뉴스

npm 인기 패키지 5종을 노린 공급망 공격 시도가 24시간 만에 차단됐다. 공격자의 악성 코드 마지막 줄에 남은 한 줄짜리 한국어 주석이 밈이 되어 개발자 커뮤니티를 달구고 있다.

PyPI 패키지 4.87.x에서 WAV 오디오 파일 내 스테가노그래피 기법으로 크레덴셜 탈취 코드가 은닉된 사건 발생. F5 BIG-IP 취약점은 DoS에서 RCE로 재분류.

npm 레지스트리에서 인기 패키지를 사칭한 500개 이상의 악성 패키지가 일괄 발견되었다.

북한 해커 그룹의 npm 패키지 공급망 공격 발각. typosquatting으로 자격 증명 탈취.

Polyfill.io가 매각 후 악성코드 배포. 10만 개 이상 사이트 영향. 외부 CDN 의존 최소화 필요.

xz/liblzma에서 백도어 발견. 2년간 신뢰를 쌓은 공격자가 심은 공급망 공격으로 오픈소스 보안에 경종.