APT 패키지 검증 우회 취약점 CVE-2026-109518 공개, 중간자 조건에서 루트 코드 실행
1. 개요. 데비안과 우분투 계열에서 쓰는 패키지 관리자 APT에 서명 검증을 우회해 공격자가 조작한 패키지를 설치할 수 있는 취약점 CVE-2026-109518이 2026년 11월 4일 공개됐습니다. 우분투는 같은 날 USN-8996-1로 수정 패키지를 배포했습니다. 제보는 Max Justicz, 패치 개발은 APT 메인테이너 Julian Andres Klode가 맡았다고 소스에 적혀 있습니다. 심각도는 우분투 기준 priority High, CVSS v4.0 점수 7.7입니다.
2-1. 공격 조건. 단순 취약점은 아니고 전제가 몇 가지 붙습니다. APT 클라이언트와 저장소 사이 HTTP 트래픽을 조작할 수 있는 중간자(악성 미러나 프록시 등)가 있어야 하고, 클라이언트가 리다이렉트를 따라가며 다운로드를 재시도하는 설정이어야 합니다. 이 상태에서 하드링크 재사용을 악용하면 서명 검증을 마친 파일을 공격자 파일로 바꿔치기할 수 있고, 결과는 루트 권한 코드 실행입니다.
2-2. 기본 설정 노출 범위. 재시도 횟수를 정하는 Acquire::Retries 기본값이 데비안 12와 우분투 22.04 LTS 이상에서 3이라, 이 릴리스들은 추가 설정 없이도 영향권에 들어갑니다. 그보다 오래된 릴리스는 기본 설정에서는 재시도가 켜져 있지 않아 해당하지 않습니다.
3. 고친 버전. 우분투 apt 수정 버전은 22.04 2.4.15ubuntu0.1, 24.04 2.8.4ubuntu0.1, 26.04 3.2.1ubuntu0.1, 26.10 3.3.3ubuntu0.1이고, 20.04 이하 ESM 대상은 2.0.12+esm1 등으로 올라갑니다. 데비안 apt는 OpenCVE 영향 버전 목록 기준으로 2.6.2, 3.0.4, 3.3.6 등이 수정 버전으로 올라와 있습니다. 사내 미러나 사설 APT 저장소를 HTTP로 물려 쓰는 서버가 있다면 먼저 확인해 보는 게 좋겠습니다.
4. 임시 완화. 바로 패치가 어렵다면 미러를 HTTPS로 돌리거나 재시도를 꺼 두는 방법이 있습니다. HTTPS 미러를 쓰면 전송 구간이 보호되어 이 공격 경로 자체가 막힙니다.
# /etc/apt/apt.conf.d/99-no-retries
Acquire::Retries "0";다만 재시도를 0으로 두면 네트워크가 불안정한 환경에서 설치가 실패할 수 있으니, 임시 조치로만 쓰고 정식 패치를 적용한 뒤에는 되돌리는 편이 낫겠습니다.
로그인 후 답글을 남길 수 있습니다.