Ubuntu 16.04 libuser 취약점: USN-8987-1 수정 패키지와 점검 방법

Ubuntu USN-8987-1에 따른 libuser의 로컬 서비스 거부·권한 상승 가능성과 Ubuntu 16.04 수정 패키지, 읽기 전용 점검 및 업데이트 후 확인 사항을 정리합니다.

공식 보안 자료를 자동 수집하고 AI 작성 보조로 정리한 글입니다. 출처와 불확실성을 함께 표시하며 실제 공격 재현·침해 판정·개별 서비스의 패치 완료를 주장하지 않습니다.

Ubuntu 16.04에서 확인할 조치

이번 확인에서 다루는 공개 식별자: CVE-2015-3245, CVE-2015-3246. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Ubuntu는 2026년 11월 3일 공개한 USN-8987-1에서 libuser 취약점 두 건의 수정 패키지를 안내했다. Ubuntu 16.04 LTS에서 libuser1을 사용하는 운영자는 설치 버전과 보안 업데이트 제공 경로를 확인하고, 공지에 제시된 1:0.60~dfsg-1.2ubuntu0.1~esm1 또는 해당 수정이 포함된 후속 배포판 패키지로 업데이트해야 한다.

이 글은 같은 사건의 원본 자료와 추가 공식 근거를 함께 검토한 글이다. 실제 게시·시스템 변경·패치 적용·침해 확인은 수행하지 않았다.

영향 조건과 우선순위

두 취약점은 로컬 사용자의 계정 정보 변경 처리와 관련된다. libuser 설치 여부만으로 공격 가능성을 확정할 수는 없다. 해당 라이브러리를 사용하는 계정 관리 프로그램과 로컬 사용자 접근 조건을 함께 확인해야 한다.

CVE-2015-3246의 CNA 설명은 CVE-2015-3245와 결합한 권한 상승 가능성을 명시한다. 이를 모든 설치에서 가능한 단독 권한 상승으로 확대 해석해서는 안 된다. 제공 자료에는 CVE-2015-3246의 Ubuntu 우선순위나 현재 실제 악용 여부를 확인할 근거가 없다.

낮은 공식 우선순위라도 수정 패키지와 적용 대상이 확인되므로 대응 가치가 있다. 실제 운영 우선순위는 로컬 사용자 수, 계정 관리 기능의 사용 여부, 장애 시 업무 영향을 기준으로 정한다.

영향 버전과 배포판 수정판

Ubuntu 패키지는 보안 수정이 backport될 수 있다. 따라서 업스트림 버전 숫자만 비교하지 말고, epoch인 1:과 ~esm1을 포함한 전체 배포판 버전 및 공식 상태를 확인한다. USN은 정확한 수정판을 제공하지만 Ubuntu 16.04의 모든 과거 패키지에 대한 영향 구간을 개별적으로 열거하지는 않는다.

읽기 전용 점검표

다음 명령은 OS 정보, 설치 패키지, 로컬 APT 메타데이터를 조회한다. 업데이트나 계정 파일 변경은 수행하지 않는다.

읽기 전용 점검표 · bash

cat /etc/os-release
dpkg-query -W -f='${binary:Package}\t${Version}\n' libuser1
apt-cache policy libuser1

읽기 전용 점검표 — 계속 1

Ubuntu 릴리스가 USN의 대상인 16.04 LTS인지 확인한다.
libuser1의 설치 여부와 전체 버전 문자열을 기록한다. 조회에서 패키지를 찾지 못한 경우 다른 프로그램의 영향까지 없다고 단정하지 않는다.
APT의 설치 버전, 후보 버전, 저장소 출처를 확인한다. 로컬 메타데이터가 오래되었다면 후보 버전도 최신 상태를 보장하지 않는다.
로컬 사용자에게 계정 정보 변경 기능을 제공하는 프로그램과 libuser 사용 여부를 자산·패키지 정보로 확인한다.
ESM 수정 패키지를 받을 수 있는 계약·저장소 접근 상태를 확인한다. 공지의 Ubuntu Pro 홍보 문구만으로 현재 시스템의 지원 자격을 판단하지 않는다.
계정 데이터의 외부 공유 없이 로그인·계정 조회 오류 등 기존 장애 징후를 내부 기록에서 확인한다.

공식 대응과 업데이트 후 확인

USN은 표준 시스템 업데이트로 필요한 변경을 적용하도록 안내한다. Ubuntu 16.04에서는 공식 보안 업데이트 경로를 통해 libuser1 수정 패키지를 적용한다. 수정판이 제공되지 않는다면 저장소 접근과 지원 범위를 확인하고, 지원 가능한 운영체제로의 이전도 계획한다.

제공된 공식 자료에서 별도 설정 변경이나 임시 완화책은 확인되지 않았다. 임의로 계정 파일이나 실행 파일 권한을 바꾸는 방법을 공식 대안으로 제시하지 않는다. Ubuntu CVE 페이지도 패치의 개별 선별 적용을 권장하지 않는다.

업데이트 후에는 다음 사항을 확인한다.

설치된 libuser1의 전체 버전과 패키지 작업 결과를 다시 기록한다.
정상 사용자의 로그인, 계정 조회, 일상적인 사용자·그룹 관리 업무가 정상인지 확인한다.
인증 및 계정 관리 로그에서 새 오류가 발생하지 않는지 확인한다.
업무 확인 과정에서 계정 정보를 변경해야 한다면 조직의 승인된 정상 절차를 따른다. 취약점 재현용 입력은 사용하지 않는다.

공식 대응과 업데이트 후 확인 — 계속 2

제공된 USN에는 별도 재부팅이나 서비스 재시작 요구가 명시되어 있지 않다. 이를 재시작이 항상 불필요하다는 의미로 해석하지 말고 실제 패키지 작업 안내와 운영 절차를 확인한다.

근거 확인일과 남은 불확실성

제공된 자동 수집 기록의 USN 자료 수집 시각은 2026년 11월 3일 20:00 UTC이며, 한국 시간으로 11월 4일 05:00이다. CVE 및 Ubuntu CVE 페이지는 11월 3일 20:36 UTC, 한국 시간 11월 4일 05:36에 수집·확인된 것으로 기록되어 있다. 이는 제공 자료의 수집 시각이며 이 글 작성 과정에서 원문에 재접속한 결과가 아니다.

USN-8987-1과 Ubuntu CVE-2015-3245 상태 페이지는 제공된 본문이 잘리지 않은 자료다. CVE-2015-3245 CNA 기록과 CVE-2015-3246 CNA 기록은 선택된 CNA 필드는 잘리지 않았지만 원본 전체에는 잘림 표시가 있어, 표시된 설명 범위에서만 활용했다.

현재 설치 환경, 저장소 접근 가능 여부, 패치 완료 여부, 침해 여부는 확인하지 않았다. CVE-2015-3246의 릴리스별 Ubuntu 상태도 별도 페이지로 제공되지 않았다. 본문은 자동 수집 자료와 AI 작성 보조를 활용한 공식 근거 검토 초안이다. 다른 운영체제 보안 점검 주제는 보안 허브에서 확인할 수 있다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

실제 설치 버전, 취약 기능의 노출 여부, 수정 패키지 접근 가능 여부 및 패치 적용 결과는 확인하지 않았다.
CVE-2015-3246의 Ubuntu 우선순위와 Ubuntu 16.04 외 릴리스별 상태는 제공 자료로 확인되지 않는다.
CNA 원본 전체에는 잘림 표시가 있으며 선택된 CNA 설명과 별도의 완전한 Ubuntu 공지 범위에서만 판단했다.
공식 임시 완화책, 실제 악용 여부, 별도 재시작 요구는 제공 자료에서 확인되지 않는다.