CVE-2024-27834 대응: Apple 수정판과 Ubuntu WebKitGTK 점검

무엇을 확인하고 조치해야 하나

이번 확인에서 다루는 공개 식별자: CVE-2024-27834. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

CVE-2024-27834는 이미 임의 읽기·쓰기 능력을 가진 공격자가 Pointer Authentication을 우회할 수 있는 취약점이다. 제공된 근거만으로 원격에서 단독 악용할 수 있다거나 모든 설치가 취약하다고 판단할 수는 없다.

Apple이 등록한 CVE 설명에는 제품별 수정 버전이 명시돼 있고, Ubuntu 공식 페이지에는 WebKitGTK의 릴리스별 수정 패키지가 나온다. 해당 제품과 패키지를 사용하는 조직은 설치 버전을 확인하고, 해당 수정이 포함된 지원 업데이트를 적용할 수 있다.

제공된 CISA KEV 항목에는 2026년 11월 4일 등재된 것으로 기록돼 있다. 이는 대응 우선순위를 높이는 근거지만 개별 조직의 설치 여부나 침해를 증명하지 않는다. Ubuntu가 표시한 우선순위와 CVSS 점수는 Medium, 5.5이며, 이를 Apple 전체 제품의 공식 등급으로 확대하지 않는다.

Apple 제품

Apple CNA의 CVE 설명은 검사 강화로 문제를 수정했다고 밝힌다. 아래 버전은 이 취약점의 수정 기준이며 현재 최신 버전을 뜻하지 않는다. 실제 배포에서는 기기가 지원하는 보안 업데이트를 선택한다.

Apple 제품 — 계속 1

CVE의 구조화된 iOS·iPadOS 범위는 두 수정 계열을 함께 나열한다. 따라서 숫자만 비교해 16.7.8 수정판을 다시 취약하다고 분류해서는 안 된다. macOS의 다른 계열과 기기별 지원 범위는 제공 자료에서 확정하지 못했다.

근거: Apple CNA가 제공한 CVE 기록.

Ubuntu WebKitGTK

Ubuntu에서는 Apple 운영체제 버전 대신 배포판 릴리스와 패키지 리비전을 기준으로 판단한다. 배포판 보안 수정과 backport 여부를 확인할 때도 상위 프로젝트 버전 숫자만 비교하지 말고 공식 수정 패키지 전체 버전을 사용한다. 이번 자료는 아래 수정 리비전을 확인해 주지만 개별 패치의 backport 구현 방식까지 설명하지는 않는다.

Ubuntu WebKitGTK — 계속 2

23.10 행은 수집 문서에 남아 있는 수정 이력이며 현재 지원 상태를 보증하지 않는다. 운영 중인 릴리스의 지원 여부도 별도로 확인해야 한다.

Ubuntu 20.04 이하의 webkit2gtk는 제공 표에서 Ignored다. 보안팀은 focal 및 이전 릴리스에서 새 WebKitGTK 버전을 빌드할 수 없다고 설명한다. Ignored는 수정 완료나 영향 없음의 의미가 아니다. 해당 환경은 지원되는 릴리스로의 이전과 관련 애플리케이션 의존성 점검을 계획해야 한다.

다른 WebKit 관련 패키지에도 Ignored 또는 Not in release가 표시돼 있으므로 이 수정표를 모든 WebKit 패키지에 적용해서는 안 된다. 근거: Ubuntu CVE 상태와 수정 패키지.

운영 판단 표

우선순위와 공식 완화책

제공된 CISA KEV 항목은 공급사 지침에 따른 완화 조치를 요구하며 기한을 2026년 11월 18일로 제시한다. 이 날짜를 모든 독자에게 적용되는 법적 의무로 일반화하지 않는다. 조직별 의무와 자산의 노출·사용 조건을 확인하되, KEV 등재를 반영해 대상 자산의 업데이트 검토를 우선한다.

제공된 Apple·Ubuntu 근거에서 확인되는 구체적인 대응은 수정이 포함된 버전으로 업데이트하는 것이다. 별도의 설정 변경이나 패치 대체용 우회책은 확인되지 않았다. 임의의 브라우저 설정 변경을 공식 완화책으로 제시하지 않는다. 랜섬웨어 사용 여부는 KEV에서 Unknown으로 표시돼 있다.

읽기 전용 점검표

• 자산 목록에서 Apple 제품명, OS 계열, 설치 버전과 지원 상태를 확인한다.
• Safari는 운영체제와 별도로 설치 버전을 확인한다.
• Ubuntu는 릴리스와 설치된 WebKitGTK 관련 바이너리 패키지의 소스 패키지 관계를 확인한다.
• 설치 버전과 저장소 제공 버전을 조회하고 해당 릴리스의 공식 수정 리비전과 비교한다.
• Ignored를 안전 판정으로 처리하지 않고 예외 자산 목록에 남긴다.
• WebKitGTK를 사용하는 업무 애플리케이션과 업데이트 후 재시작 대상을 확인한다.
• KEV 등재 사실과 내부 침해 조사 결과를 구분해 기록한다.

읽기 전용 점검표 — 계속 3

이 점검표는 조회와 기록을 위한 것이다. 이 글을 작성하면서 실제 자산 점검이나 침해 조사는 수행하지 않았다.

업데이트 후 정상 업무 확인

승인된 운영 절차에 따라 업데이트한 뒤 설치 버전을 다시 조회한다. 운영체제와 패키지 안내에 따라 필요한 재시작을 수행하고, Safari 및 WebKitGTK 사용 애플리케이션에서 로그인, 주요 화면 표시, 문서 열기 등 대표 업무가 정상인지 확인한다.

확인 결과에는 적용 버전, 재시작 여부, 업무 검증 결과와 남은 예외를 기록한다. 여기에는 패치 완료나 정상 동작을 검증했다는 주장이 포함돼 있지 않다.

근거 확인일과 남은 불확실성

자동 수집 기록상 세 근거 문서의 확인 시각은 2026년 11월 4일 23:05:14 UTC, 한국 시각 11월 5일 08:05:14다. 이 글은 제공된 자동 수집 자료를 AI 작성 보조로 검토한 글이며 별도의 실시간 조회는 하지 않았다.

CVE 기록은 원문 잘림 표시가 있어 전체 문서를 확인했다고 볼 수 없다. 다만 선택된 CNA 부분에는 영향 조건과 제품별 수정 버전이 제시돼 있고, Ubuntu 문서는 잘림 없이 수정 패키지를 제공한다. 연결된 Apple 지원 공지와 Ubuntu USN 원문은 이번 자료에 포함되지 않아 직접 확인한 근거로 사용하지 않았다.

기기별 지원 범위, macOS 다른 계열의 상태, Ubuntu의 표에 없는 릴리스, 별도 설정 완화책, 실제 공격 경로와 내부 침해 여부는 확정하지 못했다. 이번 검토는 원래 후보에 공식 근거가 추가된 동일 사건의 후속 검토이며 게시 완료를 뜻하지 않는다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

• CVE 원문은 잘림 표시가 있으며 연결된 Apple 지원 공지 원문은 제공되지 않았다.
• iOS·iPadOS 영향 범위는 수정 계열별로 해석해야 하며 기기별 지원 범위와 macOS 다른 계열은 확인되지 않았다.
• Ubuntu 표에 없는 릴리스와 패키지의 상태 및 개별 수정의 backport 구현 방식은 확인되지 않았다.
• 별도 설정 완화책, 실제 공격 경로, 내부 설치·침해·패치 완료 여부는 확인되지 않았다.