Ubuntu c-ares 보안 업데이트: USN-8951-1 수정 패키지와 점검 방법

Ubuntu c-ares 사용 환경에서 확인할 조치

이번 확인에서 다루는 공개 식별자: CVE-2020-22217, CVE-2022-4904, CVE-2026-69184, CVE-2026-69186. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Ubuntu는 2026년 10월 21일 USN-8951-1을 통해 c-ares 취약점 네 건의 수정 패키지를 안내했다. 운영자는 Ubuntu 릴리스와 설치 패키지를 확인한 뒤, 해당 릴리스의 공식 보안 업데이트를 적용해야 한다. c-ares는 비동기 이름 해석 라이브러리이며, 실제 영향은 애플리케이션이 사용하는 라이브러리와 취약한 입력 처리 경로에 따라 달라진다.

이 글은 제공된 공식 공지 수집본을 검토한 글이다. 시스템 설치 상태, 침해 여부 또는 패치 완료를 확인한 결과는 아니다.

취약점별 영향과 대응 우선순위

취약점별 영향과 대응 우선순위 — 계속 1

Ubuntu 16.04에서 c-ares를 사용하는 업무는 CVE-2022-4904의 코드 실행 가능성을 고려해 우선 점검한다. 나머지 환경도 DNS 처리 중단이 인증, 외부 API 호출 등 핵심 업무에 미치는 영향을 기준으로 업데이트 순서를 정한다. 제공 자료에는 실제 악용이나 KEV 등재를 확인하는 근거가 없다.

CVE-2020-22217은 Ubuntu 개별 CVE 페이지에서 범위 밖 읽기에 따른 서비스 거부로 설명한다. 이를 코드 실행 취약점으로 확대하지 않는다. 다른 세 CVE의 공식 심각도 등급은 제공 자료에서 확인되지 않아 별도 등급을 붙이지 않는다.

릴리스별 수정 패키지

다음은 USN-8951-1의 수정 패키지 표다. 각 행은 해당 릴리스에 제공되는 공지 단위 업데이트이며, 네 CVE가 모든 릴리스에 동일하게 영향을 준다는 뜻은 아니다.

릴리스별 수정 패키지 — 계속 2

배포판 수정은 전체 패키지 버전으로 판단한다. Ubuntu는 기존 버전 계열에 보안 수정을 반영할 수 있으므로, 업스트림 버전 숫자만 보고 취약 여부를 판정하면 안 된다. 다른 Ubuntu 릴리스의 패키지를 가져와 설치하는 방식도 피한다.

CVE-2020-22217 개별 페이지는 Ubuntu 20.04의 해당 CVE가 1.15.0-1ubuntu0.4에서 이미 수정됐다고 표시한다. 이번 USN의 20.04 패키지 1.15.0-1ubuntu0.5+esm1은 공지 전체의 업데이트 기준이다. 두 값을 혼동해 이전 수정 패키지가 해당 CVE에 계속 취약하다고 해석하지 않는다. 개별 페이지는 22.04 LTS 이상에 대해서도 이 CVE를 영향 없음으로 표시한다.

읽기 전용 점검표

아래 명령은 로컬 상태를 조회하며 패키지 설치나 설정 변경을 수행하지 않는다.

cat /etc/os-release
dpkg-query -W -f='${binary:Package}\t${Version}\t${Status}\n' libcares2 libc-ares2
apt-cache policy libcares2 libc-ares2

읽기 전용 점검표 — 계속 3

• Ubuntu 릴리스와 설치된 패키지 이름을 위 표에 대응시킨다. 릴리스에 따라 한 패키지가 없다는 메시지가 나올 수 있다.
• 설치 버전과 저장소 후보 버전을 해당 릴리스의 수정 버전과 비교한다. 더 최신 패키지는 Ubuntu 패키지 버전 순서와 배포 이력을 기준으로 판단한다.
• apt-cache policy 결과는 로컬 패키지 목록에 의존한다. 후보가 보이지 않는 것만으로 수정 패키지가 제공되지 않는다고 결론 내리지 않는다.
• Ubuntu Pro 대상 릴리스는 계약, 저장소 활성화 및 필요한 추가 기능 적용 여부를 확인한다.
• 애플리케이션이 시스템 패키지, 컨테이너 내부 패키지, 자체 포함 라이브러리 중 무엇을 사용하는지 확인한다. 호스트 패키지 조회만으로 컨테이너나 정적 링크된 프로그램의 상태까지 확인할 수는 없다.

공식 대응과 업데이트 후 확인

USN은 일반적인 시스템 업데이트로 필요한 변경을 적용할 수 있다고 안내한다. 운영 환경의 변경 절차에 따라 해당 Ubuntu 릴리스의 공식 저장소에서 수정 패키지를 적용한다. 자체 포함 c-ares를 사용하는 애플리케이션은 제품 공급자의 수정 제공 여부를 별도로 확인해야 한다.

제공된 공지에는 업데이트를 대체하는 설정 변경이나 별도 공식 완화책이 없다. 임의의 DNS 설정 변경을 패치와 동등한 대응으로 제시하지 않는다. Ubuntu 개별 CVE 페이지도 패치 일부를 골라 적용하는 방식을 권장하지 않는다.

• 업데이트 후 설치 패키지 버전을 다시 조회해 수정 버전 반영 여부를 기록한다.
• 라이브러리를 사용하던 실행 프로세스의 재시작 필요성을 서비스 운영 절차에 따라 확인한다. 제공 공지에는 일괄 재부팅 지시가 없다.
• 정상적인 DNS 이름 해석과 대표 업무의 로그인, 외부 API 호출, 배치 작업을 확인한다.
• 업데이트 전후 애플리케이션 오류, 충돌, 메모리·CPU 사용 변화를 비교한다. 공격 입력이나 재현용 payload는 사용하지 않는다.

근거 확인일과 남은 불확실성

USN-8951-1 본문은 제공 기록상 2026년 10월 25일 22:17 UTC에 수집됐다. Ubuntu CVE-2020-22217 페이지와 두 CVE 레코드는 2026년 11월 1일 03:32 UTC 수집 기록이 있다. 후속 수집 시각을 USN 본문의 재확인 시각으로 간주하지 않았다.

CVE-2020-22217 레코드와 CVE-2022-4904 레코드는 원본 잘림 표시가 있어 전체 확인 자료로 취급하지 않았다. 정확한 운영 조치는 완전한 것으로 제공된 Ubuntu USN의 수정 패키지 표에 근거한다. 업스트림 전체 영향 범위와 자체 포함 라이브러리의 수정 여부는 이 자료만으로 확정할 수 없다.

자료 수집은 자동화됐으며, 이 글에는 AI 작성 보조가 사용됐다. 실제 업데이트, 업무 테스트, 침해 조사 또는 게시를 수행하지 않았다. 관련 운영 점검 주제는 보안 허브에서 이어서 확인할 수 있다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

• 두 CVE 레코드는 원본 잘림 표시가 있으며, 업스트림 전체 영향·수정 버전은 확정하지 않았다.
• CVE-2022-4904, CVE-2026-69184, CVE-2026-69186의 공식 심각도 등급과 실제 악용 여부는 제공 자료에서 확인되지 않는다.
• 설치 상태, 자체 포함 라이브러리, Ubuntu Pro 적용 상태와 업데이트 후 업무 정상 여부는 현장 확인이 필요하다.
• USN 본문의 수집일은 2026-10-25이며 후속 자료 수집일인 2026-11-01에 재확인됐다는 근거는 없다.