Debian GitPython 보안 업데이트: trixie 수정 패키지와 점검 방법

DSA-6594-1에 따라 Debian 13 trixie의 python-git 수정 버전 3.1.44-1+deb13u1을 확인하고, 서브모듈 처리 조건과 배포판 보안 패치 적용 여부를 점검하는 방법을 안내합니다.

공식 보안 자료를 자동 수집하고 AI 작성 보조로 정리한 글입니다. 출처와 불확실성을 함께 표시하며 실제 공격 재현·침해 판정·개별 서비스의 패치 완료를 주장하지 않습니다.

Debian trixie는 python-git 보안 패키지로 업데이트

이번 확인에서 다루는 공개 식별자: CVE-2026-100689, CVE-2026-110855, CVE-2026-110856, CVE-2026-110857, CVE-2026-110858, CVE-2026-110860, CVE-2026-114145, CVE-2026-42215, CVE-2026-42284, CVE-2026-44243, CVE-2026-44244, CVE-2026-67322, CVE-2026-67323, CVE-2026-67324, CVE-2026-67325, CVE-2026-67326, CVE-2026-69097, CVE-2026-73619, CVE-2026-73620, CVE-2026-73621, CVE-2026-73622, CVE-2026-73623, CVE-2026-73624, CVE-2026-73625, CVE-2026-76217, CVE-2026-76218, CVE-2026-76219, CVE-2026-76220, CVE-2026-76221, CVE-2026-76222, CVE-2026-78675, CVE-2026-78676, CVE-2026-78677, CVE-2026-78678, CVE-2026-78679, CVE-2026-87817, CVE-2026-87818, CVE-2026-87819. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Debian은 2026년 10월 29일 DSA-6594-1을 통해 GitPython의 여러 보안 문제를 수정했다고 공지했다. 대상 소스 패키지는 python-git이며, stable 배포판인 Debian 13 trixie의 수정 버전은 3.1.44-1+deb13u1이다. Debian은 해당 패키지의 업그레이드를 권고한다.

공지에 열거된 문제는 정보 노출, 디렉터리 경로 이탈, 임의 코드 실행 또는 서비스 거부로 이어질 수 있다. 다만 이는 여러 취약점의 영향을 합쳐 설명한 것이므로, 개별 CVE 모두에서 코드 실행이 가능하다거나 모든 설치가 공격 가능한 상태라고 해석해서는 안 된다.

영향 조건과 수정 버전 판단

구분	확인된 영향 조건과 범위	확인된 수정 기준	운영 판단
Debian DSA-6594-1	trixie의 python-git 패키지에 대한 보안 업데이트	`3.1.44-1+deb13u1`	설치 버전과 배포판 보안 업데이트 후보를 확인하고 업그레이드
CVE-2026-100689	신뢰할 수 없는 저장소의 서브모듈을 HEAD가 아닌 커밋에서 갱신하는 흐름에서 작업 트리 밖의 디렉터리 생성·내용 배치·조건부 삭제 가능	업스트림 `3.1.62`	과거 커밋을 처리하는 API·자동화의 서브모듈 갱신 경로를 우선 점검
CVE-2026-110855	악성 저장소를 복제하고 서브모듈을 갱신할 때 환경변수 값이 내부 디렉터리 이름과 DEBUG 로그에 노출될 수 있음	업스트림 `3.2.0`	비밀값을 환경변수로 받는 저장소 처리 작업을 우선 점검
Ubuntu의 CVE-2026-100689 상태	제공된 표의 모든 릴리스가 `Needs evaluation`	Ubuntu 수정 패키지 버전은 미확인	Debian 수정 버전을 Ubuntu에 적용해 판단하지 않음

영향 조건과 수정 버전 판단 — 계속 1

CVE-2026-100689의 설명은 일반적인 clone 후 update 흐름이 이 문제의 영향을 받지 않는다고 명시한다. 이 조건은 해당 CVE에 한정되며, 다른 서브모듈 취약점까지 안전하다는 뜻은 아니다.

두 CVE의 업스트림 버전과 Debian 패키지 버전은 서로 다른 기준이다. Debian 공지는 더 낮은 업스트림 버전 숫자를 가진 3.1.44-1+deb13u1을 수정판으로 명시한다. 배포판의 보안 패치 반영을 고려해 Debian 전체 버전과 공지를 기준으로 판단해야 한다. 숫자가 3.2.0보다 낮다는 이유만으로 수정된 Debian 패키지를 취약하다고 판정하지 않는다. 반대로 가상환경·컨테이너에 별도로 설치한 PyPI 패키지는 Debian 패키지 업데이트만으로 수정되지 않을 수 있다.

대응 우선순위와 공식 조치

외부 사용자가 제공한 저장소를 처리하는 서비스, 과거 커밋의 서브모듈을 갱신하는 자동화, 환경변수로 비밀값을 전달받는 CI 작업부터 설치 위치와 호출 흐름을 확인한다. 이는 확인된 영향 조건에 따른 운영상 우선순위이며 실제 악용이나 침해가 확인됐다는 뜻은 아니다.

Ubuntu는 CVE-2026-100689의 우선순위를 Medium, CVSS 3.1 점수를 5.9 Medium으로 표시한다. 제공된 CNA 발췌에는 같은 CVE의 CVSS 4.0 점수 8.7 High도 기재되어 있다. CVE-2026-110855의 CNA 발췌에는 CVSS 4.0 7.1 High, CVSS 3.1 6.5 Medium이 기재되어 있다. 평가 체계와 출처를 구분해야 하며 이 값을 DSA 전체의 공통 등급으로 사용하지 않는다.

확인된 공식 대응은 Debian trixie의 python-git 관련 패키지를 수정판으로 업그레이드하는 것이다. 승인된 Debian 저장소의 패키지 정보를 갱신한 뒤, 실제 설치된 관련 바이너리 패키지에 보안 업데이트를 적용한다. 제공된 자료에는 별도의 공식 설정 변경이나 임시 완화책이 명시되어 있지 않다. 서브모듈 처리 제한이나 로그 설정 변경만으로 전체 취약점이 해결된다고 간주하지 않는다.

읽기 전용 점검표

다음 명령은 운영자가 설치 상태를 확인하기 위한 예시다. 이 글 작성 과정에서 실행하지 않았다. apt-cache 결과는 로컬 패키지 목록의 최신성에 영향을 받는다.

읽기 전용 점검표 · bash

cat /etc/os-release
dpkg-query -W -f='${binary:Package}\t${Version}\t${source:Package}\n' 'python3-git*'
apt-cache policy python3-git
python3 -m pip show GitPython

읽기 전용 점검표 — 계속 2

운영체제가 trixie인지 확인하고 설치 패키지의 소스가 python-git인지 확인한다.
Debian 버전 비교 규칙으로 설치판이 3.1.44-1+deb13u1 수정판 또는 이를 포함하는 후속 보안판인지 확인한다.
서비스가 실제 사용하는 Python 가상환경과 컨테이너에서도 패키지 버전과 설치 위치를 확인한다. 기본 python3의 결과만으로 모든 실행 환경을 판단하지 않는다.
코드와 작업 설정을 읽어 신뢰하지 않는 저장소, 과거 커밋, 서브모듈 갱신을 처리하는지 확인한다.
DEBUG 로그의 사용 여부와 접근 권한을 점검한다. 비밀값이 포함될 수 있는 로그나 디렉터리 이름을 공개 채널로 복사하지 않는다.

업데이트 후 정상 업무 확인

업데이트 뒤 동일한 실행 환경에서 패키지 버전을 다시 확인한다. 패키지를 이미 불러온 장기 실행 작업은 운영 절차에 따라 재시작하거나 재배포해 수정된 코드를 사용하게 한다.

검증에는 신뢰할 수 있는 내부 저장소를 사용한다. 정상 복제, 필요한 서브모듈 갱신, 과거 커밋 처리 업무와 CI 결과가 예상대로 동작하는지 확인한다. 서비스 오류와 로그 접근 상태도 함께 확인한다. 공격 재현이나 비밀값 노출 실험은 이 점검 범위에 포함하지 않는다. 이 글은 테스트 성공, 패치 적용 완료 또는 침해 여부를 확인한 보고서가 아니다.

근거와 수집 확인일

원본 Debian DSA-6594-1 공지는 2026년 10월 31일 13:00:05 UTC에 수집된 자료로 제공됐다. 공지의 수정 버전과 업그레이드 권고를 작성 근거로 삼았다.

후속 자료인 CVE-2026-100689 CNA 기록, CVE-2026-110855 CNA 기록, Ubuntu의 CVE-2026-100689 상태는 2026년 11월 1일 07:59:41 UTC에 수집·확인된 것으로 기록되어 있다. 이 날짜는 제공된 수집 기록이며 편집자가 직접 재접속한 시각은 아니다.

CNA 자료는 전체 원문이 잘린 것으로 표시되어 있으나 선택된 CNA 필드 발췌는 잘리지 않은 것으로 기록되어 있다. 여기서는 제공된 필드에 있는 조건과 버전만 사용했다. 공급사 권고 링크가 들어 있다는 사실을 해당 권고 원문을 직접 확인한 것으로 취급하지 않았다.

남은 불확실성과 편집 계획

DSA에 포함된 나머지 CVE의 개별 영향 조건과 등급은 제공 자료만으로 상세히 나눌 수 없다. 다른 Debian 릴리스의 수정 상태, Ubuntu의 수정 패키지, 실제 악용 여부와 현재 운영 환경의 노출 여부도 확인되지 않았다.

설명 도식은 ‘실제 실행 환경 확인 → 배포판 패키지와 별도 설치 구분 → 수정 버전 확인 → 업데이트 → 정상 업무 확인’ 순서를 문장형 흐름으로 구성한다. OG 이미지는 Debian trixie와 수정 패키지 버전을 중심으로 계획하며, alt 문구는 ‘Debian trixie GitPython 수정 버전과 설치 환경별 점검 흐름’으로 준비한다. 이미지는 아직 제작하지 않았다.

이 글은 자동 수집 자료와 AI 작성 보조를 사용한 편집 검토 결과다. 실제 게시나 서버 변경은 수행하지 않았다. 관련 점검 자료는 보안 허브에서 함께 살펴볼 수 있다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

CNA 자료는 전체 원문 잘림 표시가 있어 제공된 선택 필드 밖의 내용은 확인하지 못했다.
Ubuntu의 CVE-2026-100689 상태는 제공된 모든 릴리스에서 Needs evaluation이며 수정 패키지는 확인되지 않았다.
다른 Debian 릴리스의 수정 상태와 대부분의 개별 CVE 영향 조건·등급은 제공 자료로 확인되지 않았다.
실제 악용, 운영 환경의 설치·노출·침해 여부와 패치 적용 결과는 확인하지 않았다.
별도의 공식 임시 완화책과 공급사 권고 원문은 제공 자료에서 직접 확인되지 않았다.