SECURITY INTEL · DAILY

2026-10-12 일일 보안 인텔리전스

CSSA 2 · CVE 2 · 오염 0

10.0 치명적 · CVE-2026-108576 TOZED X300 IPPingDiagnostics 컴포넌트 명령 인젝션으로 인한 원격 코드…

CSSA 독점 조기 경보 2

CSSA 독점 조기 경보 9.9 치명적

sglang의 인가 로직 결함으로 일반 자격 증명이 관리 작업을 권한 상승하여 실행하고 모델 무결성에 영향을 미침

일반 API 키만 구성되고 관리자 전용 키가 없을 때, 인증 미들웨어는 ADMIN_OPTIONAL 수준 엔드포인트 권한 판정에서 일반 키를 유효한 관리 자격 증명으로 잘못 인식합니다. 공격자는 이 로직 결함을 이용해 일반 키를 포함한 악성 요청을 네트워크로 보내 /update_weights_from_disk 등 민감 엔드포인트에 접근하고, 모델 가중치를 불법 수정하거나 임의 LoRA 어댑터를 로드하거나 성능 분석을 시작해 모델 데이터 무결성과 서비스 가용성을 훼손할 수 있습니다.

컴포넌트

sglang은 Python과 C++ 혼합 구현의 고성능 대규모 언어 모델 추론 서빙 엔진입니다. 메모리 관리와 병렬 처리 최적화를 통해 처리량을 높이며, HTTP 요청 수신, GPU 계산 자원 스케줄링, 모델 가중치 로드 관리를 담당해 저지연·고동시성이 필요한 AI 애플리케이션 배포에 사용됩니다.

유형

Incorrect Authorization (CWE-863)

저장소

github.com/sgl-project/sglang · Star 37023

대응 방안

사용자와 관리자 자격 증명을 엄격히 분리하고, 단일 키 배포에서의 암묵적 권한 상승 로직을 코드에서 제거하며, 모든 관리 작업에 독립적이고 고강도인 인증을 필수화하십시오.

CSSA 독점 조기 경보 9.6 치명적

ProxySQL 입력 검증 결함으로 세션 상태가 유출되어 멀티 테넌트 데이터 격리가 파괴됨

공격자는 경계 앵커가 없는 정규식으로 인한 입력 검증 실패를 이용합니다. 제어 가능한 변수명을 접두사로 하는 비표준 GUC(예: timezone_abbreviations)를 구성해 SET를 실행하면 요청이 파싱 실패 경로로 들어가 호스트 그룹 잠금이나 멀티플렉싱 비활성화가 되지 않고, 세션 변수가 연결 풀에 조용히 남아 다른 클라이언트로 유출되어 세션 간 데이터 혼동과 무결성 훼손을 일으킵니다.

컴포넌트

ProxySQL은 고성능 MySQL 및 PostgreSQL 미들웨어입니다. 연결 풀 관리와 쿼리 라우팅을 핵심으로 세션 재사용을 통해 백엔드 부하를 최적화하며, 고동시성 환경의 자원 스케줄링·로드 밸런싱·장애 조치에 쓰이는 엔터프라이즈급 분산 데이터베이스 인프라에 널리 사용됩니다.

유형

Improper Input Validation (CWE-20)

저장소

github.com/sysown/proxysql · Star 6936

대응 방안

정규식에 엄격한 접미사 또는 단어 경계 검사를 추가해 비제어 변수가 호스트 그룹 잠금을 트리거하도록 수정하십시오. 파싱 실패 시 알 수 없는 변수와 형식 오류를 구분하고, 알 수 없는 변수에는 안전 전달 모드를 강제해 세션 상태의 의도치 않은 공유를 방지하십시오.

CVE 인텔리전스 2

CVE-2026-108576 CVSS 10.0 치명적 2026-10-11

TOZED X300 IPPingDiagnostics 컴포넌트 명령 인젝션으로 인한 원격 코드 실행

TOZED X300 6.01.3 및 이전 버전에서 IPPingDiagnostics Handler 컴포넌트의 process_ping 함수는 Host 매개변수를 효과적으로 필터링하지 않아 OS 명령 인젝션(CWE-77) 결함이 있습니다. 공격자는 Host를 조작해 악성 시스템 명령을 주입하고 대상 장치에서 임의 코드를 실행할 수 있습니다. 인증 없이 원격 공격이 가능하며 기밀성·무결성·가용성을 심각하게 위협합니다. 보안 버전으로 업데이트하지 않은 모든 TOZED X300 사용자가 영향을 받습니다. 네트워크로 특수 요청만 보내면 되며 사용자 상호작용이 필요 없습니다.

컴포넌트

TOZED X300은 네트워크 장치이며, IPPingDiagnostics Handler 컴포넌트는 네트워크 진단 관련 Ping 요청을 처리합니다.

위험

완전 시스템 제어: 공격자는 피해자 시스템에서 임의 코드를 실행하고, 권한에 따라 프로그램 설치, 데이터 조회/변경/삭제, 완전 권한의 새 계정 생성이 가능
사용자 상호작용 불필요: 원격 네트워크 요청만으로 트리거되며 대상 사용자의 추가 조작이 필요 없음
고파괴성 영향: CVSS 10.0은 기밀성·무결성·가용성에 심각한 영향을 의미

출처

NVD · CVE-2026-108576

대응 방안

네트워크 경계에 방화벽 또는 침입 탐지 시스템을 배포해 IPPingDiagnostics 포트 대상 이상 트래픽을 차단
진단 기능 접근을 신뢰할 수 있는 관리자 IP로만 제한

CVE-2026-108804 CVSS 10.0 치명적 2026-10-12

TRENDnet 라우터 pigwidgeon.cgi 원격 명령 인젝션으로 인한 원격 코드 실행

TRENDnet TEW-751DR, TEW-752DRU, TEW733GR 펌웨어 1.03B01/1.03B03에서 Web Management Backend 컴포넌트는 입력 검증 부재로 명령 인젝션(CWE-77) 결함이 있습니다. pigwidgeon.cgi의 service 매개변수 조작으로 OS 명령 인젝션이 발생해 장치 무결성과 가용성을 위협합니다. 악성 요청으로 원격 코드 실행 또는 장치 완전 제어가 가능합니다. 영향받는 펌웨어를 사용하는 모든 사용자가 대상입니다. 원격으로 사용자 상호작용 없이 공격할 수 있으며 익스플로잇 코드가 공개되어 있습니다.

컴포넌트

TRENDnet 라우터는 네트워크 하드웨어로, 네트워크 설정 구성·관리용 Web 관리 백엔드를 제공합니다.

위험

완전 시스템 제어: 공격자는 라우터에서 임의 시스템 명령을 실행하고 설정 변경, 데이터 조회/변경/삭제, 악성코드 설치가 가능
사용자 상호작용 불필요: 원격 네트워크 요청(T1190)으로 사용자 상호작용 없이 트리거해 장치를 직접 조작
원격 악용: 공개된 익스플로잇이 자동화 공격에 쓰여 대규모 장치 침해로 이어질 수 있음

출처

NVD · CVE-2026-108804

대응 방안

서비스 종료(EOL)된 TRENDnet TEW-751DR, TEW-752DRU, TEW733GR 사용을 즉시 중단
지속적인 보안 지원이 제공되는 최신 모델로 교체
네트워크 경계에서 방화벽 규칙으로 라우터 Web 관리 인터페이스에 대한 무단 접근을 차단

← 인텔 센터로 돌아가기 RSSCleanSource SCA로 이러한 위험을 자동 모니터링 →