Ubuntu Go 보안 업데이트와 운영자 대응
이번 확인에서 다루는 공개 식별자: CVE-2026-33818, CVE-2026-56859, CVE-2026-56862, CVE-2026-56865, CVE-2026-56866, CVE-2026-78659, CVE-2026-78660, CVE-2026-78663, CVE-2026-78667, CVE-2026-78669, CVE-2026-94439, CVE-2026-94440. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Ubuntu의 USN-8935-1은 2026년 10월 19일 공개됐으며, Ubuntu 24.04·22.04·20.04 LTS의 golang-1.22 보안 수정 패키지를 안내한다. 해당 패키지를 사용하는 환경은 릴리스별 수정 버전을 확인하고 업데이트해야 한다. Go로 빌드한 애플리케이션은 수정된 도구 모음으로 재빌드하고 재배포할 대상도 확인해야 한다.
이 글은 같은 사건의 원본 공지와 추가 공식 자료를 함께 검토한 글이다. 새 보안 공지가 발행됐거나 패치 적용이 완료됐다는 의미는 아니다. 관련 운영 점검은 보안 허브에서도 확인할 수 있다.
어떤 사용 조건에서 영향을 받는가
Go가 설치돼 있다는 사실만으로 모든 서비스가 같은 영향을 받지는 않는다. 사용하는 표준 라이브러리 기능, 외부 입력의 도달 경로, 실행 파일의 빌드 버전을 함께 확인해야 한다.
| CVE | 공지에서 확인한 영향 조건 | 가능한 영향 |
|---|---|---|
| CVE-2026-33818 | 깊게 중첩된 재귀 ASN.1 구조 파싱 | 스택 고갈과 프로세스 종료에 따른 서비스 거부 |
| CVE-2026-56859 | XML 요소 디코딩 중 깊이 카운터가 재설정되는 경로 | 깊게 중첩된 XML로 인한 스택 고갈과 서비스 거부 |
| CVE-2026-56862 | TLS 핸드셰이크 이후 KeyUpdate 메시지 처리 | 과도한 자원 사용과 서비스 거부 |
| CVE-2026-56865 | 악성 모듈 프록시를 공격자가 통제하는 조건 | 체크섬 데이터베이스 검증 우회와 악성 모듈 제공 |
| CVE-2026-56866 | 요청 본문을 포함한 HTTP/1 CONNECT가 거부된 뒤 클라이언트 연결을 재사용하는 경로 | 리버스 프록시 대상 HTTP 응답 오염 |
| CVE-2026-78659 | HTTP/2 서버의 Trailer 헤더 처리 | 헤더 제한 미적용에 따른 과도한 자원 사용 |
| CVE-2026-78660 | Go 리버스 프록시가 HTTP/2 응답을 전달하는 경로 | HTTP 응답 스머글링 |
| CVE-2026-78663 | 특정 상황의 HTTP/2 흐름 제어 처리 | 연결 단위 흐름 제어 제한 우회 |
| CVE-2026-78667 | HTTP 콘텐츠 제공 중 Range 헤더 파싱 | 과도한 자원 사용과 서비스 거부 |
| CVE-2026-78669 | 초기 윈도 크기를 바꾸는 HTTP/2 SETTINGS 처리 | 과도한 자원 사용과 서비스 거부 |
| CVE-2026-94439 | HTTP/1 CONNECT 성공 응답 뒤 같은 연결에서 요청을 계속 처리 | HTTP 요청 스머글링 |
| CVE-2026-94440 | multipart 폼 파싱 시 파트의 첫 줄 처리 | 메모리 제한 미적용에 따른 서비스 거부 |
어떤 사용 조건에서 영향을 받는가 — 계속 1
이는 공식 공지가 설명하는 가능 영향이다. 제공 자료에는 실제 악용이나 현재 운영 환경의 침해를 확인하는 근거가 없다.
Ubuntu 패키지는 배포판 수정 번호로 확인
USN은 다음 세 패키지에 동일한 릴리스별 수정 버전을 제시한다. 설치한 패키지에 해당하는 행을 적용한다.
| Ubuntu 릴리스 | 대상 패키지 | 공식 수정 버전 |
|---|---|---|
| 24.04 LTS | golang-1.22, golang-1.22-go, golang-1.22-src | 1.22.2-2ubuntu0.5 |
| 22.04 LTS | golang-1.22, golang-1.22-go, golang-1.22-src | 1.22.2-2~22.04.4 |
| 20.04 LTS | golang-1.22, golang-1.22-go, golang-1.22-src | 1.22.2-2~20.04.3 |
Ubuntu 패키지는 배포판 수정 번호로 확인 — 계속 2
배포판은 보안 수정을 기존 버전에 backport할 수 있다. 따라서 go version에 보이는 1.22.2만으로 수정 여부를 판단하지 말고 Ubuntu 패키지의 전체 버전을 비교해야 한다. 위 표는 USN의 수정 기준이며 모든 과거 패키지 버전의 영향 범위를 개별 확정하는 목록은 아니다.
Ubuntu CVE-2026-33818 상태표는 Ubuntu 20.04 수정판을 Ubuntu Pro의 ESM Apps로 제공한다고 표시한다. 해당 환경에서는 저장소와 구독 적용 상태도 확인해야 한다. 같은 상태표에서 다른 Go 패키지가 Needs evaluation으로 표시된 경우에는 안전하거나 수정됐다고 해석하지 않는다.
별도 설치한 upstream Go
제공된 Go CNA 기록은 CVE-2026-33818과 CVE-2026-56859에 대해 다음 범위를 제시한다. 이 범위를 나머지 CVE에 확대 적용해서는 안 된다.
| 계열 | CNA에 기재된 영향 범위 | 해당 계열 수정 경계 |
|---|---|---|
| 1.25 및 이전 범위 | 0 이상, 1.25.13 미만 | 1.25.13 |
| 1.26 | 1.26.0-0 이상, 1.26.6 미만 | 1.26.6 |
| 1.27 사전 릴리스 | 1.27.0-0 이상, 1.27.0-rc.3 미만 | 1.27.0-rc.3 |
별도 설치한 upstream Go — 계속 3
이 표는 두 CVE의 수정 경계이며 현재 권장 최신 버전이나 전체 USN 취약점의 해결 버전을 뜻하지 않는다. Ubuntu 패키지에는 앞의 배포판 수정표를 적용한다.
대응 우선순위와 공식 조치
Ubuntu의 CVE-2026-33818 문서는 Ubuntu 우선순위를 Medium, CVSS 점수를 7.5 High로 표시한다. 두 평가는 서로 다른 지표다. 나머지 CVE의 등급은 제공 자료로 확정하지 않는다.
| 운영 환경 | 판단 | 실행할 조치 |
|---|---|---|
| 외부 ASN.1·XML 입력 또는 HTTP·TLS 요청을 처리 | 공지의 입력 처리 조건에 도달할 가능성을 우선 점검 | 수정 패키지 적용과 해당 실행 파일 재빌드·재배포 계획을 우선 수립 |
| Go를 리버스 프록시로 사용 | 응답 오염·스머글링 관련 경로 점검 필요 | 프록시 바이너리의 빌드 출처와 재배포 대상 확인 |
| 모듈 프록시를 통해 빌드 | 악성 프록시 통제 조건과 빌드 도구 버전 확인 필요 | 빌드 환경의 수정 패키지 적용 여부 확인 |
| 수정 패키지가 설치됐지만 기존 바이너리가 실행 중 | 도구 모음 업데이트만으로 기존 바이너리 수정 여부를 입증할 수 없음 | 수정 도구 모음으로 재빌드한 산출물인지 확인하고 교체 |
대응 우선순위와 공식 조치 — 계속 4
USN의 공식 조치는 릴리스별 수정 패키지로 시스템을 업데이트하는 것이다. Ubuntu CVE 문서는 Go로 빌드한 패키지를 수정 이후 재빌드해야 한다고 명시한다. 자체 애플리케이션, 외부 공급 바이너리, 컨테이너 산출물도 빌드 출처를 확인하고 해당 공급 경로에서 수정 산출물을 확보해야 한다.
제공 자료에는 패치를 대체할 구체적인 설정 변경이나 공식 임시 완화책이 없다. 임의의 입력 제한 설정을 공식 해결책으로 제시하지 않는다.
읽기 전용 점검표
다음 명령은 상태와 메타데이터를 조회하는 예시다. 이 글 작성 과정에서 실행하지 않았다.
cat /etc/os-release
dpkg-query -W golang-1.22 golang-1.22-go golang-1.22-src
apt-cache policy golang-1.22 golang-1.22-go golang-1.22-src
go version읽기 전용 점검표 — 계속 5
- Ubuntu 릴리스와 설치된 패키지 전체 버전을 수정표와 대조한다. 패키지 미설치 오류는 별도로 설치된 Go나 실행 파일의 부재를 증명하지 않는다.
- 저장소에 제공되는 후보 버전과 설치 버전을 구분한다. 오래된 로컬 패키지 목록은 최신 제공 상태를 보장하지 않는다.
- 서비스 실행 파일, 컨테이너, CI 빌드 이미지에서 사용하는 Go의 출처를 확인한다.
- 실행 파일 경로를 확인한 뒤
go version -m으로 빌드 정보를 조회한다. 정보가 없거나 upstream 버전만 표시되면 패키지 이력과 빌드 기록으로 보완한다. - ASN.1·XML·HTTP·TLS·모듈 다운로드 중 실제 사용하는 기능과 외부 입력 경로를 목록화한다.
- 재빌드 대상과 담당자, 교체할 산출물, 정상 업무 확인 항목을 기록한다.
업데이트 이후 정상 업무 확인
패키지 업데이트 후에는 설치 버전을 다시 확인하고, 수정된 도구 모음으로 필요한 애플리케이션을 재빌드·재배포한다. 실행 중인 프로세스가 새 산출물을 사용하는지도 확인한다.
- 정상 ASN.1·XML 데이터 처리와 주요 업무 요청의 성공 여부를 확인한다.
- TLS 연결, HTTP/2 통신, 프록시 전달, 파일 다운로드·업로드 등 사용 중인 경로를 정상 입력으로 확인한다.
- 모듈 다운로드와 애플리케이션 빌드가 정상 완료되는지 확인한다.
- 배포 전후 오류율, 프로세스 재시작, 메모리 사용량과 지연을 비교한다.
업데이트 이후 정상 업무 확인 — 계속 6
이 확인은 운영자가 수행할 검증 계획이다. 공격 재현이나 침해 검증, 패치 완료를 보고하는 내용은 아니다.
근거 수집일과 남은 불확실성
USN 원본의 제공 수집 시각은 2026년 10월 25일 22:17 UTC다. 추가된 Ubuntu CVE 문서와 Go CNA 두 건의 수집·확인 시각은 2026년 11월 1일 14:05 UTC로 기록돼 있다. 이는 제공된 수집 기록이며, 편집 과정에서 원문에 새로 접속한 확인일이 아니다.
- USN-8935-1 공식 공지: 12개 CVE의 영향 설명과 Ubuntu 릴리스별 수정 패키지 근거다. 제공된 본문은 잘림 없음으로 표시됐다.
- Ubuntu CVE-2026-33818: 우선순위, 수정 상태, ESM Apps 및 재빌드 안내 근거다. 제공된 본문은 잘림 없음으로 표시됐다.
- Go CNA의 CVE-2026-33818 기록과 CVE-2026-56859 기록: 두 CVE의 라이브러리와 upstream 영향 범위 근거다. 선택된 CNA 필드는 잘림 없음이지만 원본 전체는 잘림으로 표시돼 전체 문서를 확인한 것으로 취급하지 않았다.
근거 수집일과 남은 불확실성 — 계속 7
나머지 10개 CVE의 정확한 upstream 영향·수정 버전, 다른 Ubuntu Go 계열의 미평가 상태, 개별 운영 서비스의 노출·침해 여부는 이 자료만으로 확정할 수 없다. 기존 게시 URL은 제공되지 않았으며 실제 게시나 서버 변경은 수행하지 않았다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- Go CNA 두 건은 선택 필드가 온전하지만 원본 전체는 잘림으로 표시돼 전체 확인을 주장할 수 없다.
- 나머지 10개 CVE의 upstream 영향·수정 버전과 개별 심각도는 제공 자료로 확정할 수 없다.
- Ubuntu 상태표의 Needs evaluation 항목은 수정 또는 비영향으로 판단하지 않았다.
- USN 원본 수집일은 2026-10-25이며 추가 문서 확인일인 2026-11-01에 USN도 다시 수집됐다고 판단하지 않았다.
- 실제 악용, 운영 환경 노출·침해, 재빌드 및 패치 완료 여부는 확인하지 않았다.