CVE-2026-85644: Ubuntu Perl 모듈 서비스 거부 취약점과 수정 패키지 점검

Ubuntu 수정 패키지가 제공된 Perl 입력 처리 취약점

이번 확인에서 다루는 공개 식별자: CVE-2026-85644. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Ubuntu는 2026년 10월 20일 USN-8940-1을 통해 libxs-parse-keyword-perl의 서비스 거부 취약점 수정을 안내했다. 관련 식별자는 CVE-2026-85644다. Ubuntu 26.04 LTS와 26.10 운영자는 설치 패키지와 애플리케이션의 모듈 사용 경로를 확인하고 해당 릴리스의 수정 패키지를 적용해야 한다.

Ubuntu의 처리 우선순위는 Medium이며, 같은 CVE 페이지에 표시된 CVSS 점수는 7.5 High다. 두 표시는 서로 다른 평가 항목이다. 제공된 자료에는 실제 악용이나 침해 확인 근거가 없다.

어떤 사용 조건에서 영향을 받나

문제는 XS-Parse-Keyword에 포함된 XS::Parse::Infix가 생성하는 리스트 결합형 중위 연산자 래퍼의 인수 검증에 있다. 배열 참조가 필요한 위치에 다른 자료형이 전달되면 잘못된 메모리 접근으로 Perl 프로세스가 종료될 수 있다.

특히 JSON 등 외부 입력을 해석한 목록이 해당 연산자에 전달되는 애플리케이션은 입력 경로를 우선 점검해야 한다. 공식 기록은 Syntax::Operator::Zip을 관련 사용 예로 제시한다. 패키지 설치만으로 모든 서비스가 외부에서 공격 가능한 상태라고 판단할 수는 없다.

설명 도식은 ‘외부 입력 → 디코딩된 목록 → 배열 참조 검증 → 해당 연산자 호출’ 순서로 구성한다. 검증 없이 호출하면 프로세스 종료로 이어질 수 있는 지점을 표시하고, 입력 경계의 자료형 검증과 수정 모듈 적용을 대응 지점으로 설명한다.

영향 버전과 수정 기준

| 대상 | 공식 자료의 상태 | 운영자 판단과 조치 |

영향 버전과 수정 기준 — 계속 1

Ubuntu의 수정 패키지는 업스트림 버전 부분이 0.49여도 배포판 패치를 반영한 수정판이다. 업스트림의 0.50 기준을 Ubuntu 패키지에 그대로 적용하면 안 된다. 전체 패키지 버전과 해당 릴리스의 공식 상태를 함께 비교해야 한다.

Debian은 trixie에 대해 no-dsa와 Minor issue를 기록했다. 이 표시는 취약점이 수정됐다는 의미가 아니다. forky·sid의 수정 버전을 trixie의 수정판으로 간주하거나 다른 배포판 저장소를 섞어 설치하지 않는다.

업데이트와 공식 임시 완화책

Ubuntu USN은 표준 시스템 업데이트로 수정 패키지를 적용하도록 안내한다. 운영 중인 릴리스의 승인된 저장소에서 위 수정판을 적용하고, 애플리케이션이 실제로 해당 패키지를 사용하는지 확인한다. CPAN, 컨테이너 또는 애플리케이션 전용 경로의 모듈은 운영체제 패키지와 별도로 관리될 수 있다.

업스트림 CNA 기록의 공식 해결책은 XS-Parse-Keyword 0.50 이상으로 업데이트하는 것이다. 즉시 갱신할 수 없다면 XS::Parse::Infix로 정의된 관련 연산자에 배열 참조가 필요한 인수로 배열 참조만 전달되도록 검증한다. JSON 해석 성공 여부만으로 필요한 자료형 검증을 대신하지 않는다.

외부 입력을 해당 연산자에 전달하는 서비스는 우선 대응한다. 사용 여부가 불명확한 시스템은 의존성과 호출 경로를 먼저 확인하되, 그 불확실성을 영향 없음의 근거로 삼지 않는다.

읽기 전용 점검표

다음 명령은 Debian·Ubuntu의 릴리스와 패키지 정보를 조회한다. 저장소 정보는 마지막으로 갱신된 로컬 메타데이터에 의존한다.

cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' libxs-parse-keyword-perl
apt-cache policy libxs-parse-keyword-perl

읽기 전용 점검표 — 계속 2

• 설치 버전을 운영 중인 릴리스의 수정 기준과 비교한다. 패키지 조회 실패는 애플리케이션 내부 설치까지 없다는 증거가 아니다.
• 의존성 목록과 배포 명세에서 XS-Parse-Keyword, XS::Parse::Infix, Syntax::Operator::Zip 사용 여부를 확인한다.
• 서비스가 사용하는 Perl 라이브러리 경로와 컨테이너·전용 설치본을 확인한다.
• 외부 입력이 관련 연산자로 전달되기 전에 배열 참조 여부를 검사하는지 코드 검토로 확인한다.
• 기존 오류 로그에서 Perl 프로세스 종료와 업무 실패를 확인한다. 오류 기록만으로 이 CVE 악용을 단정하지 않는다.

업데이트 후 정상 업무 확인

수정판 적용 후에는 실제 서비스 실행 환경에서 수정된 모듈을 사용하는지 확인한다. 장기 실행 프로세스의 재시작 필요성은 배포 방식과 운영 절차에 따라 판단한다. 제공된 USN에는 일괄 재부팅이나 특정 서비스 재시작 요구가 명시돼 있지 않다.

정상 입력을 사용하는 기존 업무 시험으로 관련 연산, API 응답, 배치 처리 결과를 확인하고 오류율과 프로세스 종료 기록을 관찰한다. 버전 확인, 정상 기능 확인, 관찰 결과를 각각 남긴다. 이 글에서는 테스트·침해 조사·패치 적용을 수행하지 않았다.

공식 근거와 확인 범위

• Ubuntu USN-8940-1: 2026년 10월 20일 공지. 제공 자료의 최초 수집 시각은 2026년 10월 25일 22:17 UTC이며 릴리스별 수정 패키지 표가 포함돼 있다.
• Ubuntu CVE 상태: 제공 수집 기록상 2026년 11월 1일 08:16 UTC 확인. 우선순위와 릴리스별 상태를 확인했다.
• Debian 보안 추적기: 제공 수집 기록상 2026년 11월 1일 08:16 UTC 확인. bookworm의 비영향 판정과 trixie·forky·sid 상태를 확인했다.
• CVE CNA 기록: 제공 수집 기록상 2026년 11월 1일 08:16 UTC 확인. 영향 범위, 0.50 이상 업데이트 및 인수 검증 완화책이 선택 발췌에 포함돼 있다. 전체 원문에는 잘림 표시가 있어 완전한 문서 확인으로 간주하지 않았다.

공식 근거와 확인 범위 — 계속 3

이 글은 원본 후보와 추가 공식 자료를 함께 검토한 글이며 별도 사건이나 게시 완료를 뜻하지 않는다. 자동 수집 자료를 바탕으로 AI 작성 보조를 사용했고, 외부 사이트를 직접 재조회하지 않았다. 수집 시점 이후 배포판 상태, 실제 설치본, 입력 노출 여부와 침해 여부는 확인되지 않았다. Debian trixie의 정확한 수정판도 제공 자료에서 확인되지 않는다.

OG 계획은 ‘Perl 모듈 입력 검증 취약점’과 Ubuntu 두 릴리스의 수정 패키지를 보여주는 정보 카드로 구성한다. alt 문구는 ‘CVE-2026-85644의 Ubuntu 26.04 LTS 및 26.10 수정 패키지와 입력 검증 대응 요약’으로 준비한다.

다른 취약점의 점검 기준은 보안 허브에서 함께 살펴볼 수 있다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

• CNA 원문 전체에는 잘림 표시가 있으나 제공된 선택 발췌에는 영향 버전, 수정 버전과 공식 완화책이 포함돼 있다.
• Debian trixie의 수정 패키지 버전은 제공 자료에서 확인되지 않는다.
• 실제 설치·사용 경로, 외부 입력 노출, 악용·침해 여부 및 수집 이후 상태는 확인되지 않았다.
• USN 원문은 최초 수집 자료이며 2026년 11월 1일 재수집 문서로 취급하지 않았다.