Ubuntu .NET 보안 업데이트: USN-8942-1과 ASP.NET Core 추가 수정판 점검

Ubuntu .NET 업데이트에서 확인할 핵심

이번 확인에서 다루는 공개 식별자: CVE-2026-102870, CVE-2026-58280. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Ubuntu의 USN-8942-1은 2026년 10월 20일 .NET 보안 업데이트와 릴리스별 수정 패키지를 안내했다. 표준 시스템 업데이트가 공식 대응이다. 다만 후속 수집된 CVE-2026-102870 상태 페이지는 USN의 최초 패키지보다 높은 수정 버전을 표시한다. USN-8942-1의 최초 버전만 설치하고 이 취약점까지 해결됐다고 판단해서는 안 된다.

이 글은 같은 사건의 원본 공지와 추가 공식 근거를 함께 검토한 글이다. 기존 게시 URL은 제공되지 않았으며, 실제 게시나 시스템 변경은 수행하지 않았다.

영향 조건과 대응 우선순위

영향 조건과 대응 우선순위 — 계속 1

두 CVE의 설명만으로 모든 .NET 설치가 공격 가능한 것은 아니다. 실제 사용 런타임, 애플리케이션 구성과 외부 접근 경로를 함께 확인해야 한다. 제공 자료에는 실제 악용이나 KEV 등재를 확인할 근거가 없다.

공급사 버전 정보의 적용 한계

Microsoft CNA 발췌에서 CVE-2026-58280의 .NET 8 영향 범위는 8.0.0 이상 8.0.32 미만, .NET 10은 10.0.0 이상 10.0.13 미만이다. 이는 USN의 .NET 8·10 업데이트 설명과 일치한다.

CVE-2026-102870의 CNA에는 .NET 10 설치 제품이 10.0.0 이상 10.0.403 미만, WebAssembly.Server 패키지가 10.0.0 이상 10.0.13 미만으로 따로 기재돼 있다. 제품별 버전 체계를 런타임 하나의 기준으로 합쳐서는 안 된다. 또한 WebAssembly.DevServer의 시작 버전과 상한, CVE-2026-58280의 .NET 11 정식·사전 출시 범위에는 해석상 불일치가 있어 해당 항목의 정확한 영향 범위는 보류한다.

USN-8942-1의 최초 업데이트

다음은 USN에 실린 주요 패키지다. 전체 설치 패키지 목록은 원문의 릴리스별 표를 확인한다.

USN-8942-1의 최초 업데이트 — 계속 2

마지막 행은 USN의 업데이트 대상으로 확인되지만, 이를 CVE-2026-58280의 .NET 11 영향 범위가 명확하게 검증됐다는 뜻으로 해석하지 않는다.

CVE-2026-102870의 후속 수정 상태

2026년 11월 1일 수집된 Ubuntu CVE 페이지는 다음 소스 패키지 버전을 수정 상태로 표시한다. 아래 소스 패키지 버전과 위 런타임 바이너리 패키지 버전은 직접 대조하는 대상이 다르다.

CVE-2026-102870의 후속 수정 상태 — 계속 3

Ubuntu CVE 페이지는 .NET 8의 22.04·24.04 패키지를 이 CVE에 대해 Not affected로 표시한다. 이 상태를 다른 CVE에도 확대 적용해서는 안 된다. .NET 6은 상태 표와 설명 메모 사이에 차이가 있어 별도 확인이 필요하다.

Ubuntu는 보안 수정을 배포판 패키지에 backport할 수 있으므로 upstream 버전 숫자만으로 취약 여부를 결정하지 않는다. 이번 USN은 새 upstream 버전 도입을 명시하며, 실제 판정에서는 Ubuntu 릴리스와 패키지 전체 버전, 공식 수정 상태를 함께 사용한다.

읽기 전용 점검표

다음 명령은 정보 조회용이며 업데이트나 설정 변경을 수행하지 않는다. 출력에 내부 경로가 포함될 수 있으므로 공유 전에 검토한다.

cat /etc/os-release
dotnet --list-runtimes
dotnet --list-sdks
dpkg-query -W -f='${binary:Package}\t${Version}\t${source:Package}\t${source:Version}\n' 'dotnet*' 'aspnetcore*'
apt-cache policy dotnet-runtime-8.0 dotnet-runtime-10.0 dotnet-runtime-11.0 aspnetcore-runtime-8.0 aspnetcore-runtime-10.0 aspnetcore-runtime-11.0

읽기 전용 점검표 — 계속 4

• Ubuntu 릴리스와 실제 설치된 런타임·SDK를 기록한다.
• 설치 패키지의 소스 이름·버전을 해당 릴리스의 공식 수정 상태와 비교한다.
• 저장소 후보 버전과 패키지 출처를 확인한다. 로컬 APT 정보가 오래됐다면 후보 출력도 최신 상태를 증명하지 못한다.
• 서비스가 사용하는 런타임을 확인한다. 셸의 dotnet 출력만으로 컨테이너나 자체 포함 배포의 런타임까지 확인됐다고 판단하지 않는다.
• 외부 요청을 받는 서비스, WebAssembly 관련 패키지 사용 여부와 업무 중요도를 기록해 작업 순서를 정한다.

공식 대응과 업데이트 후 확인

공식 조치는 USN이 안내한 표준 시스템 업데이트다. 설치 출처에 맞는 지원 업데이트 경로를 사용하고, CVE-2026-102870은 후속 Ubuntu 수정 상태까지 확인해 대상을 정한다. 자체 포함 배포나 컨테이너는 호스트 업데이트만으로 내부 런타임이 바뀌었는지 단정할 수 없으므로 배포 산출물도 점검한다.

제공된 본문에는 별도의 공식 설정 완화책이 없다. 임의의 설정 변경을 패치 대체책으로 제시하지 않는다. 후속 소스 패키지에 대응하는 전체 바이너리 패키지 표는 제공되지 않았으므로 이름과 버전을 만들어 설치 지침에 넣지 않는다.

USN은 보안 수정 외에 버그 수정·새 기능·호환되지 않을 수 있는 변경이 포함된다고 경고한다. 작업 후에는 다음을 확인한다.

• 설치 버전과 실제 실행 중인 서비스의 런타임을 다시 확인한다.
• 평소 사용하는 로그인, 주요 조회·저장 업무와 연계 작업을 확인한다.
• 시작 실패, 예외 증가, 응답 지연과 오류 로그를 확인한다.
• 필요한 서비스 재시작·재배포 여부를 운영 절차에 따라 판단한다.

공식 대응과 업데이트 후 확인 — 계속 5

이는 운영자가 수행할 검증 항목이다. 이 글 작성 과정에서 패치 적용, 침해 조사 또는 업무 테스트를 완료한 사실은 없다.

근거 확인일과 남은 불확실성

원본 USN 수집 기록은 2026년 10월 30일 01:00 UTC, 추가 Ubuntu CVE 페이지와 Microsoft CNA 발췌의 수집·확인 기록은 2026년 11월 1일 10:29 UTC다. 이 날짜는 제공된 자동 수집 기록이며 편집자가 원문에 새로 접속해 확인한 날짜가 아니다.

• USN-8942-1 원문은 릴리스별 패키지 표와 표준 업데이트 조치의 근거다.
• Ubuntu CVE-2026-102870은 후속 수정 상태의 근거다.
• Microsoft CNA의 CVE-2026-102870 기록과 CVE-2026-58280 기록은 영향 설명과 점수의 근거다. 원본 잘림 표시가 있어 전체 문서 확인으로 취급하지 않는다.

근거 확인일과 남은 불확실성 — 계속 6

MSRC 직접 수집은 실패했다. Ubuntu 페이지가 연결한 후속 공지의 본문도 제공되지 않아 수정판 변경의 상세 사유와 전체 후속 패키지 표는 확인되지 않았다. 일반적인 점검 원칙은 보안 허브에서 함께 살펴볼 수 있다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

• MSRC 직접 수집은 실패했으며 Microsoft CNA 원본에는 잘림 표시가 있다.
• CVE-2026-102870의 WebAssembly.DevServer와 CVE-2026-58280의 .NET 11 버전 범위에는 해석상 불일치가 있어 해당 범위의 판정을 보류했다.
• 후속 Ubuntu 수정 상태의 전체 바이너리 패키지 표와 변경 사유는 제공되지 않았다.
• Ubuntu CVE 페이지의 .NET 6 상태 표와 설명 메모가 일치하지 않는다.
• 나머지 CVE는 개별 영향·조건 근거가 없어 별도 취약점 해설 대상에서 제외했다.
• 실제 악용 여부, 운영 환경의 설치·침해 여부, 패치 및 업무 검증 완료는 확인되지 않았다.