쌓인 기록에서 찾기
무엇을 찾으세요?
날짜를 몰라도 됩니다. 제목·Key Point·요약·태그를 한꺼번에 뒤집니다.
검색 범위부터 2026년 11월 3일 (화)까지3800건
2건 · "버그바운티"조건 지우기 ×
001▲ 143 · 댓글 68서명 검증 안 한 마이크로소프트 API, 17조 개의 데이터행 노출마이크로소프트 내부 분석 서비스인 Titan이 로그인 토큰의 서명을 검증하지 않아 17조 3,330억 개의 저장된 데이터행에 접근 가능했다.보안 · I Could've Accessed 17T Microsoft Records
Key PointJWT 서명 검증 누락이라는 기초적 실수로 17조 행의 내부 데이터베이스에 접근 가능했던 사례로, 인증 시스템의 서명 확인이 얼마나 중요한지 보여주는 실례입니다.
핵심 요약
- 마이크로소프트 내부 분석 서비스인 Titan이 로그인 토큰의 서명을 검증하지 않아 17조 3,330억 개의 저장된 데이터행에 접근 가능했다.
- 16세 보안연구자 Faav가 자신의 AI 해킹봇 Antares의 도움으로 VPN 제한이 있는 API를 발견한 후, 10일간 JWT 검증 메커니즘을 분석했다.
- 공개 Swagger 파일을 통해 /v2/Query 엔드포인트를 찾았는데, 이 엔드포인트는 Azure AD 인증 없이도 원본 SQL을 실행할 수 있었다.
전체 요약 12문장 읽기 →보안 · Hacking OpenAI
Key Point이미지 처리 라이브러리 libheif의 취약점이 OpenAI 같은 주요 서비스에서 직원 계정 탈취까지 이어지는 과정을 보여주며, HEIF 이미지를 지원하는 수많은 웹 서비스가 같은 위험에 노출돼 있을 수 있다.
핵심 요약
- Hacktron AI 팀이 OpenAI 포럼의 libheif 힙 버퍼 오버플로우 취약점과 OpenAI의 SSO 설정 결함을 연쇄 이용해 직원 계정을 탈취했다.
- Discourse 포럼이 ImageMagick을 통해 HEIF 이미지를 처리할 때 보안 백포트가 누락된 libheif가 노출돼 원격 코드 실행(RCE)이 가능했다.
- 탈취한 계정으로 OpenAI 내부 저장소에 접근할 수 있었으며, GitHub·Slack·이메일 등 연결된 외부 서비스까지 영향을 받을 수 있었다.
전체 요약 6문장 읽기 →