Ubuntu Poppler 업데이트 대상과 대응
이번 확인에서 다루는 공개 식별자: CVE-2026-107705. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Ubuntu는 USN-8950-1을 2026년 10월 21일 공개하고, Poppler의 암호화 PDF 처리 취약점에 대한 수정 패키지를 안내했다. 해당 API를 사용하는 PDF 처리 서비스와 애플리케이션은 설치 패키지 및 실제 사용하는 라이브러리를 확인한 뒤 배포판 보안 업데이트를 적용해야 한다.
Ubuntu의 우선순위는 Medium, CVSS 3.1 점수는 6.5다. 제공된 자료에서 실제 악용은 확인되지 않았다. 외부에서 받은 PDF와 암호를 자동 처리하는 업무가 있다면 우선 점검할 이유가 있지만, 설치 사실만으로 취약 경로의 사용이나 침해를 뜻하지는 않는다.
어떤 환경이 영향을 받는가
CVE 기록은 upstream Poppler 0.42.0부터 26.10.0까지를 영향 범위로 기재한다. AESV3/R6 암호화 PDF를 열 때 공격자가 제어하는 긴 암호가 libpoppler, libpoppler-glib 또는 C++ API로 전달되면 Decrypt::revision6Hash()의 스택 버퍼 오버플로로 프로세스 충돌이나 메모리 손상이 발생할 수 있다.
Ubuntu CVE 문서는 Ubuntu의 컴파일러 강화가 영향을 서비스 거부로 제한할 가능성이 있다고 설명한다. 또한 Poppler 자체 도구에는 별도의 암호 길이 제한이 있어, 이 문제는 API 사용 경로에 영향을 준다고 명시한다. 이를 모든 PDF 도구의 동일한 위험으로 확대해서는 안 된다.
릴리스별 수정 패키지
USN은 일반적인 시스템 업데이트로 문제를 수정할 수 있다고 안내한다. 다음은 USN에 명시된 패키지와 수정 버전이다.
| Ubuntu 릴리스 | 패키지 | 수정 버전 |
|---|---|---|
| 26.10 | libpoppler162 | 26.07.0-2ubuntu1.1 |
| 26.04 LTS | libpoppler156 | 26.01.0-2ubuntu0.3 |
| 24.04 LTS | libpoppler134 | 24.02.0-1ubuntu9.11 |
| 22.04 LTS | libpoppler118 | 22.02.0-2ubuntu0.15 |
릴리스별 수정 패키지 — 계속 1
배포판 backport를 고려해야 한다. Ubuntu는 upstream 영향 범위 안에 들어가는 기본 버전에도 수정 사항을 반영했다. 따라서 26.10.0 이하라는 이유만으로 Ubuntu 수정 패키지를 취약하다고 판단하지 말고, 릴리스에 맞는 전체 패키지 버전과 저장소 출처를 확인한다. Ubuntu 문서는 개별 패치를 골라 적용하는 방식도 권장하지 않는다.
Ubuntu 20.04 LTS, 18.04 LTS, 16.04 LTS는 제공된 CVE 문서에서 Needs evaluation이다. 이 표의 수정 버전을 해당 릴리스에 대입하거나 안전하다고 간주할 수 없다.
운영 판단과 공식 대응
| 확인한 환경 | 판단 | 실행할 조치 |
|---|---|---|
| 지원 대상 Ubuntu에서 해당 API로 외부 PDF와 암호 처리 | 영향 경로 확인 우선 | 릴리스별 수정 패키지를 포함한 정상 보안 업데이트 적용 |
| Poppler 자체 도구만 사용 | Ubuntu가 별도 암호 길이 제한을 설명 | API를 사용하는 연동 구성도 확인하고 배포판 업데이트 적용 |
| Ubuntu 구버전 또는 자체 빌드 | 제공 자료로 수정 상태 확정 불가 | 해당 환경의 공식 수정 상태와 빌드 내역 추가 확인 |
| Debian 운영 | 수집 당시 수정 버전 미확인 | Debian 공식 추적 상태를 확인하고 Ubuntu 패키지를 전용하지 않음 |
운영 판단과 공식 대응 — 계속 2
Debian 추적 문서는 수집 당시 bookworm의 22.12.0-2+deb12u2와 보안 저장소의 22.12.0-2+deb12u3, trixie의 25.03.0-5+deb13u4와 보안 저장소의 25.03.0-5+deb13u3, forky·sid의 26.07.0-3을 취약 상태로 표시했다. unstable 수정 상태도 unfixed였다. 이는 수집 시점의 기록이며 현재 상태를 새로 확인한 결과는 아니다.
제공된 공식 문서에서 운영자가 별도로 적용할 수 있는 설정 기반 완화책은 확인되지 않았다. Poppler 자체 도구의 길이 제한은 기존 동작에 대한 설명이며, API 사용 애플리케이션 전체의 완화 완료를 의미하지 않는다. Ubuntu에서 확인된 공식 대응은 보안 업데이트다.
읽기 전용 점검표
아래 명령은 릴리스, 설치 패키지, 로컬 패키지 인덱스의 후보 버전을 조회한다. 시스템을 변경하지 않으며, 로컬 인덱스가 오래되었다면 최신 수정판 제공 여부를 보장하지 않는다.
cat /etc/os-release
dpkg-query -W -f='${binary:Package}\t${Version}\n' 'libpoppler*' 'poppler-utils'
apt-cache policy libpoppler162 libpoppler156 libpoppler134 libpoppler118읽기 전용 점검표 — 계속 3
- 운영체제 릴리스와 위 표의 패키지 및 전체 버전을 대조한다.
- PDF 업로드, 미리보기, 문서 변환 서비스가 Poppler API를 사용하는지 구성과 의존성 목록으로 확인한다.
- 컨테이너, 자체 빌드, 애플리케이션에 포함된 라이브러리는 호스트 패키지와 별도로 확인한다.
- 암호화 PDF와 외부 입력 암호가 해당 API에 전달되는 업무 경로를 확인한다.
- 패키지 조회만으로 실행 중인 프로세스의 라이브러리 교체까지 완료됐다고 판단하지 않는다.
업데이트 후 정상 업무 확인
해당 릴리스의 정상 보안 업데이트 절차를 따른 뒤 설치 버전을 다시 조회한다. 장기 실행 서비스는 변경 절차에 따라 재시작 필요성을 검토하고, 수정된 라이브러리를 사용하는지 확인한다.
- 정상적인 비암호화 PDF의 미리보기와 변환 결과를 확인한다.
- 승인된 일반 암호화 PDF로 정상 암호 입력 및 잘못된 암호 처리 동작을 확인한다.
- 처리 지연, 작업 실패, 프로세스 종료, 서비스 오류 로그를 확인한다.
- 실제 점검 결과와 적용한 패키지 버전을 기록한다.
업데이트 후 정상 업무 확인 — 계속 4
이 글은 패치 적용, 침해 조사 또는 업무 테스트가 완료됐다는 보고가 아니다.
근거 확인일과 남은 불확실성
제공 자료의 USN 원문 수집 시각은 2026년 10월 25일 22:17 UTC다. Ubuntu CVE 문서, Debian 추적 문서 및 CVE 선택 필드는 2026년 11월 1일 01:50 UTC에 수집됐다. 이 글 작성 중 외부 재조회는 수행하지 않았다.
CVE 자료에는 원본 잘림 표시가 있으나, 제공된 영향 범위와 설명 선택 필드는 잘리지 않은 것으로 표시돼 있다. Ubuntu USN과 Ubuntu·Debian 문서는 제공 자료상 잘림 및 stale 표시가 없다. upstream 최초 수정 릴리스, Ubuntu 구버전의 최종 판정, 수집 이후 Debian 수정 여부는 확인되지 않았다.
이 글은 자동 수집된 공식 자료를 바탕으로 AI 작성 보조를 사용해 구성한 초안이다. 동일 사건의 원본 USN과 후속 수집 근거를 함께 검토했으며, 별도의 새 사건이나 게시 완료를 주장하지 않는다. 운영 환경의 설치·침해 여부는 직접 확인하지 않았다. 관련 점검 주제는 보안 허브에서 확인할 수 있다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- upstream 최초 수정 릴리스는 제공 자료에서 확인되지 않았다.
- Ubuntu 20.04·18.04·16.04 LTS는 수집 당시 Needs evaluation이다.
- Debian 수정 상태는 2026년 11월 1일 수집 결과이며 이후 변경 여부는 확인하지 않았다.
- CVE 원본에는 잘림 표시가 있으므로 전체 문서를 완전 확인했다고 볼 수 없다.
- 실제 운영 환경의 API 사용 여부, 설치 버전, 침해 및 업데이트 완료 여부는 확인하지 않았다.