핵심 판단
이번 확인에서 다루는 공개 식별자: CVE-2021-33477. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Ubuntu는 2026년 11월 3일 USN-8991-1을 통해 rxvt-unicode의 CVE-2021-33477 수정 패키지를 안내했다. 사용자가 해당 터미널에서 특수하게 조작된 텍스트를 표시하면, 공격자가 사용자 로그인 권한으로 임의 코드를 실행할 가능성이 있다.
대응은 배포판 수정 패키지 적용과 rxvt-unicode 재시작이다. 이번 안내는 2021년에 공개된 취약점의 Ubuntu 수정 패키지를 다룬다. 새로운 취약점 발견이나 실제 악용 확인을 뜻하지 않는다.
Ubuntu의 자체 우선순위는 Medium, CVSS 표기는 8.8 High다. 두 지표를 구분해 유지한다. 설치 여부와 외부 텍스트를 표시하는 업무를 먼저 확인하고, 해당 환경의 업데이트를 우선 처리한다.
영향 조건과 적용 범위
문제는 rxvt-unicode가 특정 터미널 제어 시퀀스를 잘못 처리하는 데 있다. USN이 설명하는 실행 조건은 사용자가 조작된 텍스트를 해당 터미널에 표시하는 경우다. 모든 Ubuntu 설치가 취약하거나 네트워크에 연결된 것만으로 코드가 실행된다고 해석해서는 안 된다.
CVE 기록은 rxvt-unicode 9.22, rxvt 2.7.10, mrxvt 0.5.4, Eterm 0.9.7을 언급한다. 이는 전체 영향 버전 범위가 아니다. 이번 USN의 수정 안내 대상은 rxvt-unicode이며, 다른 제품까지 수정됐다고 확대 해석하지 않는다.
| 점검 대상 | 공식 근거에서 확인된 상태 | 운영 판단 |
|---|---|---|
| Ubuntu 20.04·18.04·16.04의 rxvt-unicode | USN에 릴리스별 수정 패키지 명시 | 설치 버전과 저장소 접근 조건 확인 후 업데이트 |
| Ubuntu 22.04·24.04의 rxvt-unicode | Ubuntu CVE 페이지에서 Not affected | 이 취약점 때문에 별도 수정판을 추정해 설치하지 않음 |
| 일부 지원 종료 Ubuntu 릴리스 | Ignored end of life 표기 | 수정 완료로 해석하지 말고 지원 상태와 이전 계획 검토 |
| rxvt·mrxvt·Eterm | 동일 CVE에 포함되지만 제품별 상태가 다름 | rxvt-unicode 업데이트로 함께 해결됐다고 판단하지 않음 |
Ubuntu 수정 패키지와 backport 판단
다음은 USN에 명시된 수정 버전이다. 자신의 Ubuntu 릴리스와 패키지 이름을 함께 대조해야 한다.
| Ubuntu 릴리스 | 패키지 | USN 수정 버전 | 제공 조건 |
|---|---|---|---|
| 20.04 LTS focal | rxvt-unicode | 9.22-6ubuntu0.1~esm1 | Ubuntu Pro의 ESM Apps |
| 18.04 LTS bionic | rxvt-unicode | 9.22-3ubuntu0.1~esm1 | Ubuntu Pro의 ESM Apps |
| 16.04 LTS xenial | rxvt-unicode | 9.21-1ubuntu0.1~esm1 | 제공 자료에 Pro 조건이 별도 표시되지 않아 저장소 접근 조건 확인 필요 |
| 16.04 LTS xenial | rxvt-unicode-256color | 9.21-1ubuntu0.1~esm1 | 위와 같음 |
| 16.04 LTS xenial | rxvt-unicode-lite | 9.21-1ubuntu0.1~esm1 | 위와 같음 |
Ubuntu 수정 패키지와 backport 판단 — 계속 1
배포판은 기존 upstream 버전 계열에 보안 수정을 backport할 수 있다. 따라서 버전 앞부분이 9.22 또는 9.21이라는 이유만으로 취약하다고 단정하지 말고, Ubuntu 패키지의 전체 버전과 릴리스별 수정 기준을 비교한다. 다른 릴리스의 패키지를 가져와 대체하지 않는다.
Debian 보안 추적기도 rxvt-unicode의 stretch 수정판 9.22-1+deb9u1, buster 수정판 9.22-6+deb10u1을 기록한다. 이 Debian 버전은 Ubuntu 수정 기준으로 사용할 수 없으며, 과거 수정 기록이 현재 지원 제공을 보장하지도 않는다.
읽기 전용 점검표
다음 명령은 릴리스, 설치 패키지, 로컬 패키지 메타데이터와 실행 중인 프로세스를 확인한다. 업데이트나 설정 변경을 수행하지 않는다.
cat /etc/os-release
dpkg-query -W -f='${binary:Package}\t${Version}\n' rxvt-unicode rxvt-unicode-256color rxvt-unicode-lite
apt-cache policy rxvt-unicode rxvt-unicode-256color rxvt-unicode-lite
pgrep -a -x urxvt
pgrep -a -x urxvtd읽기 전용 점검표 — 계속 2
- 설치되지 않은 패키지에 대한 오류는 취약점 존재의 증거가 아니다.
- 설치 버전을 해당 릴리스의 USN 수정판과 비교한다. 문자열의 단순 사전순 비교로 판정하지 않는다.
apt-cache policy는 로컬 메타데이터 기준이므로 최신 저장소 제공 상태를 확정하지 못한다.- 20.04·18.04에서는 Ubuntu Pro의 ESM Apps 사용 가능 여부와 수정 패키지 후보를 확인한다.
- 프로세스 검색 결과만으로 설치 여부나 수정 코드 적용 여부를 확정하지 않는다.
업데이트와 재시작
조직의 표준 패키지 업데이트 절차로 해당 릴리스의 공식 수정 패키지 또는 이를 포함하는 후속 패키지를 적용한다. 수정판이 후보로 나타나지 않으면 저장소 구성과 구독 접근 조건부터 확인한다. Ubuntu CVE 페이지는 개별 패치의 임의 선별 적용을 권장하지 않는다.
USN은 표준 시스템 업데이트 후 rxvt-unicode를 재시작해야 한다고 명시한다. 진행 중인 작업을 저장하고 관련 터미널을 종료한 뒤 다시 실행한다. 클라이언트·데몬 방식으로 사용하는 환경은 기존 데몬도 이전 코드로 남지 않도록 재시작 범위를 확인한다.
제공된 공식 자료에는 별도 설정 변경이나 패치 대체 완화책이 명시되어 있지 않다. 조작된 텍스트 표시가 영향 조건이라는 사실을 설정만으로 해결됐다는 근거로 사용하지 않는다.
업데이트 후 정상 업무 확인
- 설치 패키지의 전체 버전이 해당 릴리스의 수정 기준을 충족하는지 다시 확인한다.
- 업데이트 전에 실행하던 터미널과 관련 데몬이 종료되고 새 프로세스로 실행됐는지 확인한다.
- 새 터미널에서 일반 명령 실행, 한글·Unicode 표시, 복사·붙여넣기와 평소 사용하는 접속 업무를 확인한다.
- 공격 문자열이나 PoC를 실행하지 않고 평상시 업무 동작으로 검증한다.
- 업데이트 성공과 재시작 여부를 운영 기록에 남긴다. 패치 적용만으로 과거 침해가 없었다고 판단하지 않는다.
근거 확인일과 남은 불확실성
이 글은 제공된 자동 수집 자료를 바탕으로 AI 작성 보조를 사용해 구성했다. 편집 과정에서 원문을 실시간 재접속하거나 시스템 점검·패치·침해 조사를 수행하지 않았다.
| 원문 | 제공 자료의 실제 수집·확인 시각 | 범위와 한계 |
|---|---|---|
| USN-8991-1 | 2026-11-03 20:00:04 UTC | 이벤트 수집 시각 기준, 본문 잘림 없음으로 표시 |
| Ubuntu CVE 페이지 | 2026-11-04 09:57:02 UTC | 이번 수집 성공, stale 아님, 본문 잘림 없음 |
| Debian 보안 추적기 | 2026-11-04 09:57:02 UTC | 이번 수집 성공, stale 아님, 소스 패키지 기준 |
| CVE 기록 | 2026-11-04 09:57:02 UTC | 선택된 CNA 발췌는 잘리지 않았으나 원문 전체는 잘림 표시 |
근거 확인일과 남은 불확실성 — 계속 3
실제 악용 여부, 개별 시스템의 설치·침해 상태, upstream 전체 영향 범위와 16.04의 현재 저장소 접근 조건은 이 자료만으로 확정할 수 없다. 이번 검토는 같은 사건의 후속 공식 근거를 합쳐 작성한 글이며, 별도 사건이나 발행 완료를 의미하지 않는다.
다른 보안 업데이트의 점검 방법은 보안 허브에서 함께 확인할 수 있다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- CVE 원문 전체에는 잘림 표시가 있어 선택된 CNA 발췌 밖의 내용까지 확인했다고 볼 수 없다.
- Ubuntu 16.04 수정 패키지의 현재 저장소 접근 및 지원 조건은 제공 자료만으로 확정할 수 없다.
- 실제 악용 여부와 개별 운영 환경의 설치·침해·패치 상태는 확인되지 않았다.
- 제공된 공식 자료에는 별도 설정 변경이나 패치 대체 완화책이 명시되어 있지 않다.