오픈 소스 소프트웨어를 위한 SecureChain

주요 요점: 버전 번호 변경은 단순한 패치가 아니며, 의존성 업그레이드는 잠재적으로 호환성 문제를 일으킬 수 있는 변경 사항을 초래할 수 있습니다. 강제 업그레이드는 빌드 단계에서 명백한 오류로 실패하거나, 런타임 단계에서 더 미묘한 성능 저하를 유발할 수 있습니다...

주요 요점: Go 모듈의 해시는 파일 이름과 내용을 기반으로 하며, zip 인코딩은 포함하지 않으므로, 별도로 재구성된 아카이브도 정확히 일치할 수 있습니다. 이 때문에 GOPROXY를 선별된 레지스트리로 지정하면...

요약본 | 자세한 내용으로 이동 ↓ 내용: 2026년 8월 20일, 한 공격자가 정식 유지보수자의 crates.io 계정을 이용해 arrayref 0.3.10, append-only-vec 등의 악성 버전을 공개했습니다...

주요 요점: Go 모듈 프록시는 파일을 제공하기 위해 구축된 것이지, 해당 파일을 실행해도 안전한지 여부를 판단하기 위한 것이 아닙니다. GOPROXY 문자열의 한 글자가...

주요 요점: Go는 패키지를 특정 사용자가 소유한 이름이 아닌, 패키지가 위치한 곳을 기준으로 식별하므로, 사용이 중단된 GitHub 사용자 이름이...에서 공급망 문제로 이어질 수 있습니다.

주요 요점: 비공개 PyPI 저장소는 패키지의 출처를 알려줄 뿐, 설치해도 안전한지는 알려주지 않습니다. –index-url을 하나의 인덱스에 지정하는 대신 –extra-index-url을 추가하면 보안 취약점이 다시 발생합니다...

주요 요점: PHP는 수년 전에 지원 종료 일정을 미리 공지하는 반면, Composer 패키지는 유지보수자가 더 이상 활동하지 않아도 아무런 공지 없이 방치됩니다. 유지보수가 중단된 종속성은 종종 PHP가...

주요 요점: Hades는 .pth 시작 후크를 포함시켜, 페이로드가 설치 시 한 번만 실행되는 것이 아니라 파이썬이 시작될 때마다 실행되도록 했습니다. 같은 기법은 이미 11주 전에 LiteLLM에 적용된 바 있습니다...

주요 요점: 악성 axios 버전은 약 3시간 동안만 유통되었기 때문에, 탐지되기 전에 설치된 경우 경고 기반 방어 조치의 도움을 받지 못했습니다. 다운로드 횟수는 채택률을 나타낼 뿐, ...

주요 내용: 2026년 3월부터 7월 사이에 npm, PyPI, Go 모듈 및 Packagist를 대상으로 한 6건의 확인된 공급망 공격이 발생했습니다. 이 중 어느 것도 특정 애플리케이션 코드의 버그를 악용할 필요가 없었으며, 단지...

주요 요점: 대부분의 소프트웨어 공급망 보안 도구는 빌드에 이미 포함된 요소를 알려줄 뿐이며, 애초에 해당 요소가 빌드에 포함되는 것을 차단하는 도구는 훨씬 적습니다. ...