Debian trixie는 erlang 수정 패키지를 확인하세요

이번 확인에서 다루는 공개 식별자: CVE-2026-55951, CVE-2026-59696, CVE-2026-65634, CVE-2026-66357, CVE-2026-66835, CVE-2026-68956, CVE-2026-69664, CVE-2026-70399, CVE-2026-70405, CVE-2026-70409, CVE-2026-71380, CVE-2026-73270, CVE-2026-73276, CVE-2026-73812, CVE-2026-74835, CVE-2026-74994, CVE-2026-75538, CVE-2026-89422. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Debian은 DSA-6580-1에서 Erlang/OTP 취약점 18건에 대한 보안 업데이트를 권고했습니다. trixie의 수정 패키지 버전은 1:27.3.4.1+dfsg-1+deb13u4입니다. 제공된 공지는 서비스 거부, HTTP 요청 스머글링, 인증 및 접근 제한 우회, TLS 서버 사칭 가능성을 설명합니다. 이 영향 전체를 각각의 CVE에 동일하게 적용해서는 안 됩니다.

이번 초안은 기존 후보와 추가 공식 자료를 함께 검토한 결과입니다. 게시나 시스템 변경은 수행하지 않았습니다. 관련 운영 지침은 보안 허브에서도 확인할 수 있습니다.

어떤 환경부터 대응할까요

환경·조건확인된 영향대응 판단
Debian trixie의 erlang 패키지 사용DSA에 열거된 여러 구성요소의 보안 문제배포판 수정 패키지 적용을 우선 계획
취약한 OTP에서 httpc:request/4,5로 신뢰할 수 없는 서버에 접속CVE-2026-55951: 응답 헤더 처리 중 메모리 고갈과 BEAM VM 중단 가능외부 통신 경로를 먼저 확인하고 업데이트 우선
취약한 OTP에서 외부 입력 URI를 uri_string:parse/1로 처리CVE-2026-59696: 포트 문자열 변환에 따른 자원 소모와 가용성 저하외부 입력 처리 서비스의 업데이트 계획에 포함
erlang 설치만 확인되고 사용 경로는 불명확개별 취약점의 노출 여부는 미확인패키지와 애플리케이션 사용 경로를 함께 조사

어떤 환경부터 대응할까요 — 계속 1

CVE-2026-55951은 공식 High, CVSS v4.0 8.2, CVE-2026-59696은 Medium, CVSS v4.0 6.9입니다. Medium도 구체적인 수정판과 대응이 확인되어 포함했습니다. 제공 자료에는 실제 악용이나 KEV 등재를 확인할 근거가 없습니다.

Debian 패키지는 backport 기준으로 판단

배포판패키지공식 수정 버전
Debian stable, trixieerlang1:27.3.4.1+dfsg-1+deb13u4

Debian 패키지는 backport 기준으로 판단 — 계속 2

Debian 패키지는 보안 수정을 기존 버전에 backport할 수 있습니다. 따라서 패키지 이름에 보이는 27.3.4.1만으로 미수정이라고 판단하지 말고, epoch와 Debian 리비전을 포함한 전체 버전을 비교해야 합니다. 이 표를 다른 Debian 릴리스나 파생 배포판에 그대로 적용해서는 안 됩니다.

직접 설치한 Erlang/OTP의 두 취약점

CVE공식 영향 범위해당 계열 수정판
CVE-2026-55951OTP 17.0 이상, 27.3.4.17 미만OTP 27.3.4.17
CVE-2026-55951OTP 28.0 이상, 28.5.0.6 미만OTP 28.5.0.6
CVE-2026-55951OTP 29.0 이상, 29.0.6 미만OTP 29.0.6
CVE-2026-59696OTP 21.0 이상, 27.3.4.17 미만OTP 27.3.4.17
CVE-2026-59696OTP 28.0 이상, 28.5.0.6 미만OTP 28.5.0.6
CVE-2026-59696OTP 29.0 이상, 29.0.6 미만OTP 29.0.6

직접 설치한 Erlang/OTP의 두 취약점 — 계속 3

httpc 관련 inets 수정판은 계열별 9.3.2.7, 9.6.2.3, 9.7.2입니다. URI 관련 stdlib 수정판은 6.2.2.5, 7.3.0.2, 8.0.4입니다. 구성요소 버전도 해당 OTP 계열과 함께 판단해야 합니다. 위 수정판으로 나머지 16개 CVE까지 모두 해결된다고 확대 해석하지 않습니다.

공식 완화책과 업데이트 조치

CVE-2026-55951의 공급사 공지는 영향 버전에서 설정만으로 해결하는 우회책이 없다고 설명합니다. 기존 환경에 max_header_size를 추가하는 것만으로 해결됐다고 판단해서는 안 됩니다.

  • 수정 전에는 httpc의 접속 대상을 신뢰할 수 있는 서버로 제한합니다.
  • 공급사가 제시한 cgroups 또는 ulimits 등의 운영체제 메모리 제한으로 장애 범위를 줄일 수 있습니다. 이는 취약점 수정 자체를 대신하지 않습니다.
  • 헤더 크기 제한을 강제하는 다른 HTTP 클라이언트 사용을 검토할 수 있습니다.
  • 수정 후에는 요청별 max_header_size의 기본 누적 제한인 10,240바이트가 적용됩니다. 일반적인 사용자는 기본 보호를 위해 별도 설정을 추가할 필요가 없습니다.
  • Debian trixie에서는 승인된 패키지 관리 절차로 설치된 erlang 관련 패키지를 수정 버전 또는 이를 포함하는 후속 보안 버전으로 업데이트합니다.
  • 직접 설치하거나 애플리케이션에 포함한 OTP는 별도로 조사하고 해당 계열 수정판을 적용합니다.

공식 완화책과 업데이트 조치 — 계속 4

CVE-2026-59696에 대해서는 제공된 자료에서 별도의 공식 설정 완화책을 확인하지 못했습니다. 확인된 대응은 수정 버전 적용입니다.

업데이트 전 읽기 전용 점검표

다음 명령은 설치 정보와 로컬 패키지 메타데이터를 조회하는 예시입니다. 이 검토에서는 실행하지 않았습니다.

업데이트 전 읽기 전용 점검표 · bash
cat /etc/os-release
dpkg-query -W -f='${binary:Package}\t${Version}\n' 'erlang*'
apt-cache policy erlang erlang-base erlang-inets

업데이트 전 읽기 전용 점검표 — 계속 5

  • trixie 여부와 설치된 erlang 패키지의 전체 버전을 기록합니다.
  • 로컬 패키지 메타데이터의 갱신 시점을 확인합니다. 오래된 캐시만으로 최신 수정판의 제공 여부를 단정하지 않습니다.
  • 서비스 정의, 배포 명세, 컨테이너 이미지와 의존성 목록에서 실제 사용하는 OTP 위치를 확인합니다.
  • 코드와 설정을 읽어 외부 서버에 대한 httpc 요청, 리디렉션 처리, 외부 입력 URI 파싱 경로를 확인합니다.
  • 현재 메모리 사용량, 재시작 횟수, HTTP·SSH·TLS 오류의 기준값을 기록합니다.

업데이트 후 정상 업무 확인

Debian은 이번 업데이트가 프로토콜 검증과 HTTP·SSH 자원 제한을 강화하므로, 이전의 관대한 동작에 의존한 애플리케이션은 조정이 필요할 수 있다고 안내합니다.

  • 설치된 패키지 버전을 다시 조회하고 실제 서비스가 수정된 런타임을 사용하도록 필요한 재시작 또는 재배포를 수행합니다.
  • 정상 HTTP 요청과 응답, 업무상 필요한 응답 헤더 크기가 정상 처리되는지 확인합니다.
  • 실제 사용하는 SSH·TLS 연결과 인증, URI 처리 업무를 확인합니다.
  • 메모리 사용량, 지연, 연결 오류와 재시작 횟수를 업데이트 전 기준값과 비교합니다.
  • 오류가 발생하면 새 검증 규칙과 애플리케이션 호환성을 조사하고, 보호 제한을 무조건 해제하지 않습니다.

업데이트 후 정상 업무 확인 — 계속 6

이 항목은 운영자가 수행할 검증 계획입니다. 패치 완료, 테스트 통과 또는 침해 여부를 확인했다는 의미가 아닙니다.

근거와 남은 불확실성

Debian DSA-6580-1은 2026년 10월 23일 공지이며, 제공 기록의 최초 수집일은 2026년 10월 25일 UTC입니다. httpc 공급사 보안 공지, CVE-2026-55951 CNA 기록, CVE-2026-59696 CNA 기록의 수집·확인 기록은 2026년 11월 1일 UTC입니다. 이 날짜는 제공된 수집 기록이며 편집 과정의 실시간 재접속 확인일이 아닙니다.

  • 공급사 공지와 CNA 자료에는 잘림 또는 발췌 표시가 있습니다. 본문은 실제로 제공된 영향 조건, 버전, 대응 구간에 한정했습니다.
  • CVE-2026-55951의 OTP 17.0 이전 버전은 CNA에서 영향 불명으로 분류합니다. 공급사 공지는 영향 가능성을 언급하지만 확정 범위로 표기하지 않았습니다.
  • 두 커밋 URL은 추가 수집 실패로 기록되어 있어 패치 내용을 직접 확인한 근거로 사용하지 않았습니다.
  • 나머지 16개 CVE는 DSA의 일괄 업데이트 대상으로 확인됩니다. 개별 영향 조건, 심각도, upstream 수정 버전은 이 자료만으로 확정하지 않았습니다.
  • trixie 이외 배포판의 수정 패키지와 현장 설치·침해 상태는 확인하지 않았습니다.

근거와 남은 불확실성 — 계속 7

자동 수집된 공식 자료를 바탕으로 AI가 초안 작성을 보조했습니다. 외부 도구 실행, 서명 검증, 운영 환경 점검 또는 실제 게시는 수행하지 않았습니다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

  • 공급사·CNA 자료에 잘림 표시가 있어 제공된 구간 밖의 내용은 확인하지 않았다.
  • 두 커밋의 추가 수집은 실패했으며 패치 내용을 직접 검토하지 않았다.
  • CVE-2026-55951의 OTP 17.0 이전 영향 여부는 확정하지 못했다.
  • 나머지 16개 CVE의 개별 영향 조건·심각도·upstream 수정판은 제공 자료로 확정할 수 없다.
  • trixie 외 배포판의 수정 버전, 실제 악용 여부, 운영 환경의 설치·침해·패치 상태는 확인하지 않았다.