모집 대상

• 보안 및 취약점 분석에 관심이 있는 분
• 공개된 CVE를 직접 분석해보고 싶은 분
• 실제 취약 코드와 Patch Diff를 통해 취약점의 원인을 이해하고 싶은 분
• 코드 분석 및 취약점 재현 경험을 쌓고 싶은 분

스터디 목표

• 실제 공개된 CVE를 분석하며 다양한 취약점의 발생 원인과 공격 과정을 이해
• 취약점 수정 전·후 코드(Patch Diff)를 비교하여 실제 패치가 이루어지는 방식 학습
• 단순한 CVE 정보 조사를 넘어 실제 코드 수준에서 취약점의 원인과 패치 원리를 분석
• 가능한 경우 로컬 환경에서 취약점을 재현하며 실전 취약점 분석 경험 습득

진행 방식

• 매주 각자 관심 있는 공개 CVE 1개 선정

  • 취약점의 발생 원인, 공격 과정 및 영향 분석
  • 취약 코드와 수정된 코드를 비교하여 Patch Diff 분석
  • 실제 개발자가 어떤 방식으로 취약점을 수정했는지 패치 원리 분석
  • 가능한 경우 공개 PoC를 활용하여 로컬 환경에서 취약점 재현
  • 가능한 경우 패치 적용 전·후 동작을 비교하여 패치 효과 확인

• 선정한 CVE에 대한 분석 보고서 작성

  • 아래 데이터베이스의 n주차 페이지 → 본인 이름 페이지에 작성

  • 분석 시작 전, 다른 스터디원이 어떤 CVE를 분석하는지 확인할 수 있도록 선정한 CVE를 페이지 제목에 먼저 작성

    ( 다른 분이 이미 선정했더라도, 원하시면 동일한 CVE를 분석하셔도 됩니다 ! )

• 주 1회 분석 결과 발표 및 스터디원 간 내용 공유

주차별 스터디 계획

CVE 선정 Tip

• 처음 CVE 분석을 진행하는 경우 다음 조건을 참고하여 선정해주세요.

  • 소스코드가 공개된 오픈소스 프로젝트인지
  • 취약 버전과 패치 버전을 확인할 수 있는지
  • 취약점을 수정한 Commit 또는 Pull Request를 확인할 수 있는지
  • Patch Diff를 통해 취약 코드와 수정 코드를 비교할 수 있는지
  • 공개된 PoC 또는 기술 분석 자료(Write-up)가 존재하는지
  • 가능한 경우 로컬 환경에서 취약 버전을 구축하고 재현할 수 있는지

• 반드시 최신 CVE를 선정할 필요는 없습니다.

  최신 CVE는 관련 분석 자료나 PoC, Patch 정보가 아직 충분히 공개되지 않았을 수 있어 처음 분석하기에는 오히려 어려울 수 있습니다. 처음에는 어느 정도 분석 자료가 축적되어 있고 Patch Diff와 PoC를 확인할 수 있는 CVE를 선정하는 것을 추천합니다.