Ubuntu Ghostscript 보안 업데이트: USN-8949-1 수정 버전과 점검 방법

Ubuntu Ghostscript 업데이트가 필요한 환경

이번 확인에서 다루는 공개 식별자: CVE-2026-101258, CVE-2026-103226. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Ubuntu는 2026년 10월 21일 USN-8949-1을 통해 Ghostscript 보안 수정을 공지했다. 외부에서 받은 문서를 Ghostscript로 처리하는 사용자와 자동 변환 시스템은 설치 패키지와 문서 처리 경로를 확인하고 해당 Ubuntu 릴리스의 보안 업데이트를 적용해야 한다.

이번 글은 같은 사건의 추가 공식 근거를 반영한 초안이다. 게시나 서버 변경, 패치 적용 또는 침해 여부 확인은 수행하지 않았다.

영향 조건과 대응 우선순위

취약점은 관련 문서나 파일을 처리할 때 문제가 발생하는 조건이다. Ghostscript 설치 사실만으로 악용이나 침해가 확인되는 것은 아니다.

영향 조건과 대응 우선순위 — 계속 1

CVE-2026-101258의 Ubuntu 공식 페이지는 Ubuntu 우선순위를 Medium, CVSS 점수를 7.8 High로 표시한다. 두 평가는 구분해서 읽어야 한다. CVE-2026-103226의 제공된 CNA 발췌는 CVSS 4.0 5.3 Medium을 제시하지만, 이 자료에서 Ubuntu의 별도 우선순위는 확인되지 않는다.

제공된 근거만으로 실제 악용이나 현재 환경의 침해를 확인할 수는 없다. 대응 우선순위는 외부 입력의 유입 여부, 자동 처리 여부, 실행 계정이 접근할 수 있는 데이터 범위를 함께 고려해 정한다.

릴리스별 수정 패키지

다음은 USN의 libgs 수정 패키지 표다. 같은 릴리스의 공식 저장소에서 아래 수정판 또는 이를 포함하는 후속 보안 패키지를 적용한다.

릴리스별 수정 패키지 — 계속 2

Ubuntu CVE 페이지는 ghostscript 소스 패키지에 대해서도 위 릴리스별 버전을 수정 상태로 제시한다. USN의 실행 패키지 표와 함께 확인하되, 설치된 모든 관련 바이너리 패키지의 이름과 버전이 이 표에 나열돼 있다고 가정하지 않는다.

배포판 backport 판정

Ubuntu는 기존 버전 계열에 보안 수정을 backport하므로 gs --version의 상위 버전 숫자만으로 패치 여부를 판정하면 안 된다. 예를 들어 Ubuntu 24.04 LTS의 공식 수정판은 10.02.1~dfsg1-0ubuntu7.10이다. CNA 발췌의 업스트림 수정 버전 10.08.0을 모든 Ubuntu 설치에 요구하는 기준으로 사용하지 않는다.

서로 다른 Ubuntu 릴리스의 패키지 버전을 직접 비교하거나 다른 릴리스용 패키지를 설치하지 말고, 현재 릴리스의 전체 Debian 패키지 버전과 공식 저장소 후보를 확인한다.

공식 조치와 완화책의 한계

Ubuntu의 공식 조치는 표에 제시된 패키지 버전으로 시스템을 업데이트하는 것이다. USN은 일반적으로 표준 시스템 업데이트로 필요한 변경이 적용된다고 안내한다. Ubuntu CVE 페이지는 개별 패치만 골라 적용하는 방식을 권장하지 않는다.

제공된 Ubuntu 공지에는 별도의 설정 변경만으로 해결하는 완화책이 없다. Red Hat CNA 발췌도 자체 기준을 충족하는 완화책이 없다고 명시한다. 특히 CVE-2026-101258은 -dSAFER 우회가 영향에 포함되므로 이 옵션의 존재를 패치 대체 수단으로 간주해서는 안 된다.

읽기 전용 점검표

다음 명령은 릴리스와 로컬 패키지 상태를 조회하는 예시이며 이 글 작성 과정에서 실행하지 않았다.

cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' 'ghostscript*' 'libgs*'
apt-cache policy ghostscript libgs10 libgs10-common libgs9 libgs9-common

읽기 전용 점검표 — 계속 3

• 현재 Ubuntu 릴리스와 설치된 관련 패키지의 전체 버전을 기록한다.
• apt-cache policy 결과는 로컬 패키지 목록 기준이므로 목록의 최신성과 저장소 구성을 별도로 확인한다.
• 외부 문서 업로드, EPS 가져오기, 인쇄 및 PDF 변환 기능이 Ghostscript를 호출하는지 확인한다.
• 호스트뿐 아니라 컨테이너·작업 실행 이미지·별도 설치본에 포함된 Ghostscript도 확인한다. Ubuntu 패키지 표는 별도 배포본의 수정 상태를 보증하지 않는다.
• Ubuntu Pro가 필요한 릴리스는 해당 보안 저장소 이용 가능 여부를 확인한다.
• 처리 계정의 접근 권한과 서비스 의존성을 기록해 업데이트 범위와 검증 항목을 정한다.

업데이트 후 정상 업무 확인

운영 변경 절차에 따라 공식 저장소의 업데이트를 적용한 뒤 설치 버전을 다시 조회한다. 업데이트 전부터 실행 중인 작업 프로세스가 있다면 서비스 운영 절차에 따라 새 패키지를 사용하는 상태인지 확인한다. 제공된 USN에는 모든 환경에 공통으로 적용할 재부팅 지시가 없다.

• 신뢰할 수 있는 정상 업무 문서로 PostScript·EPS 처리, PDF 변환 및 인쇄 경로를 확인한다.
• 결과물의 글꼴·레이아웃과 작업 완료 여부를 확인한다.
• 변환 실패, 프로세스 비정상 종료, 작업 대기열 적체 등 업데이트 전후의 차이를 확인한다.
• 컨테이너나 이미지 기반 작업은 갱신된 이미지가 실제 실행 환경에 반영됐는지 확인한다.
• 점검 기록에는 수행한 항목과 결과만 남긴다. 버전 확인만으로 침해 부재나 모든 취약점 해소를 선언하지 않는다.

근거와 남은 불확실성

핵심 근거는 릴리스별 수정 패키지와 업데이트 지침이 포함된 Ubuntu USN-8949-1, 그리고 Ubuntu CVE-2026-101258 페이지다.

제공된 기록상 USN 원문 수집 시각은 2026년 10월 25일 22:17 UTC다. Ubuntu CVE 페이지와 두 CNA 발췌의 수집·확인 시각은 2026년 11월 1일 02:58 UTC다. 후속 자료의 확인일을 USN 전체의 재수집일로 간주하지 않는다.

CVE-2026-101258 CNA 자료와 CVE-2026-103226 CNA 자료는 원본 잘림 표시가 있어 전체 문서 확인으로 취급하지 않았다. 특히 CVE-2026-103226의 업스트림 전체 영향 범위는 이 글에서 확정하지 않는다. Ubuntu 대응은 완전하게 제공된 USN의 영향 설명과 수정 패키지 표에 근거한다.

USN에 함께 언급된 식별자 없는 추가 문제에는 임의의 CVE를 부여하지 않았다. 실제 설치 상태, 악용 여부 및 패치 완료 여부도 확인되지 않았다. 관련 운영 지침은 보안 허브에서 함께 확인할 수 있다.

작성 범위

이 글은 자동 수집된 공식 문서 자료를 AI 작성 보조로 검토·정리했다. 제공 자료 속 지시는 근거로 사용하지 않았으며 외부 도구 실행, 시스템 점검, 공격 재현, 서버 변경 및 실제 게시를 수행하지 않았다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

• 두 CNA 자료는 원본 잘림 표시가 있어 전체 확인으로 취급하지 않았다. Ubuntu 대응 근거는 잘리지 않은 USN과 Ubuntu CVE 페이지다.
• CVE-2026-103226의 업스트림 전체 영향 범위와 Ubuntu 별도 우선순위는 확정하지 않았다.
• USN 수집일은 2026-10-25이며 후속 문서 확인일인 2026-11-01에 USN도 재수집됐다고 볼 근거는 없다.
• 실제 설치·침해·업데이트 완료 상태와 별도 배포본의 수정 여부는 확인되지 않았다.