Ubuntu 16.04 운영자는 수정 패키지와 애플리케이션 재시작을 확인하세요
이번 확인에서 다루는 공개 식별자: CVE-2018-3760. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Ubuntu의 USN-8990-1은 CVE-2018-3760에 대해 Ubuntu 16.04 LTS의 ruby-sprockets 수정 패키지 3.3.0-1ubuntu0.1~esm1을 안내합니다. 공식 대응은 시스템 업데이트와 Sprockets를 사용하는 애플리케이션의 재시작입니다.
이 취약점은 2018년에 공개됐습니다. 이번 검토는 같은 CVE에 대한 2026년 11월 3일자 Ubuntu 공지와 기존 Debian 자료를 함께 검토한 것이며, 새로운 취약점이나 실제 악용 발견을 의미하지 않습니다.
영향 조건과 대응 우선순위
Sprockets 서버를 운영 환경에서 사용할 때, 원격 공격자가 애플리케이션 루트 밖에 있는 파일에 접근할 수 있는 경로 탐색 취약점입니다. 패키지 설치 사실만으로 외부 노출이나 침해가 확인되는 것은 아닙니다. 실제 서비스가 Sprockets 서버를 사용하는지와 해당 경로의 네트워크 접근 가능성을 함께 확인해야 합니다.
Ubuntu는 처리 우선순위를 Medium, CVSS v3.0 기본 점수를 7.5 High로 표시합니다. 서로 다른 지표이므로 구분해서 해석해야 합니다. 운영 중인 Sprockets 서버에 외부에서 접근할 수 있다면 업데이트를 우선 배정하세요. 제공 자료에는 실제 악용이나 KEV 등재를 확인하는 근거가 없습니다.
| 판단 항목 | 공식 자료에서 확인한 내용 | 운영자 조치 |
|---|---|---|
| 영향 조건 | 운영 환경에서 Sprockets 서버 사용 | 실행 구성과 네트워크 접근 경로 확인 |
| 영향 | 애플리케이션 루트 밖 파일에 대한 원격 접근 가능 | 노출 조건이 확인되면 패치 우선 배정 |
| Ubuntu 16.04 | 3.3.0-1ubuntu0.1~esm1에서 수정 | 저장소 제공 여부 확인 후 업데이트 및 앱 재시작 |
| Ubuntu 우선순위 | Medium | CVSS High와 구분해 기록 |
| 침해 여부 | 제공 자료로 확인되지 않음 | 취약점 존재와 침해 판단을 분리 |
영향 버전과 배포판 수정 버전
Ubuntu CVE 설명은 업스트림 영향 범위를 4.0 계열의 4.0.0.beta7 이하, 3.7 계열의 3.7.1 이하, 2.12 계열의 2.12.4 이하로 기재합니다. 다만 CVE 레코드의 구조화된 버전 필드는 설명과 충돌하므로, 이 자료만으로 업스트림의 정확한 수정판을 확정하지 않습니다.
배포판 패키지는 보안 패치를 기존 버전에 backport할 수 있습니다. 따라서 3.3.0이나 3.7.0이라는 앞부분만 보고 취약하다고 판단하지 말고 배포판과 전체 패키지 버전을 확인하세요.
| 배포판 | 공식 수정 패키지 버전 | 근거 |
|---|---|---|
| Ubuntu 16.04 LTS | 3.3.0-1ubuntu0.1~esm1 | USN-8990-1 및 Ubuntu CVE 상태표 |
| Ubuntu 18.04 LTS | 3.7.0-1+deb9u1build0.18.04.1 | Ubuntu CVE 상태표 |
| Ubuntu 17.10 | 3.7.0-1+deb9u1build0.17.10.1 | Ubuntu CVE 상태표 |
| Debian stretch | 3.7.0-1+deb9u1 | DSA-4242-1 |
영향 버전과 배포판 수정 버전 — 계속 1
이 표는 해당 취약점의 수정 이력입니다. 오래된 배포판의 현재 지원 상태나 패키지 제공 가능성을 보장하지 않습니다. Ubuntu CVE 상태표는 20.04·22.04·24.04·26.04 등을 영향 없음으로 표시하지만, 별도로 설치한 gem이나 컨테이너 내부 의존성까지 판정한 것으로 확대 해석해서는 안 됩니다.
읽기 전용 점검표
다음 명령은 패키지·운영체제·저장소 정보를 조회합니다. 업데이트나 재시작을 수행하지 않습니다.
cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' ruby-sprockets
apt-cache policy ruby-sprockets읽기 전용 점검표 — 계속 2
- 운영체제 릴리스와
ruby-sprockets의 전체 설치 버전을 기록합니다. - 저장소 후보 버전과 수정 패키지 제공 여부를 확인합니다. 로컬 패키지 목록이 오래됐을 가능성도 고려합니다.
- 애플리케이션의
Gemfile.lock과 배포 명세를 읽어 배포판 패키지 외의 Sprockets 사용 여부를 확인합니다. - 서비스 구성과 프록시 설정을 읽어 운영 환경에서 Sprockets 서버를 사용하는지 확인합니다.
- 호스트 외에 컨테이너와 별도 배포 인스턴스도 같은 방식으로 점검합니다.
업데이트와 정상 업무 확인
Ubuntu 16.04에서는 공식 수정 버전 또는 해당 수정이 포함된 배포판 후속 패키지를 제공하는 저장소와 접근 자격을 확인한 뒤, 조직의 변경 절차에 따라 업데이트하세요. USN은 업데이트 후 Sprockets를 사용하는 애플리케이션을 재시작해야 변경 사항이 모두 적용된다고 명시합니다.
Debian stretch에 대한 DSA-4242-1도 ruby-sprockets 패키지 업그레이드를 권고합니다. Ubuntu용 패키지 버전을 Debian에 적용하거나 그 반대로 적용해서는 안 됩니다.
제공된 공식 본문에는 구체적인 임시 설정 변경이나 검증 가능한 우회 완화 절차가 없습니다. 업데이트가 어려운 경우 이 자료만으로 임의의 설정을 공식 완화책으로 제시할 수 없습니다.
- 업데이트 후 전체 패키지 버전을 다시 확인합니다.
- Sprockets 사용 애플리케이션의 재시작과 정상 기동을 확인합니다.
- 주요 업무 화면과 CSS·JavaScript 등 정적 자원이 정상 제공되는지 확인합니다.
- 애플리케이션 및 프록시 로그에서 새 오류가 발생하는지 확인합니다.
- 점검 결과와 남은 미적용 인스턴스를 기록합니다.
업데이트와 정상 업무 확인 — 계속 3
공격 요청을 보내는 재현 점검은 포함하지 않습니다. 이 글은 실제 환경의 테스트·침해 조사·패치 완료를 보고하는 문서가 아닙니다.
근거와 수집 확인일
- Ubuntu USN-8990-1: 공지일 2026년 11월 3일. 제공된 원본 수집 시각은 2026년 11월 3일 20:00:04 UTC입니다.
- Ubuntu CVE-2018-3760: 제공된 수집·확인 시각은 2026년 11월 4일 10:37:09 UTC입니다.
- Debian DSA-4242-1 공지 원문: 공지일 2018년 7월 9일. 제공된 수집·확인 시각은 2026년 11월 4일 10:37:09 UTC입니다.
- CVE 레코드: 같은 시각에 수집된 발췌이며 원본 잘림 표시와 버전 필드 불일치가 있습니다.
근거와 수집 확인일 — 계속 4
자동 수집된 공식 문서 본문을 바탕으로 AI가 비교·작성한 글입니다. 이번 편집 과정에서 외부 재조회나 서버 변경은 수행하지 않았습니다. 일반적인 보안 점검 자료는 보안 허브에서 이어서 확인할 수 있습니다.
남은 불확실성
업스트림의 정확한 수정 버전은 CVE 필드 불일치로 추가 확인이 필요합니다. 현재 저장소 접근 가능성, 개별 시스템의 설치·노출·침해 여부와 실제 패치 완료 여부도 확인되지 않았습니다. 배포판 대응 안내는 버전과 조치를 명시한 Ubuntu 및 Debian 공식 본문에 한정합니다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- CVE 레코드의 구조화된 영향 버전 필드와 설명이 충돌하며 원본 잘림 표시가 있어 업스트림 수정판을 확정하지 않았다.
- 현재 저장소 제공 여부와 접근 자격, 개별 환경의 Sprockets 실행·외부 노출·침해 여부는 확인되지 않았다.
- 수집 시각은 제공된 메타데이터에 근거하며 이번 검토에서 외부 재조회나 실제 업데이트 검증은 수행하지 않았다.