무엇을 조치해야 하나

이번 확인에서 다루는 공개 식별자: CVE-2026-113470. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Debian은 DSA-6573-1에서 손상된 eMudhra CA 중간 인증서를 Firefox ESR에서 차단하는 업데이트를 권고했다. CVE-2026-113470에 대한 조치다. Debian 보안 저장소가 제공하는 해당 배포판의 수정 패키지로 업데이트하는 것이 공식 대응이다.

대부분의 사용자는 Firefox의 OneCRL 기능으로 해당 인증서가 이미 차단되어 있을 수 있다. 이번 패키지 수정은 RemoteSettings가 비활성화되어 있거나 네트워크 제약으로 인증서 폐기 백엔드에 연결할 수 없는 설치에서도 차단을 적용한다. 모든 설치에서 차단이 실패했다고 해석해서는 안 된다.

영향 조건과 대응 우선순위

점검 대상공식 근거에 따른 판단대응
RemoteSettings를 비활성화한 Firefox ESR온라인 차단 정보에 의존하기 어려운 조건이며 이번 패키지 수정의 명시적 대상수정 패키지 적용을 우선 배정
폐기 백엔드 연결이 제한된 환경Debian이 명시한 추가 차단 대상저장소 접근 및 업데이트 배포 경로 확인
OneCRL이 정상 동작하는 환경대부분은 이미 차단되었을 수 있음기존 차단을 단정하지 말고 공식 패키지 업데이트 적용
Thunderbird 설치Debian 추적기에 별도 수정 패키지가 기록됨Firefox ESR과 분리해 패키지 상태 확인

영향 조건과 대응 우선순위 — 계속 1

제공 자료에는 공식 심각도 등급이나 실제 악용 확인이 없다. 따라서 Critical·High 또는 실제 악용 사건으로 표현하지 않는다. 운영 우선순위는 온라인 차단 정보 수신이 제한된 환경을 먼저 확인하는 방식으로 정한다.

영향 및 수정 버전

다음은 Debian 추적기의 소스 패키지 기준이다. 최소 수정판과 수집 당시 보안 저장소에서 fixed로 표시된 버전을 구분했다.

제품·배포판취약 상태로 표시된 버전최초 수정판수집 당시 보안 저장소의 수정 버전
firefox-esr · Debian 12 bookworm140.12.0esr-1~deb12u1153.5.1esr-1~deb12u1153.6.0esr-1~deb12u2
firefox-esr · Debian 13 trixie140.15.0esr-1~deb13u1153.5.1esr-1~deb13u1153.6.0esr-1~deb13u1
thunderbird · Debian 12 bookworm1:140.12.0esr-1~deb12u11:153.5.1esr-1~deb12u11:153.6.0esr-1~deb12u2
thunderbird · Debian 13 trixie1:140.12.0esr-1~deb13u11:153.5.1esr-1~deb13u11:153.6.0esr-1~deb13u1

영향 및 수정 버전 — 계속 2

이 표의 취약 버전은 추적기에 표시된 사례이며 전체 영향 범위를 열거한 것은 아니다. DSA-6573-1 본문은 trixie의 Firefox ESR 수정판을 직접 확인해 준다. bookworm과 Thunderbird의 버전은 추가로 수집된 Debian 추적기에 근거한다.

배포판은 보안 수정을 backport할 수 있으므로 업스트림 버전 숫자만으로 취약 여부를 판단하지 않는다. Debian 패키지의 전체 버전과 해당 배포판의 추적기 상태를 함께 비교한다. 이번 자료만으로 특정 패키지의 수정 방식을 backport라고 단정하지는 않는다.

읽기 전용 점검표

다음 명령은 설치 정보와 로컬 패키지 메타데이터를 조회한다. 패키지를 설치하거나 저장소 목록을 새로 받지 않는다.

읽기 전용 점검표 · bash
cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' firefox-esr thunderbird
apt-cache policy firefox-esr thunderbird

읽기 전용 점검표 — 계속 3

  • 배포판 코드명과 설치된 패키지의 전체 버전을 기록한다. 설치되지 않은 패키지는 조회 오류가 날 수 있다.
  • 설치판과 후보 버전을 표의 해당 배포판 수정판과 비교한다. 문자열의 사전식 비교로 판정하지 않는다.
  • 후보 패키지가 해당 Debian 배포판의 공식 저장소에서 제공되는지 확인한다. 로컬 메타데이터가 오래되면 후보 버전도 최신 상태를 반영하지 못할 수 있다.
  • 관리 정책과 설정에서 RemoteSettings 비활성화 여부를 읽기 전용으로 확인한다.
  • 기존 프록시·방화벽 정책과 연결 기록을 통해 폐기 백엔드 접근 제한 여부를 확인한다. 제공 자료에 없는 접속 주소를 추측하지 않는다.

공식 대응과 업데이트 후 확인

Debian의 공식 권고는 Firefox ESR 패키지 업그레이드다. 해당 배포판의 공식 보안 저장소에서 수정판 또는 그 이후의 지원 패키지를 적용한다. Thunderbird도 사용한다면 추적기에 기록된 별도 수정판을 기준으로 함께 검토한다.

OneCRL은 대부분의 사용자에게 기존 차단을 제공했을 수 있지만, 제공 공지는 이를 업데이트 대체 절차로 제시하지 않는다. 별도의 수동 인증서 삭제 절차나 설정 변경 완화책도 제공 자료에서 확인되지 않았다.

  • 업데이트 후 설치된 전체 패키지 버전을 다시 조회한다.
  • 작업을 저장한 뒤 프로그램을 재시작하고 실행 중인 버전을 확인한다.
  • 정상 업무용 HTTPS 사이트와 사내 인증서 사용 서비스가 정상 동작하는지 확인한다.
  • Thunderbird를 업데이트했다면 정상적인 메일 송수신과 서버 연결을 확인한다.
  • 인증서 오류가 발생하면 오류와 인증서 체인 정보를 기록하고 조사한다. 경고를 우회하는 방식으로 정상 여부를 판정하지 않는다.

공식 대응과 업데이트 후 확인 — 계속 4

이 글은 패치 적용, 인증서 차단 시험 또는 침해 조사를 수행했다는 의미가 아니다.

근거와 수집 확인일

원본 DSA-6573-1 공지는 2026년 10월 21일 발표됐으며, 제공 기록의 최초 수집 시각은 2026년 10월 25일 22:21:58 UTC다. 영향 조건과 trixie 수정판은 이 본문에서 확인했다.

추가 Debian CVE 추적기는 2026년 11월 4일 09:40:03 UTC에 수집·확인된 완전한 문서다. 표의 배포판별 패키지 상태는 이 시점의 기록이다. 후속 자료는 같은 사건의 근거 보강이며 별도 신규 사건이나 추가 패치 발표를 뜻하지 않는다.

같은 시각 수집된 CVE CNA 기록은 원문 잘림 표시가 있어 완전한 영향 범위 확인 자료로 취급하지 않았다. Ubuntu 자료는 수집 실패로 판단에서 제외했다. 관련 운영 점검 주제는 보안 허브에서 함께 확인할 수 있다.

남은 불확실성과 편집 계획

정확한 전체 영향 버전 범위, 공식 심각도, 실제 악용 여부 및 개별 환경의 OneCRL 차단 상태는 제공 자료로 확인되지 않는다. Thunderbird의 상세 영향 조건은 Firefox ESR 공지에서 그대로 확장하지 않는다.

설명 도식은 온라인 차단 정보 수신이 가능한 경로와 수신이 제한된 경로를 나란히 놓고, 패키지 업데이트가 후자의 인증서 차단도 보완한다는 흐름으로 구성한다. OG 이미지는 Debian Firefox ESR 인증서 차단 업데이트와 배포판별 패키지 점검을 중심으로 계획한다. alt 문구는 'RemoteSettings 또는 네트워크 제한 환경에서 Firefox ESR 수정 패키지 확인이 필요한 이유를 설명하는 도식'으로 준비한다.

이 글은 제공된 자동 수집 자료를 AI 작성 보조로 검토한 글이다. 외부 조회, 명령 실행, 실제 게시 및 서버 변경은 수행하지 않았다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

  • 공식 심각도와 실제 악용 여부는 제공 자료에서 확인되지 않는다.
  • 전체 영향 버전 범위와 각 설치의 OneCRL 차단 상태는 확인되지 않았다.
  • CNA 기록은 원문 잘림 표시가 있으며 Ubuntu 자료는 수집에 실패했다.
  • Thunderbird 수정 버전은 Debian 추적기로 확인했으나 상세 영향 조건은 별도 공지 본문으로 확인하지 못했다.