Debian trixie에서 확인할 수정 패키지
이번 확인에서 다루는 공개 식별자: CVE-2026-100801, CVE-2026-117860. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Debian 보안 공지 DSA-6590-1은 Firefox ESR의 여러 보안 문제를 수정하고 firefox-esr 패키지 업그레이드를 권고한다. Debian 13의 코드명인 trixie에 명시된 수정판은 153.6.0esr-1~deb13u1이다. 해당 배포판에서 Firefox ESR을 사용하는 조직은 설치 버전과 보안 저장소의 업데이트 후보를 확인하고 업데이트를 진행할 수 있다.
공지에는 임의 코드 실행, 샌드박스 탈출, 동일 출처 정책 우회, 권한 상승, 정보 노출, 스푸핑 가능성이 묶음 단위로 설명돼 있다. 이 영향을 개별 CVE 모두에 적용하거나 모든 설치 환경에서 발생한다고 해석해서는 안 된다.
영향 범위와 대응 판단
| 점검 항목 | 제공된 공식 자료에서 확인한 내용 | 운영 판단 |
|---|---|---|
| 대상 | Debian trixie의 firefox-esr | 배포판과 패키지 설치 여부부터 확인 |
| 취약 버전 사례 | Debian 추적기는 trixie의 140.15.0esr-1~deb13u1을 CVE-2026-100801에 취약한 것으로 표시 | 이 버전이 확인되면 업데이트 대상으로 분류 |
| 수정 패키지 | DSA-6590-1의 trixie 수정판은 153.6.0esr-1~deb13u1 | 해당 수정판 또는 이를 포함하는 후속 보안 패키지 적용 |
| CVE-2026-100801 | Mozilla CNA 설명은 DLL Services 구성요소의 권한 상승으로 명시 | 구체적인 운영체제·공격 전제는 제공 발췌만으로 확정하지 않음 |
| CVE-2026-117860 | Mozilla CNA 설명은 DOM: Navigation의 동일 출처 정책 우회로 명시 | 개별 재현 조건은 미확인이나 Debian의 패키지 업데이트 권고는 확인 |
| 심각도·악용 | 제공 자료에 개별 공식 등급과 실제 악용 근거가 없음 | Critical·High 또는 악용 중으로 표기하지 않음 |
영향 범위와 대응 판단 — 계속 1
이번 선정 근거는 심각도 추정이 아니라 배포판이 명시한 정확한 수정 패키지와 업그레이드 권고다. 웹 콘텐츠를 처리하는 업무용 브라우저의 보안 업데이트로 우선 처리하되, 조직의 노출 환경과 변경 일정을 함께 고려한다.
배포판 패키지와 backport 해석
Debian 패키지는 upstream 버전뿐 아니라 ~deb13u1 같은 배포판 리비전까지 확인해야 한다. 보안 수정이 backport되는 경우 upstream 숫자만으로 취약 여부를 판정할 수 없다. 이번 공지에서 확인되는 조치는 trixie용 153.6.0esr-1~deb13u1로의 업데이트이며, 이전 패키지에 같은 수정이 backport됐다고 추정하지 않는다.
Debian 추적기는 CVE-2026-100801에 대해 bookworm 보안 패키지 153.6.0esr-1~deb12u2도 수정 상태로 표시한다. 다만 이 정보를 DSA 전체 CVE 묶음의 bookworm 수정 보장으로 확대하지 않는다. Thunderbird 역시 이 글의 패키지 업데이트 대상과 구분한다.
읽기 전용 점검표
다음은 운영자가 수행할 수 있는 조회 예시다. 이 글을 작성하면서 실제 시스템에서 실행하지 않았다.
cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' firefox-esr
apt-cache policy firefox-esr읽기 전용 점검표 — 계속 2
- 운영체제가 Debian trixie인지 확인한다.
firefox-esr설치 여부와 전체 패키지 버전을 기록한다.- 업데이트 후보가 trixie의 보안 수정판인지 확인한다. 로컬 APT 목록이 오래됐다면 조회 결과만으로 최신 상태를 단정하지 않는다.
- 다른 배포판, 별도 설치 파일, 컨테이너 또는 다른 배포 채널의 Firefox에는 이 패키지 판정을 그대로 적용하지 않는다.
- 설치 버전이 표의 취약 버전 사례와 다르더라도 그 사실만으로 안전하다고 판정하지 않는다.
공식 대응과 업데이트 후 확인
Debian이 명시한 대응은 firefox-esr 패키지 업그레이드다. trixie 운영자는 정상적인 Debian 보안 업데이트 경로를 통해 명시된 수정판 또는 이를 포함하는 후속 보안 패키지를 적용하고, 설치된 전체 버전을 다시 확인한다. 제공 자료에는 업데이트를 대체할 공식 설정 변경이나 임시 완화책이 제시돼 있지 않다.
- 진행 중인 작업을 저장한 뒤 업데이트와 브라우저 재시작을 계획한다.
- 업데이트 후 패키지 버전과 브라우저의 정상 실행을 확인한다.
- 사내 포털, 업무용 인증, 파일 업로드·다운로드, 필수 확장 기능을 확인한다.
- 장애가 발생하면 오류와 패키지 버전을 기록해 변경 관리 절차에 따라 대응한다.
공식 대응과 업데이트 후 확인 — 계속 3
위 항목은 운영 확인 제안이다. 패치 적용, 업무 테스트 또는 침해 여부 확인이 완료됐다는 의미는 아니다.
근거와 남은 불확실성
Debian DSA-6590-1은 2026년 10월 28일 공지로 제공됐다. 원본 사건의 수집 기록은 2026년 10월 29일 02:00:05 UTC이며, 후속 Debian CVE 추적기와 두 CNA 발췌의 수집·확인 기록은 2026년 11월 3일 15:12:53 UTC다. 이는 제공된 자동 수집 기록이며 편집자가 원문을 실시간 재조회한 시각은 아니다.
개별 설명은 CVE-2026-100801 CNA 기록과 CVE-2026-117860 CNA 기록을 사용했다. 두 자료는 선택 발췌가 잘리지 않았다고 표시됐지만 원본 전체에는 잘림 표시가 있어 완전한 문서 확인으로 취급하지 않았다. 정확한 trixie 패키지 조치는 별도로 제공된 잘리지 않은 Debian 공지와 추적기에 근거한다.
Ubuntu 출처는 수집 실패로 기록돼 있어 Ubuntu의 영향·수정 버전 근거로 사용하지 않았다. 나머지 공지 수록 CVE는 개별 조건과 등급을 분석하지 않았으며, 묶음 공지의 영향을 각 CVE에 배분하지 않았다. 실제 악용, 설치 환경의 침해, 별도 완화책은 확인되지 않았다.
이 글은 같은 사건의 원본 공지와 후속 자료를 함께 검토한 결과다. 별도 신규 사건이나 발행 완료를 뜻하지 않는다. 자동 수집 자료와 AI 작성 보조를 사용했으며 실제 게시나 서버 변경은 수행하지 않았다. 다른 대응 가이드는 보안 허브에서 확인할 수 있다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- 개별 CVE의 상세 공격 전제, 공식 심각도와 실제 악용 여부는 제공 자료로 확인되지 않았다.
- CNA 자료는 원본 전체 잘림 표시가 있어 완전한 문서 확인으로 취급하지 않았다.
- Ubuntu 자료는 수집 실패했으며 Ubuntu 수정 버전을 확인하지 못했다.
- DSA에 열거된 나머지 CVE의 개별 영향 조건은 확인하지 않았다.
- 배포판 패키지 업데이트 외 공식 임시 완화책은 제공되지 않았다.
- 실제 시스템의 설치 상태, 패치 적용, 업무 테스트와 침해 여부는 확인하지 않았다.