Ubuntu GVfs 업데이트와 세션 재시작이 필요합니다
이번 확인에서 다루는 공개 식별자: CVE-2026-84267, CVE-2026-84269, CVE-2026-84270. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Ubuntu는 2026년 11월 3일 USN-8970-1을 통해 GVfs의 SFTP 정보 노출, AFP 및 MTP 서비스 거부 문제에 대한 수정 패키지를 안내했습니다. 공지 대상은 Ubuntu 22.04·24.04·26.04 LTS입니다. 해당 릴리스에서 GVfs를 사용하는 운영자는 배포판 보안 업데이트를 적용하고 사용자 세션을 재시작해야 합니다.
이 글은 같은 사건의 원본 공지와 추가 공식 자료를 함께 검토한 글입니다. 게시·침해 조사·패치 적용을 수행했다는 의미는 아닙니다.
영향 조건과 대응 우선순위
| 취약점 | 노출 조건 | 공식 자료에 명시된 영향 | 판단과 우선순위 |
|---|---|---|---|
| CVE-2026-84267 | GVfs로 악성 SFTP 서버의 공유에 연결 | gvfsd-sftp 메모리 정보 노출 및 주소 무작위화 보호 약화 | CNA CVSS 4.3 Medium, Red Hat Moderate. 외부 SFTP 연결 업무가 있는 단말부터 대응 |
| CVE-2026-84269 | GVfs로 악성 AFP 서버의 공유에 연결 | gvfsd-afp 충돌에 따른 서비스 거부 | CNA CVSS 6.5 Medium, Red Hat Moderate. AFP 공유 이용 단말을 우선 점검 |
| CVE-2026-84270 | GVfs가 악성 MTP 장치의 데이터를 처리 | 서비스 거부 | 제공된 USN에 등급은 없음. 외부 MTP 장치를 연결하는 단말을 우선 점검 |
영향 조건과 대응 우선순위 — 계속 1
SFTP와 AFP 문제는 사용자 상호작용이 필요한 것으로 CNA에 명시되어 있습니다. 모든 Ubuntu 설치가 같은 조건으로 노출되는 것은 아닙니다. GVfs 설치 여부와 실제 프로토콜·장치 이용 여부를 함께 확인해야 합니다. 제공된 자료에는 실제 악용이나 침해 확인 근거가 없으며, 원격 코드 실행으로 확대 해석하지 않습니다.
영향 범위와 릴리스별 수정판
CNA의 업스트림 영향 범위는 CVE-2026-84267이 GVfs 1.10.0 이상 1.60.2 미만, CVE-2026-84269가 1.60.2 미만입니다. CVE-2026-84270의 정확한 업스트림 영향 범위는 제공된 자료에서 확인되지 않습니다. Ubuntu에서는 세 취약점을 함께 다루는 USN의 릴리스별 수정 패키지를 기준으로 대응할 수 있습니다.
| Ubuntu 릴리스 | USN에 명시된 gvfs 수정 패키지 |
|---|---|
| 26.04 LTS | 1.60.0-1ubuntu0.2 |
| 24.04 LTS | 1.54.4-0ubuntu1~24.04.5 |
| 22.04 LTS | 1.48.2-0ubuntu1.3 |
영향 범위와 릴리스별 수정판 — 계속 2
배포판의 보안 수정 backport를 고려해야 합니다. Ubuntu 패키지의 앞부분이 업스트림 1.60.2보다 낮다는 이유만으로 미수정으로 판정하지 말고, 해당 릴리스의 전체 패키지 버전을 위 표와 비교하십시오. 다른 릴리스의 패키지를 가져오거나 개별 패치를 임의로 골라 적용하는 대신 해당 릴리스의 공식 업데이트 경로를 사용하십시오.
Ubuntu CVE-2026-84267 상태 페이지는 이 취약점에 대해 26.10을 영향 없음으로, 20.04·18.04·16.04 LTS를 평가 필요로 표시합니다. 이 상태를 나머지 두 취약점에 그대로 적용할 수는 없습니다.
읽기 전용 점검표
다음 명령은 운영체제, 설치 패키지, 현재 로컬 APT 메타데이터의 후보 버전을 조회합니다. 패키지를 설치하거나 저장소 정보를 갱신하지 않습니다.
cat /etc/os-release
dpkg-query -W -f='${binary:Package}\t${Version}\n' 'gvfs*'
apt-cache policy gvfs gvfs-backends읽기 전용 점검표 — 계속 3
- Ubuntu 릴리스와 설치된 GVfs 관련 패키지의 전체 버전을 기록합니다.
- 해당 릴리스의 USN 수정 버전과 비교합니다. APT 후보 정보는 마지막 저장소 갱신 시점에 따라 오래되었을 수 있습니다.
- 파일 관리자 등을 통한 SFTP·AFP 공유 이용과 MTP 장치 연결 업무가 있는지 확인합니다.
- 설치 패키지가 조회되지 않으면 실제 설치 상태를 확인하고, 이를 취약점 진단 완료로 해석하지 않습니다.
- 지원 범위 밖 릴리스나 표에 없는 패키지 상태는 별도로 확인합니다.
공식 조치와 임시 완화
USN은 일반적인 시스템 업데이트로 표의 수정 패키지를 적용한 뒤 사용자 세션을 재시작하도록 안내합니다. 업무 중인 파일과 원격 공유 작업을 저장하고, 조직의 업데이트 절차에 따라 공식 보안 업데이트를 적용하십시오. 관련 GVfs 패키지의 업데이트 상태도 함께 확인해야 합니다.
CVE-2026-84267 CNA 자료의 공식 완화책은 신뢰할 수 없는 SFTP 서버에 연결하지 않는 것입니다. CVE-2026-84269 CNA 자료는 신뢰할 수 없는 AFP 서버에 연결하지 않도록 안내합니다. 이 조치는 업데이트 전 노출을 줄이는 방법이며 패치를 대신하지 않습니다. MTP 문제에 대한 별도 공식 완화책은 제공된 자료에 없습니다.
업데이트 후 정상 업무 확인
- 패키지 버전을 다시 조회해 해당 릴리스의 수정판 또는 이를 포함하는 후속 공식 업데이트가 설치되었는지 확인합니다.
- 사용자 세션을 재시작했는지 확인합니다.
- 승인된 SFTP·AFP 공유의 연결과 정상적인 파일 조회가 동작하는지 확인합니다.
- 업무에 사용하는 신뢰할 수 있는 MTP 장치가 정상적으로 인식되고 필요한 파일 작업이 가능한지 확인합니다.
- 파일 관리자 오류나 연결 실패가 발생하면 시각과 증상을 기록해 운영 담당자에게 전달합니다.
업데이트 후 정상 업무 확인 — 계속 4
이 점검은 정상 업무 복구를 확인하기 위한 절차입니다. 악성 서버나 장치로 취약점을 재현할 필요는 없습니다.
근거 확인 범위와 남은 불확실성
제공된 수집 기록에서 USN 원문 수집 시각은 2026년 11월 3일 16:00 UTC이며, 두 CNA 자료와 Ubuntu CVE 페이지의 추가 수집·확인 시각은 2026년 11월 5일 23:19 UTC입니다. 한국 시간으로는 각각 11월 4일 01:00, 11월 6일 08:19입니다. 이 글 작성 과정에서 외부 접속으로 재확인하지 않았습니다.
USN과 Ubuntu CVE 페이지는 제공본 기준으로 잘리지 않았습니다. CNA 두 건은 원본 잘림 표시가 있지만 선택된 CNA 필드에는 영향 범위·등급·설명·완화책이 포함되어 있습니다. 이를 전체 원문을 완전히 검증한 것으로 취급하지 않습니다.
CVE-2026-84270의 개별 CNA 자료와 등급, 정확한 업스트림 영향 범위는 제공되지 않았습니다. 해당 항목은 USN이 확인하는 MTP 영향 조건과 Ubuntu 수정 패키지 범위로 한정했습니다. 다른 배포판의 정확한 수정 패키지도 이 글의 확인 범위에 포함되지 않습니다.
자료는 자동 수집되었으며 이 글에는 AI 작성 보조가 사용되었습니다. 실제 설치 상태, 침해 여부, 패치 완료 여부는 확인하지 않았습니다. 관련 운영 점검 글은 보안 허브에서 함께 살펴볼 수 있습니다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- CVE-2026-84270의 개별 CNA, 심각도, 정확한 업스트림 영향 범위와 별도 공식 완화책은 제공되지 않았다. Ubuntu 대응은 USN의 수정 패키지 표를 근거로 한다.
- 두 CNA 원본에는 잘림 표시가 있다. 선택된 필드의 명시적 사실만 사용했으며 전체 원문 확인으로 간주하지 않았다.
- 실제 설치·침해·업데이트 완료 상태와 다른 배포판의 수정 패키지는 확인하지 않았다.