Ubuntu 26.10 U-Boot 취약점 대응: USN-8930-2 수정 패키지 점검

Ubuntu 26.10에서 확인할 조치

이번 확인에서 다루는 공개 식별자: CVE-2026-74220, CVE-2026-74221, CVE-2026-74222, CVE-2026-74225. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Ubuntu 공식 공지 USN-8930-2는 U-Boot 취약점 4건에 대한 Ubuntu 26.10 수정 패키지를 안내한다. 해당 릴리스에서 사용하는 u-boot-imx, u-boot-qemu, u-boot-tools를 확인하고, 설치된 해당 패키지를 2025.10-0ubuntu6 또는 해당 릴리스에서 제공하는 후속 수정 패키지로 업데이트하는 것이 핵심 조치다.

이 공지는 기존 USN-8930-1의 수정을 Ubuntu 26.10에 제공하는 후속 공지다. 제공된 자료에서 기존 블로그 URL은 확인되지 않았다. 이번 초안은 같은 사건의 원본과 후속 근거를 함께 검토한 결과이며, 별도 신규 취약점이나 게시 완료를 의미하지 않는다.

영향 조건과 우선순위

패키지 설치 여부만으로 모든 장치가 동일하게 노출된다고 판단할 수 없다. 실제 사용하는 부트로더 이미지와 네트워크 부팅 기능을 함께 확인해야 한다.

영향 조건과 우선순위 — 계속 1

제공된 CNA 필드에서 CVE-2026-74220과 CVE-2026-74221은 각각 CVSS 4.0 8.8 High, CVSS 3.1 8.2 High다. Ubuntu는 CVE-2026-74220의 배포판 우선순위를 Medium으로 표시한다. CVE-2026-74221의 Ubuntu 우선순위와 나머지 두 건의 점수는 제공 자료에서 확인되지 않는다.

업무상 네트워크 부팅에 의존하거나 신뢰하기 어려운 네트워크 응답을 받을 수 있는 장치를 우선 처리한다. 제공 자료에는 실제 악용이나 침해 발생을 확인하는 근거가 없다.

Ubuntu 26.10의 공지 대상 패키지

USN-8930-2의 수정 표는 다음과 같다. 공지는 위 4개 CVE를 함께 다룬다.

Ubuntu 26.10의 공지 대상 패키지 — 계속 2

CVE-2026-74220과 CVE-2026-74221의 CNA 필드는 업스트림 영향 범위를 2026.10-rc5 미만으로 기재한다. 하지만 Ubuntu는 더 낮은 업스트림 버전 문자열을 유지하면서 수정 패치를 backport할 수 있다. 따라서 2025.10이라는 숫자만 보고 미수정으로 판정하거나, 업스트림 후보 릴리스를 직접 설치할 필요가 있다고 해석하면 안 된다. Ubuntu 릴리스와 전체 패키지 버전을 공식 수정 표에 대조한다.

다른 Ubuntu 릴리스에서 확인된 범위

다음 표는 Ubuntu의 CVE-2026-74220 상태 페이지에 근거한다. 이 표를 다른 세 CVE의 수정 여부에 그대로 적용할 수는 없다.

다른 Ubuntu 릴리스에서 확인된 범위 — 계속 3

같은 페이지에서 u-boot-nezha는 Ubuntu 24.04·22.04에서 평가 필요 상태다. u-boot 수정 버전을 이 별도 패키지의 해결 근거로 사용하지 않는다.

읽기 전용 점검표

다음 명령은 운영자가 설치 상태와 로컬 패키지 메타데이터를 조회하는 예시다. 이 검토 과정에서 실행한 명령이나 실제 점검 결과가 아니다.

cat /etc/os-release
dpkg-query -W -f='${binary:Package}\t${Version}\n' 'u-boot*'
apt-cache policy u-boot-imx u-boot-qemu u-boot-tools

읽기 전용 점검표 — 계속 4

• Ubuntu 릴리스와 실제 설치된 U-Boot 관련 패키지를 기록한다. 설치되지 않은 패키지는 조회 오류가 날 수 있다.
• 로컬 패키지 메타데이터가 오래되었을 수 있으므로 조회된 후보 버전을 최신 저장소 상태의 증거로 단정하지 않는다.
• 장치 자산 기록, 이미지 빌드 기록, 기존 부팅 로그에서 실제 사용하는 U-Boot 이미지와 패키지의 연결을 확인한다.
• 기존 부팅 설정에서 NFS·HTTP·DHCPv6 사용 여부를 읽기 전용으로 확인한다.
• 패키지 업데이트와 장치 저장 영역에 기록된 부트로더 갱신이 같은 절차인지 장치별 유지보수 문서에서 확인한다.

업데이트와 정상 업무 확인

USN은 일반적인 시스템 업데이트를 공식 대응으로 안내한다. 해당 Ubuntu 릴리스의 정상 업데이트 경로로 수정 패키지를 적용한다. Ubuntu CVE 페이지는 개별 패치만 골라 적용하는 방식을 권장하지 않는다.

제공된 공식 자료에는 별도의 설정 변경이나 임시 완화책이 없다. 네트워크 기능 비활성화 등을 공식 해결책으로 제시하지 않는다. 장치별 부트로더 기록 명령과 재부팅 필요 여부도 이 자료만으로 확정할 수 없다.

• 업데이트 후 설치 패키지의 전체 버전을 다시 확인한다.
• 실제 부팅에 쓰이는 이미지에 수정이 반영되었는지 배포·빌드 기록으로 확인한다. 패키지 설치 완료만으로 장치 반영 완료를 선언하지 않는다.
• 장치별 유지보수 절차에 따라 정상 부팅, 필요한 네트워크 부팅, 운영체제 진입과 주요 업무 서비스를 확인한다.
• 부팅 지연·실패나 업무 이상이 있으면 기존 복구 절차에 따라 대응한다. 공격 재현으로 수정 여부를 검증하지 않는다.

판단 도식과 시각 자료 계획

설명 도식은 ‘Ubuntu 릴리스 확인 → 설치 패키지와 실제 부팅 이미지 연결 → 사용 중인 네트워크 기능 확인 → 릴리스별 수정 버전 대조 → 업데이트와 이미지 반영 확인 → 정상 업무 확인’ 순서로 구성한다. 버전 문자열만으로 판단하는 오류와 패키지 설치를 장치 반영 완료로 오인하는 지점을 강조한다.

OG 이미지는 ‘Ubuntu 26.10 U-Boot 보안 업데이트’와 수정 패키지 버전 2025.10-0ubuntu6을 중심으로 구성한다. alt 문구는 ‘Ubuntu 26.10 U-Boot 수정 패키지와 실제 부팅 이미지 반영 여부를 확인하는 점검 흐름’으로 계획한다. 이미지 제작이나 게시가 완료된 것은 아니다.

관련 업데이트 점검 원칙은 보안 허브에서 함께 살펴볼 수 있다.

근거 확인일과 남은 불확실성

USN-8930-2의 공식 게시일은 2026년 10월 21일이며, 제공 데이터의 원 공지 수집 시각은 2026년 10월 25일 22:17 UTC다. Ubuntu CVE 페이지와 두 CNA 발췌의 수집·확인 시각은 2026년 11월 1일 07:42 UTC다. 이 글은 제공된 수집 자료를 검토했으며, 작성 시점에 원문을 다시 접속해 확인하지 않았다.

• USN-8930-2 공식 공지는 Ubuntu 26.10의 수정 패키지와 업데이트 조치를 뒷받침한다.
• Ubuntu CVE-2026-74220 상태는 릴리스별 수정 상태와 Ubuntu 우선순위를 뒷받침한다.
• CVE-2026-74220 CNA 기록과 CVE-2026-74221 CNA 기록은 선택된 CNA 필드를 검토했다. 원본 수집은 잘림으로 표시되어 전체 문서 확인으로 취급하지 않는다.

근거 확인일과 남은 불확실성 — 계속 5

CVE-2026-74222와 CVE-2026-74225의 정확한 업스트림 영향 범위, 장치별 기능 활성화 조건, 각 환경의 실제 이미지 반영 상태는 확인되지 않았다. 다른 Ubuntu 릴리스에서 네 취약점 모두가 해결됐다고 일반화하지 않는다.

이 글은 자동 수집 자료를 바탕으로 AI 작성 보조를 사용했다. 실제 환경 점검·침해 조사·패치 적용·업무 테스트·게시 또는 서버 변경은 수행하지 않았다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

• 두 CNA 자료는 선택된 필드는 잘리지 않았으나 원본 수집이 잘림으로 표시되어 전체 문서 확인을 주장할 수 없다.
• CVE-2026-74222와 CVE-2026-74225의 정확한 업스트림 영향 범위와 세부 구성 조건은 제공 자료에 없다.
• Ubuntu 26.10 이외 릴리스의 네 CVE 전체 수정 상태는 확인되지 않았으며, 추가 릴리스 표는 CVE-2026-74220에만 적용된다.
• 장치별 부트로더 반영 절차, 재부팅 필요 여부, 실제 설치·침해·수정 완료 상태는 확인되지 않았다.
• 제공 자료 이후의 공식 공지 변경은 재확인하지 않았다.