Ubuntu 26.04 LTS에서 확인할 조치
이번 확인에서 다루는 공개 식별자: CVE-2026-26961, CVE-2026-26962, CVE-2026-32762, CVE-2026-34230, CVE-2026-34763, CVE-2026-34785, CVE-2026-34786, CVE-2026-34826, CVE-2026-34827, CVE-2026-34829, CVE-2026-34830, CVE-2026-34831, CVE-2026-34835. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Ubuntu는 2026년 11월 3일 USN-8989-1을 통해 Rack의 여러 보안 문제에 대한 업데이트를 공지했다. Ubuntu 26.04 LTS에서 배포판 패키지 ruby-rack을 사용하는 운영자는 수정 버전 3.2.4-1ubuntu1.1 또는 이를 포함한 후속 Ubuntu 보안 패키지를 적용하고, Rack을 사용하는 애플리케이션을 재시작해야 한다.
이 글은 같은 사건의 원본 USN과 추가 수집된 CVE 자료를 함께 검토한 글이다. 기존 게시 URL이나 게시 완료 사실은 제공되지 않았다. 일반적인 취약점 대응 흐름은 보안 허브에서도 확인할 수 있다.
영향 조건과 대응 판단
Rack 설치 사실만으로 모든 취약점의 악용 조건이 충족되는 것은 아니다. 아래 두 multipart 문제는 추가 CNA 자료에서 구체적인 조건과 업스트림 수정 버전이 확인된다.
| 항목 | 영향 조건과 가능한 영향 | 업스트림 영향 버전 | 확인된 수정 버전 |
|---|---|---|---|
| CVE-2026-26961 | 앞단 프록시·WAF 등이 첫 boundary를 해석하고 Rack이 마지막 boundary를 선택할 때 검사 내용과 실제 파싱 내용이 달라져 필터 우회 가능 | 2.2.23 미만, 3.0.0.beta1 이상 3.1.21 미만, 3.2.0 이상 3.2.6 미만 | 2.2.23, 3.1.21, 3.2.6 |
| CVE-2026-26962 | multipart 파트 헤더의 접힌 줄 처리로 남은 개행을 포함한 filename·name 값을 애플리케이션이 응답 헤더에 재사용하면 헤더 주입 또는 응답 분할 가능 | 3.2.0 이상 3.2.6 미만 | 3.2.6 |
영향 조건과 대응 판단 — 계속 1
CVE-2026-26961 CNA 기록의 CVSS v3.1은 3.7 Low다. Ubuntu CVE 페이지는 별도의 Ubuntu 처리 우선순위를 Medium으로 표시한다. 두 평가는 서로 다른 지표다.
CVE-2026-26962 CNA 기록의 CVSS v3.1은 4.8 Medium이다. USN은 이 문제를 downstream 파싱 문제나 서비스 거부 가능성으로 설명한다. CNA의 응답 헤더 재사용 조건과 USN의 요약을 구분해서 읽어야 한다.
같은 패키지 업데이트에 포함된 나머지 문제
다음 항목은 USN에서 영향과 공통 수정 패키지가 확인된다. 개별 업스트림 영향 범위와 세부 구성 조건은 제공 자료만으로 확정할 수 없다.
| CVE | USN이 설명하는 문제와 가능한 영향 | 운영 점검 대상 |
|---|---|---|
| CVE-2026-32762 | Forwarded 헤더 처리 오류에 따른 헤더 값 조작 | 프록시 연동과 헤더 처리 |
| CVE-2026-34230 | 특정 Accept-Encoding 처리 시 과도한 CPU 사용과 서비스 거부 | 콘텐츠 인코딩 협상 |
| CVE-2026-34763 | 특정 구성에서 전체 파일시스템 경로 노출 | 디렉터리 경로 표시 기능 |
| CVE-2026-34785 | 정적 파일 경로 처리 오류로 의도하지 않은 데이터 제공 | 정적 파일 제공 범위 |
| CVE-2026-34786 | URL 인코딩된 정적 경로 요청에서 보안 관련 응답 헤더 우회 | 정적 파일 응답 헤더 |
| CVE-2026-34826 | Range 요청 개수 제한 부재에 따른 서비스 거부 | 부분 콘텐츠 제공 기능 |
| CVE-2026-34827 | multipart 매개변수 파싱 시 과도한 CPU 사용 | 업로드 처리 |
| CVE-2026-34829 | Content-Length 없는 요청 처리 시 디스크 사용량 무제한 증가 | 요청 본문과 임시 저장 공간 |
| CVE-2026-34830 | X-Accel-Mapping 값을 정규식으로 해석하여 내부 파일 유출 가능 | 해당 헤더를 사용하는 파일 전송 연동 |
| CVE-2026-34831 | Unicode 메시지 처리 오류에 따른 서비스 거부 | 다국어 요청 처리 |
| CVE-2026-34835 | Host 헤더 파싱 오류로 필터 우회 또는 생성 링크 오염 | 호스트 검증과 절대 URL 생성 |
같은 패키지 업데이트에 포함된 나머지 문제 — 계속 2
표의 점검 대상은 운영자가 사용 여부를 확인할 기능이다. 각 기능을 사용한다는 사실만으로 피해나 침해가 확인되는 것은 아니다.
수정 버전과 배포판 backport 구분
Ubuntu 패키지는 업스트림 버전 숫자만으로 패치 여부를 판단하면 안 된다. USN은 Ubuntu 26.04 LTS의 수정 패키지를 3.2.4-1ubuntu1.1로 명시한다. 업스트림 수정판 3.2.6보다 앞선 숫자여도 Ubuntu가 보안 수정을 반영한 배포판 패키지다.
| 적용 범위 | 공식 자료에서 확인된 상태 | 조치 |
|---|---|---|
| Ubuntu 26.04 LTS, USN-8989-1 전체 항목 | ruby-rack 3.2.4-1ubuntu1.1에서 수정 | 배포판 업데이트 후 Rack 사용 앱 재시작 |
| Ubuntu 25.10, CVE-2026-26961 | 3.1.16-0.1ubuntu0.3에서 수정 | 해당 릴리스의 패키지 상태 확인 |
| Ubuntu 24.04 LTS, CVE-2026-26961 | 2.2.7-1ubuntu0.7에서 수정 | 해당 릴리스의 패키지 상태 확인 |
| Ubuntu 22.04 LTS, CVE-2026-26961 | 2.1.4-5ubuntu1.2+esm3에서 수정 | Ubuntu Pro ESM Apps 제공 조건 확인 |
| Ubuntu 20.04 LTS, CVE-2026-26961 | 2.0.7-2ubuntu0.1+esm10에서 수정 | Ubuntu Pro ESM Apps 제공 조건 확인 |
| Ubuntu 26.10, CVE-2026-26961 | Not affected | 다른 CVE의 상태까지 확대 해석하지 않음 |
수정 버전과 배포판 backport 구분 — 계속 3
26.04 이외의 행은 CVE-2026-26961에 한정된다. 이를 USN의 다른 12개 CVE에 대한 수정 보장으로 사용해서는 안 된다. Ubuntu CVE 페이지에서 18.04와 14.04는 변경이 지나치게 크다는 이유로 Ignored, 16.04는 ESM 지원 종료 등의 이유로 Ignored로 표시된다. 이 상태는 수정 완료를 뜻하지 않는다.
Bundler, 별도 gem 설치, 컨테이너에 포함된 Rack은 호스트의 ruby-rack 업데이트만으로 바뀌지 않을 수 있다. 실제 애플리케이션이 로드하는 의존성과 배포 이미지를 따로 확인해야 한다.
읽기 전용 사전 점검
다음 명령은 운영자가 환경을 조회할 때 사용할 예시이며, 이 글을 작성하면서 실행하지 않았다.
cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' ruby-rack
apt-cache policy ruby-rack읽기 전용 사전 점검 — 계속 4
- 운영체제 릴리스와 설치된 패키지 전체 버전 문자열을 기록한다. 패키지가 조회되지 않더라도 애플리케이션의 별도 gem 사용 여부를 확인한다.
- 애플리케이션의
Gemfile.lock, 이미지 명세, 배포 기록에서 Rack 버전과 설치 경로를 읽기 전용으로 확인한다. - 업로드 경로 앞에 프록시·WAF가 있는지, 업로드 메타데이터를 응답 헤더에 사용하는 코드가 있는지 확인한다.
- 정적 파일 제공, 파일 전송 연동, Host·Forwarded 처리 기능의 사용 여부를 확인한다.
- 패키지 저장소의 후보 버전과 보안 업데이트 제공 상태를 확인한다. 로컬 패키지 목록이 오래됐을 가능성도 고려한다.
업데이트와 업무 정상 확인
공식 조치는 표준 시스템 업데이트로 수정 패키지를 적용한 뒤 Rack 사용 애플리케이션을 재시작하는 것이다. 적용 전에는 서비스별 재시작 순서와 복구 절차를 준비하고, 적용 후에는 실제 배포 환경의 버전을 다시 확인한다.
제공된 공식 자료에는 패치를 대신할 구체적인 설정 완화책이 없다. WAF 사용이나 임의의 헤더 차단을 공식 대체 조치로 제시할 근거도 없다. 업스트림 gem을 직접 관리한다면 확인된 두 CVE의 수정 버전을 기준으로 의존성 변경을 검토하되, 그 버전이 USN 전체 항목을 해결한다고 단정하지 않는다.
- 재시작 후 서비스 상태와 애플리케이션 로그에서 시작 실패나 의존성 오류를 확인한다.
- 정상적인 파일 업로드·다운로드, 정적 파일 제공, 다국어 입력, 프록시 경유 요청을 확인한다.
- 업무상 사용하는 부분 다운로드와 압축 응답, 생성 링크와 응답 헤더가 정상인지 확인한다.
- CPU·디스크 사용량과 오류율을 평상시 기준과 비교한다. 정상 동작 확인만으로 침해 부재나 모든 보안 문제의 해결을 증명하지는 않는다.
업데이트와 업무 정상 확인 — 계속 5
외부 입력을 처리하는 업로드·정적 파일 서비스와 관련 프록시 연동 환경부터 적용 일정을 검토할 수 있다. 이는 영향 경로를 기준으로 한 편집상 우선순위이며, 공식 심각도 상향이나 실제 악용 확인을 뜻하지 않는다.
근거 수집 시점과 남은 불확실성
USN 원문은 제공된 기록상 2026년 11월 3일 20:00 UTC에 수집됐다. 두 CNA 발췌와 Ubuntu의 CVE-2026-26961 페이지는 2026년 11월 4일 14:19 UTC에 추가 수집·확인됐다. 이는 제공된 수집 기록의 시점이며, 편집 과정에서 별도로 실시간 조회한 결과는 아니다.
CNA 자료는 전체 응답에 잘림 표시가 있지만 선택된 CNA 필드에는 잘림 없음으로 기록돼 있다. 이 글은 실제 제공된 영향 범위·수정 버전·설명·점수만 사용했다. Ubuntu의 CVE-2026-26962 페이지는 수집 실패로 기록돼 있어 새 확인 근거로 사용하지 않았다.
나머지 11개 CVE의 개별 업스트림 버전 범위, 세부 영향 조건, 심각도는 미확인이다. 제공 자료에는 실제 악용이나 KEV 등재를 확인할 근거도 없다. 현장 설치 상태, 침해 여부, 패치 적용 및 업무 테스트 완료는 확인하지 않았다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- CVE-2026-26962의 Ubuntu 개별 페이지는 수집 실패했으며 근거로 사용하지 않았다.
- 두 CNA 기록은 전체 응답 잘림 표시가 있으나 선택된 CNA 필드는 잘리지 않은 것으로 기록돼 있다. 제공되지 않은 필드는 확인하지 않았다.
- 나머지 11개 CVE의 개별 업스트림 영향·수정 버전, 세부 조건과 심각도는 제공 자료로 확정할 수 없다.
- 실제 악용, KEV 등재, 현장 설치·침해·패치 적용·업무 테스트 결과는 확인되지 않았다.
- 공식 설정 완화책은 제공 자료에서 확인되지 않았다.