설정에서 익명 인증을 꺼도 영향을 받을 수 있습니다

이번 확인에서 다루는 공개 식별자: CVE-2017-10807. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

CVE-2017-10807은 JabberD 2.x(jabberd2)가 c2s.xml의 sasl.anonymous 옵션을 활성화하지 않은 경우에도 SASL ANONYMOUS 인증을 허용하는 문제입니다. Ubuntu USN-8984-1은 원격 공격자가 이 문제로 인증을 우회할 가능성이 있다고 설명합니다. 익명 인증 비활성화 설정만으로 수정 여부를 판단해서는 안 됩니다.

이번 검토는 기존 후보에 공식 자료를 추가한 같은 사건의 후속 검토입니다. Ubuntu 공지의 구체적인 수정 패키지와 재시작 지침을 근거로 초안을 작성했습니다. 게시나 운영 시스템 변경은 수행하지 않았습니다.

영향 범위와 수정 버전

| 대상 | 공식 자료에서 확인한 범위 | 대응 기준 | | 제품 공통 | JabberD 2.x의 2.6.1 이전 버전 | 배포판 패키지는 아래 백포트 정보를 함께 확인 | | Ubuntu 16.04 LTS xenial | USN-8984-1의 대상 릴리스 | jabberd2를 2.3.4-1ubuntu2+esm1 또는 해당 릴리스에서 제공하는 후속 수정 패키지로 업데이트 | | Debian stretch | DSA-3902-1의 대상 | 수정 버전 2.4.0-3+deb9u1 확인 | | Debian unstable | 보안 추적기의 수정 기록 | 수정 버전 2.6.1-1 확인 | | Debian bookworm | 수집 시점 패키지 2.7.0-4 | 추적기에서 fixed로 표시 | | Debian trixie | 수집 시점 패키지 2.7.0-8 | 추적기에서 fixed로 표시 | | Debian forky·sid | 수집 시점 패키지 2.7.0-10 | 추적기에서 fixed로 표시 |

Ubuntu와 Debian의 수정 패키지는 업스트림 2.6.1보다 낮은 버전 번호에도 보안 수정이 반영된 백포트 사례입니다. 숫자만 비교해 취약하다고 판단하지 말고 운영체제 릴리스와 배포판의 전체 패키지 버전을 대조해야 합니다. 표는 모든 릴리스의 전체 영향 범위를 뜻하지 않습니다.

운영자가 실행할 조치

Ubuntu 16.04 운영자는 공식 저장소에서 수정 패키지 제공 여부를 확인하고 표준 시스템 업데이트를 적용해야 합니다. USN-8984-1은 업데이트 후 jabberd2를 재시작해야 필요한 변경이 모두 반영된다고 명시합니다. 서비스 중단을 고려해 작업 시간을 정하고 재시작 후 업무 기능을 확인하세요.

Debian 운영자는 해당 릴리스의 보안 수정 패키지와 설치 버전을 대조해야 합니다. 오래된 stretch 수정 기록은 해당 환경의 현재 지원 상태나 저장소 접근 가능성을 보장하지 않습니다.

제공된 공식 자료에서 별도의 임시 완화책은 확인되지 않았습니다. 특히 익명 인증을 끄는 설정은 이 취약점의 영향을 받는 조건 자체에 포함되므로 패치 대체책으로 제시할 수 없습니다.

대응 우선순위 판단

| 확인 사항 | 판단과 조치 | | 외부에서 접근 가능한 jabberd2이며 수정 여부가 불명확함 | 인증 경계에 영향을 줄 수 있으므로 버전 확인과 업데이트 계획을 우선 진행 | | 익명 인증을 금지하는 정책을 사용함 | 설정만 믿지 말고 수정 패키지 적용 여부 확인 | | 배포판 수정 버전이 설치되어 있음 | 실행 중인 서비스의 수정 반영 여부와 정상 업무 확인 | | jabberd2 설치·운영 여부가 확인되지 않음 | 자산 목록과 패키지 정보를 먼저 확인 |

제공된 자료에는 공식 심각도 등급, 실제 악용 또는 KEV 등재 근거가 없습니다. 이를 임의로 보완하지 않았으며, 인증 우회 가능성과 구체적인 수정 조치를 기준으로 대응을 권고합니다.

읽기 전용 점검표

다음 항목은 변경 작업 전에 조회로 확인할 사항입니다. 공격 재현이나 익명 인증 시도는 포함하지 않습니다.

  • 자산 목록에서 jabberd2 운영 여부와 담당자를 확인합니다.
  • 운영체제 릴리스와 설치된 jabberd2의 전체 패키지 버전을 확인합니다.
  • 패키지 관리자의 설치 버전·업데이트 후보·저장소 정보를 공식 수정 버전과 대조합니다.
  • c2s.xml의 익명 인증 설정을 읽어 운영 정책을 확인하되, 비활성화 상태를 안전의 증거로 삼지 않습니다.
  • 서비스 상태와 기존 로그에서 가용성 문제 및 평소와 다른 인증 기록을 확인합니다. 기록만으로 침해 여부를 단정하지 않습니다.

업데이트 후 정상 업무 확인

  • 설치 버전이 해당 릴리스의 수정 패키지에 해당하는지 다시 확인합니다.
  • Ubuntu에서는 공지가 요구한 jabberd2 재시작이 완료됐는지 확인합니다.
  • 서비스 상태와 로그에서 시작 실패·인증 오류 증가 여부를 확인합니다.
  • 승인된 일반 계정으로 정상 로그인과 메시지 송수신 등 평소 업무를 확인합니다.
  • 익명 인증 정책이 의도대로 유지되는지 설정과 운영 기록을 검토합니다.

업데이트 후 정상 업무 확인 — 계속 1

이 문서는 실제 환경에서 업데이트, 재시작, 기능 시험 또는 침해 조사를 완료했다는 보고가 아닙니다.

공식 근거와 수집 시점

Ubuntu USN-8984-1은 2026년 11월 3일자로 표시되어 있으며, 제공된 원본 수집 시각은 2026년 11월 3일 20:00:04 UTC입니다. 이 공지에서 Ubuntu 16.04 수정 버전과 업데이트 후 재시작 지침을 확인했습니다.

Debian CVE 추적기와 DSA-3902-1 추적 기록은 2026년 11월 5일 18:12:31 UTC에 성공적으로 수집된 완전한 문서를 근거로 검토했습니다.

CVE 등록 자료도 같은 시각에 수집됐지만 원본 잘림 표시가 있습니다. 선택된 설명 필드는 확인할 수 있으나 전체 문서를 완전하게 확인한 것으로 취급하지 않았습니다. Ubuntu의 별도 CVE 페이지는 수집에 실패했으므로 새 확인 근거로 사용하지 않았습니다.

남은 불확실성

실제 설치 버전, 저장소 이용 자격, 서비스 노출 범위와 침해 여부는 확인되지 않았습니다. Ubuntu 공지의 수정 패키지가 개별 환경에서 현재 제공되는지도 운영자가 확인해야 합니다. 이 검토는 제공된 수집본에 한정되며 실시간 재조회는 수행하지 않았습니다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

  • Ubuntu 별도 CVE 페이지는 수집 실패로 확인 근거에서 제외했다.
  • CVE JSON은 선택된 필드는 확인 가능하지만 원본 잘림 표시가 있어 전체 확인으로 취급하지 않았다.
  • 공식 심각도 등급, 실제 악용 및 KEV 등재 여부는 제공 자료에서 확인되지 않았다.
  • 실제 운영 환경의 설치 버전, 저장소 접근 가능성, 패치 반영 및 침해 여부는 확인하지 않았다.