Debian trixie는 ImageMagick 수정 패키지를 적용해야 한다
이번 확인에서 다루는 공개 식별자: CVE-2026-102635, CVE-2026-106564. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Debian은 2026년 10월 29일 DSA-6593-1을 발표하고 trixie의 ImageMagick을 8:7.1.1.43+dfsg1-1+deb13u13으로 업데이트할 것을 권고했다. 공지는 비정상 이미지 처리 시 서비스 거부, 정보 노출 또는 잠재적인 임의 코드 실행으로 이어질 수 있는 여러 취약점을 다룬다. 모든 취약점이 코드 실행을 일으킨다는 뜻은 아니다.
외부에서 받은 이미지를 ImageMagick으로 변환하거나 썸네일·메타데이터를 생성하는 시스템부터 점검한다. 설치 여부만으로 취약 경로의 노출이나 침해를 판단할 수는 없다.
영향 조건과 수정 버전
| 대상 | 확인된 영향 조건·피해 | 확인된 수정 기준 | 판단 범위 |
|---|---|---|---|
| Debian trixie의 DSA-6593-1 대상 패키지 | 비정상 이미지 처리 시 서비스 거부·정보 노출·잠재적 임의 코드 실행 | 8:7.1.1.43+dfsg1-1+deb13u13 | 공지가 묶어서 설명한 영향이며 CVE별 코드 실행 여부는 구분하지 않음 |
| CVE-2026-102635 | GIF 애플리케이션 확장 처리에서 초기화되지 않은 힙 내용이 이미지 메타데이터에 포함될 수 있음 | 상위 프로젝트 경계는 7 계열 7.1.2-32, 6 계열 6.9.13-57 | 제공된 CNA 필드와 Debian 추적기에서 확인 |
| CVE-2026-106564 | 조작된 EXR 처리 시 힙 버퍼 밖 쓰기로 프로세스가 중단될 수 있음 | 상위 프로젝트 7.1.2-32 | 제공된 CNA 필드에서 확인; 이 자료만으로 6 계열 범위는 판단하지 않음 |
영향 조건과 수정 버전 — 계속 1
CVE-2026-102635의 제공 기록은 7 계열 7.0.0-0 이상 7.1.2-32 미만과 6 계열 6.9.13-57 미만을 영향 범위로 제시한다. CVE-2026-106564는 7.1.2-32 미만을 영향 범위로 기재한다.
Debian backport는 전체 패키지 버전으로 판단한다
Debian은 보안 수정 사항을 기존 버전에 반영할 수 있다. 따라서 trixie의 상위 버전 부분이 7.1.1.43이라는 이유만으로 미수정이라고 판정하면 안 된다. epoch와 Debian 리비전을 포함한 전체 패키지 버전을 비교해야 한다.
CVE-2026-102635 추적기는 bookworm의 최초 수정 버전을 8:6.9.11.60+dfsg-1.6+deb12u14로, 수집 시점의 security 패키지 8:6.9.11.60+dfsg-1.6+deb12u15를 fixed로 표시한다. 이는 해당 CVE의 상태이며 DSA에 포함된 모든 CVE의 bookworm 수정 여부를 보장하지 않는다.
대응 우선순위와 공식 조치
| 운영 조건 | 대응 판단 | 실행할 조치 |
|---|---|---|
| 외부 사용자의 이미지를 자동 처리 | 우선 점검·업데이트 | trixie의 공식 저장소에서 수정 패키지 적용 |
| 내부에서 검증한 이미지만 처리 | 정기 보안 변경 절차에 신속 반영 | 실제 입력 경로와 설치 패키지 확인 후 업데이트 |
| bookworm 또는 다른 배포판 | 릴리스별 판단 필요 | 해당 배포판의 CVE별 수정 상태와 패키지 리비전 확인 |
| 직접 빌드한 ImageMagick | 상위 버전 확인 필요 | 위 두 CVE의 수정 경계와 사용하는 계열을 대조 |
대응 우선순위와 공식 조치 — 계속 2
공식적으로 확인된 대응은 패키지 업그레이드다. 제공 자료에는 검증된 임시 설정 완화책이 없다. GIF·EXR 차단 등의 설정을 공식 대체 조치로 제시하지 않는다.
CVE-2026-102635의 CNA 평가는 CVSS 4.0 Medium 6.3, CVSS 3.1 Low 3.7이다. CVE-2026-106564는 CVSS 3.1 Medium 5.3이다. DSA 전체에 이 점수를 적용하지 않는다. 실제 악용이나 KEV 등재는 제공 자료에서 확인되지 않았지만, 구체적인 수정 패키지가 확인되므로 대응 대상으로 선정했다.
읽기 전용 점검표
아래 명령은 운영자가 확인할 예시이며 이 검토에서 실행하지 않았다.
cat /etc/os-release
dpkg-query -W -f='${binary:Package}\t${Version}\n' 'imagemagick*' 'libmagick*'
apt-cache policy imagemagick읽기 전용 점검표 — 계속 3
- 운영체제가 trixie인지 확인하고 설치된 관련 패키지의 전체 버전을 기록한다.
- 저장소 후보 버전이 수정 기준을 충족하는지 확인한다. 로컬 APT 목록이 오래되었다면 후보 정보도 최신이라고 단정하지 않는다.
- 웹 업로드, 작업 큐, 문서 변환, 썸네일 생성에서 ImageMagick을 호출하는 경로를 확인한다.
- GIF·EXR 처리 여부와 생성된 메타데이터가 사용자에게 반환되는지 확인한다.
- 컨테이너와 별도 빌드에 포함된 사본도 개별적으로 확인한다.
읽기 전용 점검표 — 계속 4
확인 후 배포판의 패키지 관리 절차로 관련 ImageMagick 패키지를 업데이트한다. 장기 실행 작업자가 관련 라이브러리를 계속 사용하는 경우에는 운영 절차에 따라 재기동 필요성을 판단한다.
업데이트 후 정상 업무 확인
- 설치된 전체 패키지 버전이 수정 기준을 충족하는지 다시 확인한다.
- 정상적인 업무용 이미지로 변환·썸네일 생성·메타데이터 추출 결과를 확인한다.
- GIF·EXR을 업무에서 사용한다면 정상 샘플의 처리 성공 여부를 확인한다.
- 처리 오류, 작업 큐 적체, 프로세스 중단과 응답 시간 변화를 살핀다.
업데이트 후 정상 업무 확인 — 계속 5
이는 수행할 검증 항목이다. 패치 적용, 테스트 성공 또는 침해 여부를 확인했다는 보고가 아니다.
근거와 남은 불확실성
원본 DSA-6593-1 공지는 제공 기록상 2026년 10월 31일 수집됐다. 후속 Debian CVE-2026-102635 추적기와 CVE-2026-102635 CNA 기록, CVE-2026-106564 CNA 기록은 제공된 수집 메타데이터상 2026년 11월 2일 04:20 UTC에 확인됐다. 이 편집 검토에서는 외부에 재접속하지 않았다.
CNA 자료는 원본 전체가 잘린 상태로 표시되지만, 선택된 CNA 필드는 잘리지 않았다고 기록되어 있으며 필요한 제품·영향·버전 정보가 포함되어 있다. 원본 전체를 확인했다고 주장하지 않는다. Ubuntu의 두 CVE 페이지는 수집에 실패했으므로 Ubuntu 수정 버전이나 대응 완료의 근거로 사용하지 않았다.
DSA에 열거된 나머지 CVE는 개별 영향 조건과 심각도가 제공되지 않았다. 이 글은 DSA의 trixie 업데이트 권고와 상세 근거가 있는 두 CVE를 중심으로 설명한다. 후속 자료를 같은 사건의 근거 보강으로 반영했으며 별도 보안 사건이나 게시 완료를 의미하지 않는다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- Ubuntu 출처 두 건은 수집 실패로 수정 상태를 확인할 수 없다.
- CNA 원본 전체는 잘림 표시가 있으나 선택된 CNA 필드는 잘리지 않은 것으로 제공됐다.
- DSA의 나머지 CVE별 영향 조건·심각도와 다른 배포판의 전체 수정 상태는 확인되지 않았다.
- 실제 악용, 운영 환경 노출, 침해 및 패치 적용 여부는 확인하지 않았다.