unix 타임스탬프로 초기화해 생성한 것이었다.
• prime 곡선의 seed들은 1997년 5월~1998년 4월 사이의 타임스탐프에서 생성됐으며, 각각 특정 iteration 횟수 후 선택됐다. 예를 들어 P-256은 같은 실행에서 1842번째 후보였다.

핵심 요약

• JavaScript에서 괄호를 사용하지 않고 임의의 함수를 실행하는 새로운 방법을 소개합니다.
• Error 객체의 prepareStackTrace 함수를 덮어쓰는 방식으로 작동하며, 이 함수는 Error의 stack 속성에 접근할 때 호출됩니다.
• prepareStackTrace는 Function 생성자와 같은 함수 서명을 가지므로, 두 번째 인자가 유효한 JavaScript 코드면 함수를 생성할 수 있습니다.

핵심 요약

• 홈어시스턴트 사용자가 자신이 명시적으로 동의하지 않은 채로 시스템이 암호를 스캔하고 외부로 전송한다며 개인정보 침해를 제기했다.
• 개발팀은 이 스캔 기능이 수년 전부터 Supervisor에 포함된 기존 기능이며, 최근 업데이트에서 경고창이 표시되기 시작했다고 설명했다.
• 스캔은 'K-anonymity' 기법을 따르며 비밀번호는 로컬에서 SHA-1로 해시되고, 해시의 처음 5글자만 Have I Been Pwned(HIBP) 서비스로 전송된다고 밝혔다.

핵심 요약

• OpenBSD의 공유 메모리 첨부 카운터가 부호 있는 16비트 short로 정의된 것을 악용한 취약점이 37년 전 원래 BSD 소스까지 거슬러 올라간다.
• 프로세스를 반복해서 fork하여 카운터를 32,767을 넘도록 밀어서 음수로 wrap되게 하는 정수 오버플로우를 유발할 수 있다.
• 이를 통해 race condition으로 use-after-free 취약점을 트리거하고, 별도의 커널 out-of-bounds write와 조합하면 로컬 권한 상승이 가능하다.