#research

자기호스팅 AI 플랫폼 Open WebUI의 SSRF 우회(CVE-2026-45400, CVSS 8.5)를 방어자 시점으로 추적한다. urlparse가 검증한 host와 requests/aiohttp가 실제 연결한 host가 어긋나는 파서 불일치를 로컬에서 재현하고, 정상 흐름과의 비교·페이로드 필드 해부·0.9.5 패치 분석·취약점 클래스 일반화·탐지 차단 룰까지 실험 기반으로 정리한다.

zino.kr은 집에 있는 미니 PC 한 대다. 8일치 nginx 로그를 까보니 16만 요청 중 2만 건 넘게 공격이었다. CrowdSec(IPS) + AppSec(WAF) + AbuseIPDB(평판)로 4계층 심층 방어를 직접 구축하고, 실제 공격 로그에서 커스텀 룰을 뽑고, 8일치 로그를 리플레이해 검증하고, 관제 대시보드까지 만든 전 과정 기록.

Log4j 2.x의 메시지 치환 기능이 JNDI 조회로 이어지고, 조작된 LDAP 응답이 서버에서 임의 코드를 실행시키는 전체 흐름을 Docker + Metasploit으로 직접 재현한 실습 기록. JNDI payload 한 줄이 root 쉘로 바뀌는 과정을 단계별로 확인했다.

React Server Components의 Flight 프로토콜에서 역직렬화 결함이 서버 측 원격 코드 실행으로 이어지는 전체 과정을, 정상 흐름과의 비교·payload 구조 분석·RCE 실증·공격 확장 경로까지 실험 기반으로 추적한다.