어떤 환경에서 대응해야 하나
이번 확인에서 다루는 공개 식별자: CVE-2026-104715. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
CVE-2026-104715는 cifs-utils의 로컬 권한 상승 취약점이다. 권한 있는 서비스가 일반 사용자가 제어할 수 있는 자격 증명 파일을 사용해 CIFS 공유를 마운트하는 조건에서 문제가 발생한다. 파일의 입력값이 마운트 옵션으로 조합될 때 충분히 검증되지 않아, 권한 검사를 우회하고 root 권한으로 파일을 실행할 수 있다고 공식 설명은 밝힌다.
패키지가 설치됐다는 사실만으로 이 영향 조건이나 침해가 확인되는 것은 아니다. 운영자는 설치 버전과 함께 서비스가 사용하는 자격 증명 파일의 소유권·쓰기 권한 및 관리 경로를 확인해야 한다.
Ubuntu는 대응 우선순위를 Medium, CVSS 점수를 7.8 High로 표시한다. 두 분류를 구분해 기록해야 한다. 제공 자료에는 실제 악용이나 KEV 등재를 확인하는 근거가 없다.
Ubuntu 수정 패키지
Ubuntu 공식 CVE 문서는 다음 cifs-utils 수정 버전을 제시한다. 해당 릴리스의 공식 업데이트 경로로 이 수정판 또는 이를 포함한 후속 패키지를 적용하는 것이 실행 가능한 대응이다.
| Ubuntu 릴리스 | 공식 수정 버전 또는 상태 | 운영자 판단 |
|---|---|---|
| 26.10 | 2:7.4-1ubuntu3.1 | 설치 패키지와 공식 저장소 후보 버전 확인 후 업데이트 |
| 26.04 LTS | 2:7.4-1ubuntu0.26.04.4 | 설치 패키지와 공식 저장소 후보 버전 확인 후 업데이트 |
| 24.04 LTS | 2:7.0-2ubuntu0.6 | 설치 패키지와 공식 저장소 후보 버전 확인 후 업데이트 |
| 22.04 LTS | 2:6.14-1ubuntu0.7 | 설치 패키지와 공식 저장소 후보 버전 확인 후 업데이트 |
| 20.04·18.04·16.04·14.04 LTS | Needs evaluation | 안전 또는 수정 완료로 판단하지 말고 후속 공식 상태 확인 |
Ubuntu 수정 패키지 — 계속 1
Ubuntu 자료는 정확한 최초 영향 버전 범위를 제공하지 않는다. 표의 수정 버전보다 낮다는 이유만으로 모든 설치의 취약성을 단정하지 말고, 릴리스·패키지 출처·영향 조건을 함께 확인한다.
배포판 backport를 반영한 비교
배포판은 기존 업스트림 버전 계열에 보안 수정을 backport할 수 있다. 따라서 업스트림 숫자만 보고 7.9 미만을 일괄 취약 판정하면 안 된다. Ubuntu에서는 표에 적힌 epoch와 배포판 리비전을 포함한 전체 버전으로 비교한다. 공식 문서는 개별 커밋을 임의로 골라 적용하는 방식을 권장하지 않는다.
Debian 보안 추적기는 업스트림 수정 버전을 7.9, unstable 수정 버전을 2:7.9-1로 기록한다. trixie의 수정 기준 표에는 2:7.4-1+deb13u1, 현재 security 패키지 표에는 2:7.4-1+deb13u2가 fixed로 표시된다. 이 차이만으로 deb13u2가 추가 취약점을 수정했다거나 deb13u1 수정이 불완전했다고 해석할 수 없다. bookworm의 2:7.0-2는 vulnerable로 표시되며, 제공 자료에는 bookworm의 수정판이 없다.
대응 우선순위와 완화책의 한계
| 확인한 운영 조건 | 판단 | 실행할 조치 |
|---|---|---|
| 권한 있는 서비스가 일반 사용자가 변경할 수 있는 자격 증명 파일을 사용 | 공식 영향 조건과 부합 | 수정 패키지 적용을 우선하고 파일 관리 경로 검토 |
| cifs-utils 설치는 확인했지만 자격 증명 파일 제어 여부가 불명확 | 노출 여부 추가 점검 필요 | 서비스 설정과 파일·상위 디렉터리 권한 확인 |
| 해당 CIFS 마운트 경로를 사용하지 않음 | 설명된 경로의 노출 근거가 낮음 | 공식 업데이트 정책에 따라 패키지 관리 |
| 구형 Ubuntu가 Needs evaluation 상태 | 영향·수정 상태 미확정 | 공식 후속 상태와 지원 경로 확인 |
대응 우선순위와 완화책의 한계 — 계속 2
제공된 공식 자료에는 별도의 임시 완화 설정이나 검증된 우회책이 없다. 파일 권한 검토는 영향 조건을 찾는 운영 점검이며, 공식 수정 패키지를 대체하는 완화책으로 보장할 수 없다. 네트워크 차단만으로 로컬 취약점이 해결된다고 판단해서도 안 된다.
읽기 전용 점검표
다음 명령은 시스템·패키지·현재 CIFS 마운트 상태를 조회한다. 패키지 목록을 갱신하거나 설정을 변경하지 않는다.
cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' cifs-utils
apt-cache policy cifs-utils
findmnt -t cifs -o TARGET,FSTYPE읽기 전용 점검표 — 계속 3
- OS 릴리스와 설치된
cifs-utils전체 버전을 수정 표와 대조한다. apt-cache policy결과는 로컬 캐시 기준이므로 최신 저장소 상태를 보장하지 않는다는 점을 기록한다.- 현재 마운트뿐 아니라 예정된 작업과 권한 있는 서비스의 CIFS 사용도 확인한다.
- 자격 증명 파일과 상위 디렉터리의 소유자·쓰기 권한·ACL을 확인하고, 일반 사용자가 파일을 변경하거나 교체할 수 있는지 검토한다.
- 자격 증명 파일의 비밀번호나 원문 내용을 보고서에 복사하지 않는다.
- 마운트 목록이 비어 있어도 향후 실행되는 서비스나 작업까지 안전하다고 판단하지 않는다.
읽기 전용 점검표 — 계속 4
확인 결과에 따라 해당 Ubuntu 릴리스의 공식 저장소에서 수정 패키지를 적용한다. 사용자 정의 빌드나 외부 저장소 패키지는 버전 문자열만으로 공식 수정 포함 여부를 확정하지 않는다.
업데이트 후 정상 업무 확인
- 설치된 전체 패키지 버전을 다시 조회해 적용 결과를 기록한다.
- 승인된 운영 절차에서 CIFS 공유 연결과 애플리케이션의 정상 파일 접근을 확인한다.
- 파일 소유권·접근 권한이 업무 요구와 일치하는지 확인한다.
- 관련 서비스 로그에서 마운트 실패와 인증 오류가 새로 발생했는지 점검한다.
- 재마운트·서비스 재시작·재부팅 필요 여부는 별도 배포판 안내와 운영 절차로 확인한다. 제공 자료만으로 필수 여부를 단정할 수 없다.
업데이트 후 정상 업무 확인 — 계속 5
이 글에서는 실제 시스템 점검, 패치 적용, 침해 조사 또는 정상 업무 테스트를 수행하지 않았다.
근거와 남은 불확실성
검토 근거는 Ubuntu CVE 문서, Debian 보안 추적기, CVE 레코드 발췌다. 제공된 수집 기록의 실제 확인 시각은 2026년 11월 1일 01:28:33 UTC, 한국시간 10:28:33이다. 편집 과정에서 외부 사이트를 다시 조회하지 않았다.
Ubuntu 문서에는 USN-8938-1이 관련 공지로 표시되지만, 해당 USN 원문은 제공되지 않았다. CVE 레코드는 원문 잘림 표시가 있어 전체 확인 자료로 취급하지 않았다. 수정 패키지 판단은 잘리지 않은 Ubuntu·Debian 문서에 근거한다. RHEL·OpenShift는 CVE 발췌에 영향 제품으로 나오지만 정확한 수정 패키지가 없어 이 글의 업데이트 표를 적용할 수 없다.
이번 검토는 같은 사건에 공식 자료가 추가된 후속 검토다. 기존 게시 URL은 제공되지 않았으며 실제 게시 또는 새 발행을 완료했다는 의미가 아니다. 자동 수집 자료를 바탕으로 AI가 초안 작성과 근거 대조를 보조했다. 관련 운영 점검 주제는 보안 허브에서 연결한다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- 정확한 최초 영향 버전 범위와 구형 Ubuntu 릴리스의 영향·수정 상태는 확인되지 않았다.
- Debian trixie 수정 기준 표의 deb13u1과 현재 security 패키지 표의 deb13u2 차이에 대한 설명은 제공되지 않았다.
- 공식 임시 완화책, 재시작·재부팅 요구사항 및 실제 악용 여부는 제공 자료에서 확인되지 않았다.
- CVE 레코드는 원문 잘림 표시가 있으며 관련 USN 원문과 RHEL·OpenShift 수정 패키지는 제공되지 않았다.