OpenSSH 10.6 공개, 보안 취약점 10건 수정
조회 0 · 댓글 0
OpenSSH 10.6이 2026년 10월 6일 공개됐습니다. 공식 릴리스 노트의 Security 항목에는 취약점 10건이 올라와 있습니다. 주요 내용은 sftp 경로 검증, GSSAPI 자격증명 처리, LZ77 압축 관련 사이드채널, 명령줄 사용자명 주입, 인증서 날짜 변환, 패킷 길이 조작, authorized_keys 제한, 파일 디스크립터 전달을 통한 권한 상승, KDF 라운드 수 제한 등입니다.
이번 릴리스에서 눈에 띄는 변경은 다음과 같습니다.
- 포스트 양자 서명 기본 적용: 하이브리드 방식인 ssh-mldsa44-ed25519 서명 알고리즘을 활성화했습니다. 기존 실험용 '@openssh.com' 접미사로 만든 키는 다시 생성해야 한다고 보면 됩니다.
- LZ77 압축 비활성화: 다중화된 SSH 채널에서 공용 압축 상태를 노리는 평문 복구 공격을 막기 위해 ssh와 sshd에서 LZ77 사전 코더를 껐습니다. 대신 Compression 옵션의 효과는 줄어듭니다.
- 사용자명 제한: 명령줄로 입력하는 사용자명에서 '$'와 '\' 문자를 거부합니다. ProxyCommand나 Match exec 경로로 이어지는 주입을 차단하려는 조치입니다.
- scp -R 사용 중단 예고: 원격 간 복사 옵션은 당분간 동작하되 경고를 띄우며, 앞으로 제거될 예정입니다.
맥락을 보면 두 가지가 눈에 들어옵니다. 첫째, 이번 LZ77 변경과 사용자명 처리는 단순 버그 수정이 아니라 공격 표면을 줄이는 쪽입니다. SSH는 서버 접속의 기본 통로라 압축 옵션에 기대고 있던 환경이라면 체감 변화가 있을 수 있어 사전 확인이 필요해 보입니다.
둘째, OpenSSH 팀은 최근 AI 모델이 찾았거나 AI 도움으로 작성된 보안 버그 신고가 많이 들어오고 있다고 밝혔습니다. 같은 버그가 독립적으로 재발견되는 상황을 감안해 당분간 릴리스 주기를 더 짧게 가져가 수정분을 빨리 배포하겠다고 했습니다. 운영 환경에서 패치 적용 주기를 좀 더 촘촘하게 잡아둘 필요가 있어 보입니다.
로그인 후 답글을 남길 수 있습니다.