검색 결과

GitHub의 가짜 스타 경제

GitHub's fake star economy

GitHub 스타 수를 부풀리는 조작 생태계와 그 배후의 인센티브를 조사한 글. 프로젝트 인기 지표의 신뢰성 문제를 드러냄.

10k GitHub repositories가 Trojan malware를 배포하는 것으로 확인

I found 10k GitHub repositories distributing Trojan malware

10,000개에 달하는 GitHub 저장소가 Trojan 악성코드 유포에 사용된 정황이 확인됨. 오픈소스 생태계를 노린 대규모 공급망 위협 사례로 분류됨.

익명 GitHub 계정이 미공개 0-day를 대량 공개

Anonymous GitHub account mass-dropping undisclosed 0-days

익명 GitHub 계정이 공개되지 않은 0-day 취약점들을 연속 게시한 정황이 포착됨. 취약점 공개 방식과 악용 위험을 둘러싼 보안 우려가 커짐.

GitHub, 내부 저장소 무단 접근 여부 조사 중

GitHub is investigating unauthorized access to their internal repositories

GitHub가 내부 저장소에 대한 무단 접근 가능성을 조사하고 있다. 영향 범위와 침해 여부를 확인하는 보안 대응이 진행 중이다.

GitHub, zero-day Windows exploits를 올린 보안 연구자 차단

GitHub bans security researcher who posted zero-day Windows exploits

GitHub가 zero-day Windows exploit을 공개한 보안 연구자를 제재. 취약점 공개를 둘러싼 플랫폼 정책과 보안 연구 관행 충돌이 드러남.

VSCode 버그를 통한 GitHub 토큰 1클릭 탈취

1-Click GitHub Token Stealing via a VSCode Bug

VSCode 버그를 악용해 GitHub 토큰을 탈취하는 공격 기법을 다룸. 개발자 계정과 저장소 접근권한이 위험해질 수 있음.

CISA 관리자가 GitHub에 AWS GovCloud 키를 유출

CISA Admin Leaked AWS GovCloud Keys on GitHub

CISA 관리자 계정 관련 AWS GovCloud 키가 GitHub에 노출된 사건이 보도됨. 정부 클라우드 자격증명 관리와 비밀키 유출 위험을 다시 드러냄.

Git의 –author 플래그로 GitHub 저장소의 AI 봇 스팸을 차단한 사례

We stopped AI bot spam in our GitHub repo using Git's –author flag

Git의 author 플래그를 활용해 GitHub 저장소의 AI 봇 스팸을 막은 방법을 소개한다. 자동 생성 기여를 식별하고 필터링하는 실무 팁 성격의 내용이다.

AI 생성 GitHub Copilot "Autofix"가 Snowflake의 Jira 침해를 허용

AI-Generated GitHub Copilot “Autofix” Allowed Compromise of Snowflake's Jira

AI가 생성한 GitHub Copilot Autofix가 보안 허점을 만들어 Snowflake의 Jira 침해로 이어진 사례를 다룸. CI/CD 자동 수정 도구의 검증 부족이 공격면이 될 수 있음을 보여줌.

GitHub, 악성 VSCode 확장으로 3,800개 저장소 침해 확인

GitHub confirms breach of 3,800 repos via malicious VSCode extension

악성 VSCode 확장 프로그램을 통한 저장소 침해 사건을 GitHub가 확인. 영향을 받은 repo 수와 보안 대응이 핵심.

GitHub Actions가 가장 약한 고리임

GitHub Actions is the weakest link

GitHub Actions가 CI/CD 공급망에서 가장 취약한 연결고리라는 문제 제기. 자동화 파이프라인의 보안과 신뢰 경로 점검 필요성이 강조됨.

GitHub RCE 취약점: CVE-2026-3854 분석

GitHub RCE Vulnerability: CVE-2026-3854 Breakdown

GitHub 관련 원격 코드 실행(RCE) 취약점 CVE-2026-3854의 원인과 영향을 분석. 플랫폼 보안과 공급망 리스크 대응이 강조됨.

MitM 프록시 뒤에 GitHub Copilot을 넣고 배운 점

What I learned by putting GitHub Copilot behind a MitM proxy

GitHub Copilot 트래픽을 MitM 프록시로 관찰하며 전송 데이터와 동작 방식을 분석. 개발자 도구의 네트워크 가시성과 프라이버시 이슈를 재점검.

UK Biobank 건강 데이터가 GitHub에 계속 올라가고 있다

UK Biobank health data keeps ending up on GitHub

민감한 건강 데이터가 GitHub에 반복적으로 노출되는 문제를 지적. 연구 데이터의 재배포와 접근 통제 실패가 핵심 쟁점이다.

GitLost: GitHub의 AI Agent를 속여 비공개 저장소를 유출하게 만들다

GitLost: We Tricked GitHub's AI Agent into Leaking Private Repos

GitHub의 AI Agent를 유도해 비공개 저장소 내용을 노출시키는 기법을 공개. 프롬프트/에이전트 보안 취약점이 실제 데이터 유출로 이어질 수 있음을 보여줌.

GitHub Actions에 OIDC audience 제약이 필요한 이유

GitHub Actions에 OIDC audience 제약이 필요한 이유

GitHub Actions의 id-token: write 권한은 작업이 임의의 audience로 OIDC 토큰을 발급하게 해 서드파티 코드가 다른 서비스로 권한을 확장할 수 있음. aud 클레임으로 토큰 수신 대상을 제한해 오남용 위험을 줄여야 함.

GitHub 보안팀은 도대체 어떤 일을 하는가?

GitHub 보안팀은 도대체 어떤 일을 하는가?

GitHub 내 악성 저장소가 수천 개에 이르며, 기본 검색만으로도 쉽게 발견된다는 문제를 지적. 대규모 플랫폼에서 보안팀의 탐지·제재·운영 책임이 얼마나 중요한지 보여줌.

GitHub이 갑자기 SSH 키를 거부한 이유: 사라진 .pub 파일

GitHub이 갑자기 SSH 키를 거부한 이유: 사라진 .pub 파일

개인 키에 대응하는 .pub 파일이 없으면 OpenSSH가 공개 키를 먼저 제시하지 못해 GitHub 인증이 실패할 수 있음. .pub 파일을 다시 만들자 git pull이 정상 동작함.

개발자를 해킹하는 LinkedIn 채용 과제 사기

개발자를 해킹하는 LinkedIn 채용 과제 사기

LinkedIn 채용 제안으로 위장해 비공개 GitHub 과제를 전달하고, 실행 시 개발자 PC에서 악성 코드가 동작하는 수법이 드러남. tailwind.config.js에 숨긴 JavaScript가 수천 개의 공백 뒤에 포함돼 탐지를 피함.

MS GitHub 개인 액세스 토큰(PAT) 대량 유출…경찰 수사 착수

MS 깃허브 개인 액세스 토큰(PAT) 대량 유출…경찰 수사 착수

GitHub 개인 액세스 토큰(PAT) 다수가 외부로 유출된 사실이 확인돼 경찰 수사가 시작됨. 유출된 토큰은 비공개 저장소 접근에 쓰이며 악용 시 저장소 탈취로 이어질 수 있음.

GitLost: GitHub AI 에이전트를 속여 비공개 저장소 유출

GitLost: GitHub AI 에이전트를 속여 비공개 저장소 유출

Noma Labs가 GitHub Agentic Workflows의 간접 프롬프트 인젝션 취약점 GitLost를 발견. 공개 저장소 이슈만으로 같은 조직의 비공개 저장소 데이터가 공개 댓글에 노출될 수 있음을 확인.

익명 GitHub 계정이 미공개 0-day를 대량 공개

익명 GitHub 계정이 미공개 0-day를 대량 공개

Exploitarium 저장소에 7-Zip, AnyDesk, Docker, Firefox 등 다수 소프트웨어의 공개 proof-of-concept와 취약점 연구가 모여 있음. 새 항목을 폴더 단위로 추가해 미공개 0-day 자료를 대량 수집하는 형태.

LinkedIn 채용 제안에 숨겨진 백도어

LinkedIn 채용 제안에 숨겨진 백도어

LinkedIn 메시지를 통한 리크루터 접근을 이용해 공개 GitHub 저장소 리뷰를 유도한 소셜 엔지니어링 공격 사례. 테스트 스위트로 위장한 코드에 백도어가 숨겨져 있었다.

Microsoft 오픈소스 도구 해킹, AI 개발자 비밀번호 탈취에 악용

Microsoft의 오픈소스 도구가 해킹되어 AI 개발자들의 비밀번호 탈취에 악용됨

GitHub에 호스팅된 수십 개 오픈소스 프로젝트가 침해돼 비밀번호 탈취용 악성코드가 주입됨. Microsoft가 영향받은 프로젝트 접근을 차단하고 조사에 착수함.

VSCode 버그를 통한 1-클릭 GitHub 토큰 탈취

VSCode 버그를 통한 1-클릭 GitHub 토큰 탈취

github.dev의 OAuth 토큰이 저장소 단위로 제한되지 않아, 공격자가 브라우저 기반 VSCode 취약점을 통해 사용자의 접근 권한을 탈취할 수 있음. webview 격리 문제로 파일 열람, PR, 커밋 권한까지 악용될 수 있음.

github.dev / VSCode Web에서 링크 클릭만으로 GitHub 토큰이 탈취될 수 있는 취약점

github.dev / VSCode Web에서 링크 클릭만으로 GitHub 토큰이 탈취될 수 있는 취약점

github.dev와 VSCode Web에서 링크 클릭만으로 GitHub 토큰이 탈취될 수 있는 취약점이 보고됨. 악성 저장소의 Jupyter notebook을 열게 한 뒤 Webview 이벤트 처리 버그를 악용해 악성 확장 설치와 토큰 유출로 이어질 수 있다.

Microsoft, GitHub 계정 차단 후 Windows 제로데이 공개를 강하게 비판

마이크로소프트, 깃허브 계정 차단 후 윈도우 제로데이 공개 비판

Microsoft가 패치 전 Windows 제로데이 공개에 반발하며 해당 보안 연구원의 GitHub 계정을 차단함. 연구원은 추가 폭로를 예고했고, CVD 절차를 둘러싼 갈등이 커짐.

제로데이 Windows 익스플로잇을 공개한 보안 연구자를 GitHub가 차단

제로데이 Windows 익스플로잇을 공개한 보안 연구자를 GitHub가 차단

GitHub가 Windows 제로데이 공개와 관련된 보안 연구자 Nightmare-Eclipse의 계정을 차단함. 연구자는 Microsoft의 보복이라고 주장하며 작업 공간을 GitLab로 옮김.

CISA, 데이터 유출 수습 시도

CISA, 데이터 유출 수습 시도

CISA 계약자가 공개 GitHub 프로필에 내부 시스템용 평문 자격 증명을 올린 사실이 드러남. 저장소 비활성화 흔적과 함께 정부 보안 운영의 관리 부실 논란이 커짐.

GitHub 소스 코드 유출 - TeamPCP가 내부 소스 코드 접근을 주장

GitHub 소스 코드 침해 - TeamPCP가 내부 소스 코드 접근을 주장

TeamPCP가 GitHub 내부 시스템에서 조직 데이터와 소스 코드를 빼냈다고 주장하며 지하 포럼에서 판매 중이라고 알림. 약 4,000개 비공개 저장소와 5만 달러 초과 제안 요구가 포함됐다고 주장함.

GitHub, 악성 VSCode 확장을 통한 3,800개 저장소 침해 확인

GitHub, 악성 VSCode 확장을 통한 3,800개 저장소 침해 확인

GitHub 내부에서 악성 VSCode 확장 설치 이후 약 3,800개 저장소가 침해된 사실이 확인됨. 유출 범위는 내부 저장소로 제한된 것으로 평가되며, 확장은 마켓플레이스에서 제거됨.

CISA 관리자, AWS GovCloud 키를 GitHub에 유출

CISA 관리자가 AWS GovCloud 키를 GitHub에 유출

CISA 계약자가 운영한 공개 저장소에서 고권한 AWS GovCloud 자격 증명과 내부 시스템 비밀이 노출됨. 비밀 정보 게시 방지 설정이 꺼져 있었고 평문 비밀번호, 토큰, 로그가 함께 포함된 것으로 확인됨.

GitHub이 내부 저장소 무단 접근을 조사 중

GitHub이 내부 저장소 무단 접근을 조사 중

GitHub이 내부 저장소에 대한 무단 접근 사건을 조사 중. 현재까지는 내부 저장소 범위로 확인됐고, 고객 정보 유출 증거는 없다고 밝힘.

GitHub이 침해되어, 공격자가 GitHub 내부 3800개 저장소에 접근함

GitHub이 침해되어, 공격자가 GitHub 내부 3800개 저장소에 접근함

오염된 VS Code 확장을 통해 직원 기기가 침해되면서 GitHub 내부 저장소 접근 사고가 발생. 악성 확장 제거와 엔드포인트 격리 후 사고 대응 절차가 즉시 시작됨.

Grafana, GitHub 토큰 유출로 코드베이스 다운로드 및 금전 갈취 시도 발생

Grafana GitHub 토큰 유출로 인해 코드베이스 다운로드 및 금전 갈취 시도 발생

유출된 GitHub 토큰을 악용한 공격자가 Grafana의 소스코드를 내려받고 데이터 협박을 시도함. Grafana는 FBI 지침에 따라 몸값 지불을 거부함.