GitPython 보안 업데이트: Debian 수정 패키지와 서브모듈 영향 조건 점검

Debian GitPython 사용 환경에서 확인할 조치

이번 확인에서 다루는 공개 식별자: CVE-2026-100689, CVE-2026-110855. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Debian은 2026년 10월 29일 DSA-6594-1을 통해 GitPython의 여러 보안 문제를 수정하고 python-git 패키지 업그레이드를 권고했다. trixie의 공식 수정 버전은 3.1.44-1+deb13u1이다. 공지는 정보 노출, 디렉터리 경로 이탈, 임의 코드 실행, 서비스 거부를 묶어서 설명한다. 이 영향을 모든 개별 CVE에 동일하게 적용해서는 안 된다.

이 글은 배포판 업데이트 조치와 함께, 상세 조건이 제공된 CVE-2026-100689 및 CVE-2026-110855를 중심으로 점검 대상을 좁힌다. GitPython이 설치되어 있다는 사실만으로 해당 조건 충족이나 침해를 판단할 수는 없다.

영향 조건과 수정 버전

영향 조건과 수정 버전 — 계속 1

CVE-2026-100689 설명은 일반적인 clone 후 update 흐름이 정규화된 트리 조회로 경로를 다시 얻으므로 해당 문제의 영향을 받지 않는다고 명시한다. 이 예외를 다른 서브모듈 취약점까지 확대해서는 안 된다.

bookworm 수정 버전은 제공된 CVE-2026-100689 추적기에서 확인한 값이다. 이 버전이 DSA에 포함된 다른 모든 CVE도 수정한다고 판단할 근거는 제공되지 않았다.

배포판 backport를 판별하는 방법

Debian 수정 패키지는 업스트림보다 낮은 기본 버전 번호를 유지하면서 보안 수정을 반영할 수 있다. 따라서 trixie의 3.1.44라는 부분만 보고 미수정으로 분류하지 말고 Debian 리비전을 포함한 전체 버전과 배포판을 함께 확인해야 한다.

가상환경, 컨테이너 또는 별도 Python 설치에서 PyPI 패키지를 사용하는 경우에는 호스트의 Debian 패키지 업데이트가 해당 실행 환경까지 바꾸지 않을 수 있다. 각 업무가 실제로 사용하는 인터프리터를 기준으로 확인한다.

우선순위 판단

우선순위 판단 — 계속 2

제공된 CNA 기록에서 CVE-2026-100689는 CVSS 4.0 High 8.7, CVSS 3.1 Medium 5.9이며, CVE-2026-110855는 각각 High 7.1, Medium 6.5다. 평가 체계에 따른 차이를 그대로 표시한다. 제공 자료에는 실제 악용이나 KEV 등재를 확인할 근거가 없다.

읽기 전용 점검표

다음 명령은 설치 정보와 현재 로컬 패키지 목록의 후보 버전을 조회한다. 업데이트나 저장소 접근, 서브모듈 실행은 수행하지 않는다. apt-cache 결과는 로컬 목록의 갱신 시점에 따라 오래된 값일 수 있다.

cat /etc/os-release
dpkg-query -W -f='${binary:Package}\t${Version}\n' python3-git
apt-cache policy python3-git
python3 -c 'from importlib.metadata import version; print(version("GitPython"))'

읽기 전용 점검표 — 계속 3

• 배포판이 bookworm인지 trixie인지 확인한다.
• Debian의 소스 패키지명 python-git과 일반적인 Python 3 바이너리 패키지명 python3-git을 구분한다.
• Python 조회는 해당 업무가 사용하는 인터프리터와 가상환경에서 반복한다.
• 코드와 작업 설정을 읽어 외부 저장소 입력, 서브모듈 업데이트, HEAD가 아닌 커밋 처리 여부를 확인한다.
• DEBUG 로그 설정과 로그 접근 권한을 확인한다. 점검 과정에서 비밀값이나 민감한 경로를 공유하지 않는다.
• 설치 버전 확인만으로 침해 여부나 패치 적용 완료를 선언하지 않는다.

업데이트와 업무 확인

trixie 운영자는 승인된 Debian 보안 저장소를 통해 3.1.44-1+deb13u1 수정 패키지를 적용한다. bookworm에서는 CVE-2026-100689에 대해 3.1.30-1+deb12u3 수정 상태를 확인하고, 나머지 문제의 배포판 대응은 별도로 확인한다. 업스트림 패키지로 두 상세 CVE를 함께 대응할 때는 각각의 수정 기준인 3.1.62와 3.2.0을 구분해 의존성 및 호환성을 검토한다.

제공된 공식 자료에서 확인되는 대응은 수정 패키지로 업데이트하는 것이다. 별도의 공식 설정 완화책이나 업데이트 대체 절차는 확인되지 않았다. 외부 저장소 처리 제한 등 운영상 임시 통제를 선택하더라도 공식 수정 완료와 동일하게 취급하지 않는다.

업데이트 후에는 실제 실행 환경의 패키지 버전을 다시 확인하고, 필요한 경우 장기 실행 작업자를 재시작한다. 신뢰할 수 있는 테스트 저장소로 정상 clone, 서브모듈 갱신, 필요한 과거 커밋 처리 업무를 확인한다. 이어 작업 디렉터리 위치, 접근 권한, 오류 로그와 작업 결과가 정상인지 검증한다. 이는 수행할 검증 절차이며 이 글에서 테스트나 패치 완료를 확인한 것은 아니다.

근거와 수집 시점

• Debian DSA-6594-1: 제공된 원문 최초 수집 기록은 2026년 10월 31일 23:00:05 UTC다. trixie 수정 버전과 업그레이드 권고의 근거다.
• Debian CVE-2026-100689 추적기: 2026년 11월 3일 15:01:42 UTC 수집·확인 기록. bookworm 및 trixie 수정 패키지의 근거다.
• CVE-2026-100689 CNA 기록: 같은 11월 3일 시각 수집 기록. 영향 조건과 업스트림 수정 기준을 제공한다.
• CVE-2026-110855 CNA 기록: 같은 11월 3일 시각 수집 기록. 환경변수 노출 조건과 업스트림 수정 기준을 제공한다.

근거와 수집 시점 — 계속 4

이 글은 자동 수집된 공식 자료 발췌와 AI 작성 보조를 이용한 초안이다. 별도 실시간 조회, 설치 환경 조사, 서명 검증 또는 침해 조사는 수행하지 않았다. 관련 운영 점검 주제는 보안 허브에서 이어서 볼 수 있다.

남은 불확실성과 시각 자료 계획

CNA 기록은 선택 필드 발췌가 잘리지 않았다고 표시되지만 원본 전체에는 잘림 표시가 있다. 따라서 제공된 필드 밖의 내용까지 검토했다고 주장하지 않는다. Ubuntu 출처는 수집 실패로 표시되어 Ubuntu 수정 패키지나 USN 대응을 확인한 근거로 사용하지 않았다. DSA의 나머지 CVE는 개별 영향 조건과 업스트림 수정 버전이 제공되지 않아 상세 분석 범위에서 제외했다.

설명 도식은 ‘저장소 입력 → 실제 서브모듈 처리 조건 → 설치 경로별 수정 기준 → 업무 검증’ 순서로 구성한다. OG 이미지는 Debian 수정 패키지와 서브모듈 점검이라는 핵심을 표시한다. 대체 텍스트는 ‘Debian GitPython의 배포판 수정 버전과 서브모듈 영향 조건을 비교하는 점검 흐름’으로 계획한다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

• Ubuntu 출처 수집이 실패하여 Ubuntu 영향·수정 패키지는 확인하지 못했다.
• CNA 선택 필드는 잘리지 않았으나 원본 전체에는 잘림 표시가 있어 전체 문서 확인으로 취급하지 않았다.
• bookworm의 확인된 수정 버전은 CVE-2026-100689에 한정되며 다른 CVE의 수정 여부로 확대하지 않았다.
• DSA에 포함된 나머지 CVE의 개별 조건·수정 버전과 별도의 공식 완화책은 제공 자료로 확인되지 않았다.
• 실제 악용, 운영 환경의 영향 여부, 침해 및 패치 완료는 확인하지 않았다.