Net-SNMP 서비스 거부 취약점: Ubuntu 수정 패키지와 점검 방법

Ubuntu Net-SNMP 업데이트 대상과 영향 조건

이번 확인에서 다루는 공개 식별자: CVE-2026-89147. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Ubuntu는 2026년 11월 4일 USN-8997-1을 통해 CVE-2026-89147 수정 패키지를 안내했다. Ubuntu 22.04·24.04·26.04 LTS 운영자는 설치 패키지와 SMUX 사용 여부를 확인하고 해당 릴리스의 보안 업데이트를 적용해야 한다.

이 취약점은 Net-SNMP의 SMUX 연결 처리에서 발생한다. SMUX 리스너에 접근 가능한 비인증 원격 클라이언트 때문에 snmpd 처리가 무기한 대기하여 SNMP 처리 전체가 중단될 수 있다. 모니터링 수집이 끊기는 등 가용성에 영향을 줄 수 있지만, 제공 자료는 정보 유출이나 코드 실행을 설명하지 않는다.

Ubuntu CVE 문서는 Debian과 Ubuntu에서 SMUX가 런타임 기본값으로 활성화되지 않는다고 명시한다. 따라서 Net-SNMP 설치 사실만으로 모든 시스템이 같은 조건에 노출됐다고 판단하면 안 된다. SMUX 활성화 여부와 리스너 접근 가능성을 함께 확인해야 한다.

수정 버전과 배포판별 판단

CVE 등록 자료는 업스트림 Net-SNMP 5.9.5.2 이하를 영향 범위로 기재한다. 배포판 패키지는 수정 사항을 기존 버전 계열에 반영하는 backport를 사용하므로 업스트림 숫자만 비교해 취약 여부를 판정하지 않는다.

수정 버전과 배포판별 판단 — 계속 1

Ubuntu USN의 업데이트 대상은 26.04·24.04의 libsnmp40t64, snmp, snmpd와 22.04의 libsnmp40, snmp, snmpd다. 표의 버전은 각 릴리스에 대응한다. Debian 정보는 Debian 보안 추적기에 근거하며, sid의 수정 버전을 안정판에 직접 설치하라는 의미는 아니다.

대응 우선순위와 공식 조치

Ubuntu의 처리 우선순위는 Medium이다. CVSS 3.1은 7.5 High, CVSS 4.0은 8.7 High로 표시되어 있다. 배포판 우선순위와 CVSS 심각도는 서로 다른 지표이므로 함께 읽어야 한다.

대응 우선순위와 공식 조치 — 계속 2

공식 대응은 Ubuntu가 제공하는 표준 시스템 업데이트다. Ubuntu CVE 문서는 개별 패치만 골라 적용하는 방식을 권장하지 않는다. 제공 자료에서 별도의 공식 설정 완화 절차는 확인되지 않았으므로, 특정 설정 변경을 검증된 패치 대체책으로 제시하지 않는다.

제공된 자료에는 실제 악용이나 KEV 등재를 확인할 근거가 없다. 이는 악용이 없다는 증명도 아니다.

업데이트 전 읽기 전용 점검

아래 명령은 설치 버전·서비스 상태·리스너를 조회하기 위한 예시다. 이 검토에서 실행한 결과는 아니다.

cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' snmpd snmp libsnmp40 libsnmp40t64
apt-cache policy snmpd snmp libsnmp40 libsnmp40t64
systemctl status snmpd --no-pager
systemctl cat snmpd
ss -lnt

업데이트 전 읽기 전용 점검 — 계속 3

• 운영체제 릴리스와 설치 패키지의 전체 버전 문자열을 기록한다. 설치되지 않은 패키지는 조회 오류가 날 수 있다.
• 서비스 실행 옵션과 실제로 읽는 설정 파일에서 SMUX 사용 여부를 확인한다. 리스너 조회만으로 비활성화를 확정하지 않는다.
• 리스너가 있다면 바인딩 주소, 방화벽, 네트워크 접근 정책을 읽기 전용으로 확인한다.
• 설치 버전과 저장소 후보 버전을 릴리스별 수정판과 비교한다. 패키지 인덱스가 오래됐다면 후보 버전 조회도 최신 상태를 보장하지 않는다.
• 업데이트 전에 정상 상태의 SNMP 수집 주기와 주요 모니터링 지표를 기록한다.

업데이트와 정상 업무 확인

Ubuntu 22.04·24.04·26.04 LTS는 조직의 변경 절차에 따라 해당 릴리스 저장소의 보안 업데이트를 적용한다. 패키지 업데이트 과정에서 서비스 재시작이 발생할 수 있으므로 모니터링 공백을 고려해 작업 시간을 정한다.

• 업데이트 후 설치 버전이 해당 릴리스의 수정판 또는 수정 사항을 포함하는 후속판인지 다시 조회한다.
• 패키지 또는 운영 절차가 요구하는 서비스 재시작을 처리하고 snmpd 상태와 로그를 확인한다.
• 기존 모니터링 시스템에서 정상적인 SNMP 조회와 지표 수집이 재개되는지 확인한다.
• SMUX를 사용하는 업무가 있다면 기존 연동과 접근 통제가 유지되는지 확인한다.
• 수집 지연, 누락, 경보 전달 등 실제 업무 지표를 업데이트 전 기준과 비교한다. 공격 트래픽으로 재현하지 않는다.

근거 확인일과 남은 불확실성

USN 본문의 제공 수집 시각은 2026년 11월 4일 21:00:04 UTC다. Ubuntu CVE 문서와 Debian 보안 추적기, CVE 등록 자료의 수집·확인 시각은 2026년 11월 5일 22:51:27 UTC다. 이는 제공된 수집 기록이며 편집자가 원문에 새로 접속해 확인한 시각이 아니다.

• USN-8997-1: Ubuntu 수정 패키지와 표준 업데이트 조치의 근거다.
• Ubuntu CVE 문서: 릴리스별 상태, Medium 우선순위, SMUX 기본 비활성화 설명의 근거다.
• Debian 보안 추적기: Debian 릴리스별 취약·수정 상태의 근거다.
• CVE 등록 자료: 영향 범위와 CVSS 설명을 보조한다. 원본 잘림 표시가 있어 완전한 문서 검증으로 취급하지 않았다.

근거 확인일과 남은 불확실성 — 계속 4

업스트림의 정확한 최초 수정 릴리스, 구형 Ubuntu 릴리스의 최종 평가, 실제 운영 환경의 SMUX 노출 여부는 확정되지 않았다. 이 글은 같은 사건의 원본과 추가 공식 근거를 함께 검토한 결과이며, 별도 사건이나 발행 완료를 뜻하지 않는다.

자동 수집 자료와 AI 작성 보조를 이용해 준비한 초안이다. 서버 점검, 침해 조사, 패치 적용 또는 적용 후 테스트를 수행한 것으로 주장하지 않는다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

• 업스트림의 정확한 최초 수정 릴리스는 제공 자료에서 확인되지 않는다.
• Ubuntu 20.04·18.04·16.04·14.04 LTS는 평가 필요 상태로 수정 여부를 확정할 수 없다.
• CVE 등록 자료는 원본 잘림 표시가 있어 완전한 문서로 검증하지 않았다.
• 실제 설치 환경의 SMUX 활성화·접근 가능성, 침해 여부와 패치 적용 결과는 확인하지 않았다.
• 제공 자료에는 별도의 공식 설정 완화 절차나 실제 악용 확인 근거가 없다.