Debian trixie는 varnish 수정 패키지 적용이 필요하다
이번 확인에서 다루는 공개 식별자: CVE-2026-34475, CVE-2026-93894. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Debian의 DSA-6584-1 공지는 Varnish Cache의 CVE-2026-34475와 CVE-2026-93894를 다룬다. Debian 13 trixie에서는 두 문제가 7.7.0-3+deb13u2에서 수정됐으며, Debian은 varnish 패키지 업그레이드를 권고한다.
두 취약점은 요청 처리 방식과 VCL 구성에 따라 영향을 받는다. 설치 사실만으로 인증 우회나 서비스 거부가 발생한다고 판단해서는 안 된다.
영향 조건과 대응 판단
| 항목 | 영향 조건과 예상 영향 | 운영자 조치 |
|---|---|---|
| CVE-2026-34475 | HTTP/1.1 absolute-form 요청의 루트 URL 처리 문제다. 검사하지 않은 요청 URL을 absolute-form URI를 수용하는 백엔드로 전달하면 캐시 오염 또는 인증 우회 가능성이 있다. | trixie 수정 패키지를 적용하고 요청 URL 검증 및 백엔드 처리 구성을 검토한다. |
| CVE-2026-93894 | VCL의 .upper() 또는 .lower()가 공격자 제어 문자열에 적용되는 구성이 관련된다. 활성 VCL에 대한 지식과 요청 크기 제한 등 조건이 맞으면 작업 프로세스가 충돌하고 재시작해 서비스 거부가 발생할 수 있다. | 수정 패키지를 적용한다. 임시 완화가 필요하면 해당 메서드를 std.toupper()와 std.tolower()로 교체하는 방안을 검토한다. |
영향 조건과 대응 판단 — 계속 1
제공된 CNA 필드에서 CVE-2026-34475는 CVSS 3.1 Medium 5.4, CVE-2026-93894는 CVSS 4.0 Low 2.3이다. 서로 다른 CVSS 체계의 점수이며 Debian 자체 등급으로 해석하지 않는다. 실제 악용이나 침해 발생을 입증하는 자료는 제공되지 않았다.
인터넷 요청을 처리하면서 위 조건에 해당하는 서버부터 변경 일정을 앞당기는 것이 합리적이다. 등급이 Medium 또는 Low여도 공식 수정판과 실행 가능한 대응이 확인되므로 업데이트 대상에서 제외하지 않는다.
수정 버전과 배포판 backport 구분
| 환경 | 제공 자료에서 확인된 상태 | 대응 |
|---|---|---|
| Debian 13 trixie | DSA는 두 CVE가 7.7.0-3+deb13u2에서 수정됐다고 명시한다. 추적기는 CVE-2026-34475에 대해 7.7.0-3+deb13u1을 취약 상태로 표시한다. | 보안 저장소에서 수정 패키지 또는 해당 수정을 포함하는 후속 패키지를 확인해 적용한다. |
| Debian 12 bookworm | CVE-2026-34475 추적기는 7.1.1-2+deb12u1을 취약 상태로 표시하고 VCL 규칙으로 완화 가능하다고 설명한다. | trixie 패키지를 대신 설치하지 않는다. 해당 릴리스의 수정 제공 여부와 구체적인 완화 규칙을 추가 확인한다. |
| 그 밖의 Debian 릴리스 및 Ubuntu | 이 자료만으로 두 CVE의 릴리스별 수정 패키지를 확정할 수 없다. | 해당 배포판의 공식 패키지 상태를 별도로 확인한다. |
수정 버전과 배포판 backport 구분 — 계속 2
Debian은 상위 프로젝트의 버전 번호를 유지하면서 보안 수정을 backport할 수 있다. 따라서 7.7.0이라는 앞부분만 보고 미수정으로 판단하지 말고 -3+deb13u2를 포함한 전체 Debian 패키지 버전으로 비교해야 한다. 상위 프로젝트 버전과 Debian 패키지 버전을 같은 기준으로 직접 비교하지 않는다.
공식 완화책과 적용 범위
CVE-2026-93894 CNA 자료의 제공된 완화 항목은 VCL 문자열 메서드 .upper()와 .lower()를 각각 vmod_std의 std.toupper()와 std.tolower()로 교체하도록 안내한다. 구성 변경 전 모듈 사용 가능 여부와 기존 문자열 처리 결과를 검증해야 한다. 이 완화는 수정 패키지를 적용할 수 있을 때까지의 대응으로 검토한다.
CVE-2026-34475의 Debian 추적기는 VCL 규칙을 통한 완화를 언급하지만, 제공 본문에는 정확한 규칙이 없다. 따라서 이 글은 임의의 VCL 코드를 제안하지 않는다. trixie에서는 확인된 수정 패키지 적용을 우선한다.
읽기 전용 사전 점검
- 운영체제 릴리스와 설치된 varnish 패키지의 전체 버전을 기록한다.
- 패키지 후보 버전과 보안 저장소 구성을 확인한다.
- 실제 활성 VCL과 포함 파일에서
.upper()및.lower()사용 위치를 확인한다. - 해당 문자열이 외부 요청에서 유래하는지, 관련 요청 크기 제한이 무엇인지 검토한다.
- 요청 URL 검증과 백엔드의 absolute-form URI 처리 여부를 구성 문서에서 확인한다. 운영 서비스에 공격 요청을 보내지 않는다.
- 기존 작업 프로세스 재시작 기록, 오류율, 응답 지연을 읽기 전용으로 확인해 변경 전 기준을 남긴다.
읽기 전용 사전 점검 — 계속 3
다음 명령은 로컬 정보를 조회하며 패키지를 설치하거나 서비스를 변경하지 않는다. apt-cache policy 결과는 로컬 패키지 인덱스의 최신성에 따라 달라질 수 있다.
cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' varnish
apt-cache policy varnish
systemctl status varnish --no-pager읽기 전용 사전 점검 — 계속 4
파일 검색 결과만으로 활성 VCL을 확정하지 않는다. 배포 구성과 실행 중인 서비스가 실제로 사용하는 설정을 함께 확인한다.
업데이트와 정상 업무 확인
trixie 운영자는 공식 보안 저장소에서 7.7.0-3+deb13u2 또는 수정을 포함하는 후속 패키지를 적용하고, 패키지 절차와 운영 정책에 따라 실행 프로세스에도 수정이 반영되도록 한다. 구성 변경이 필요한 경우에는 사전 검증과 복구 절차를 준비한다.
- 적용 후 전체 패키지 버전과 서비스 실행 상태를 다시 확인한다.
- 정상적인 홈페이지·루트 경로 접근, 로그인과 권한별 접근, 로그아웃 동작을 확인한다.
- 일반적인 캐시 적중·미적중 처리와 백엔드 연결이 정상인지 확인한다.
- VCL을 변경했다면 대소문자 변환 결과와 관련 업무 흐름을 확인한다.
- 변경 전 기준과 비교해 오류율, 응답 지연, 작업 프로세스 재시작 증가 여부를 관찰한다.
업데이트와 정상 업무 확인 — 계속 5
이 문서는 점검 및 변경 계획을 제시하며 실제 테스트, 침해 조사 또는 패치 완료를 의미하지 않는다. 다른 운영 대응 자료는 보안 허브에서 확인할 수 있다.
근거 수집일과 남은 불확실성
원본 DSA의 제공된 수집 시각은 2026-10-29 02:00:05 UTC이며 공지일은 2026-10-25다. Debian 추적기와 두 CNA 자료의 추가 수집·확인 시각은 2026-11-01 04:12:03 UTC다. 이는 제공된 수집 기록이며 편집 과정에서 새로 접속해 확인한 시각이 아니다.
Debian 추적기는 완전한 본문으로 제공됐다. CVE-2026-34475 CNA 자료와 CVE-2026-93894 CNA 자료는 선택 필드가 제공됐지만 원본 잘림 표시가 있으므로 전체 문서 확인으로 취급하지 않는다. 핵심 패치 판단은 잘리지 않은 DSA의 trixie 수정 안내에 근거한다.
Ubuntu의 두 CVE 페이지 수집은 실패했다. 이를 Ubuntu 수정 상태를 확인한 결과로 사용하지 않았다. bookworm의 두 CVE 전체 대응 상태, CVE-2026-34475의 구체적인 VCL 완화 규칙, 개별 운영 환경의 노출 및 침해 여부는 추가 확인이 필요하다.
자동 수집 자료와 AI 작성 보조로 구성한 편집 글이다. 같은 사건의 원본과 후속 근거를 합쳐 검토했으며 별도 사건이나 게시 완료를 주장하지 않는다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- 두 CNA 자료는 선택 필드가 제공됐으나 원본 잘림 표시가 있어 전체 문서 확인으로 취급하지 않았다.
- Ubuntu CVE 페이지 수집이 실패해 Ubuntu의 영향 및 수정 패키지는 확인하지 못했다.
- bookworm의 두 CVE 전체 수정 상태와 CVE-2026-34475의 구체적인 VCL 완화 규칙은 제공 자료로 확정할 수 없다.
- 실제 악용, 개별 환경의 취약 조건 충족 여부, 침해 및 패치 완료 여부는 확인되지 않았다.