shpsort로 외부 파일을 처리한다면 수정 패키지를 확인하세요
이번 확인에서 다루는 공개 식별자: CVE-2022-0699. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Ubuntu는 2026년 11월 3일 USN-8992-1을 통해 Shapelib의 shpsort 유틸리티에 대한 보안 업데이트를 안내했습니다. 특정 입력을 처리할 때 메모리를 이중 해제해 프로그램이 종료되거나, 파일을 연 사용자 권한으로 임의 코드가 실행될 가능성이 있습니다.
영향 판단의 핵심은 Shapelib 설치 여부와 함께 취약한 shpsort로 외부에서 받은 파일을 처리하는지입니다. 이 공지만으로 모든 Shapelib 연동 애플리케이션이 같은 경로로 취약하다고 판단할 수는 없습니다.
영향 조건과 대응 우선순위
CVE 기록은 Shapelib 1.5.0 및 이전 릴리스의 contrib/shpsort.c를 영향 대상으로 설명합니다. Ubuntu 공지는 조작된 파일 처리에 따른 서비스 거부와 임의 코드 실행 가능성을 명시합니다. 실제 악용이나 현재 환경의 침해는 제공된 자료로 확인되지 않습니다.
Ubuntu CVE 페이지의 배포판 처리 우선순위는 Medium이며, 같은 페이지에 표시된 CVSS 기본 점수는 9.8 Critical입니다. 서로 다른 평가 항목이므로 하나의 등급으로 합쳐 해석하지 않습니다.
| 운영 상황 | 판단 | 실행할 조치 |
|---|---|---|
| 외부 제공 파일을 shpsort로 처리 | 취약 경로에 입력이 도달할 수 있음 | 해당 릴리스의 수정 패키지 적용을 우선 배정 |
| 자동 작업에서 shpsort 실행 | 실행 계정과 파일 유입 경로 확인 필요 | 배치 설정과 설치 버전을 확인하고 업데이트 |
| 설치되어 있지만 사용 경로 불명 | 노출 여부 미확인 | 호출 스크립트와 업무 설정을 읽기 전용으로 점검 |
| Ubuntu가 Not affected로 분류한 릴리스 | 해당 배포판 패키지는 비영향으로 표시 | 자체 빌드나 별도 설치본이 있는지 추가 확인 |
릴리스별 수정 패키지
다음은 USN-8992-1에 명시된 shapelib 수정 패키지입니다. 설치 버전은 같은 Ubuntu 릴리스의 공식 패키지 버전과 비교해야 합니다.
| Ubuntu 릴리스 | 수정 패키지 버전 | 배포 경로 확인 사항 |
|---|---|---|
| 22.04 LTS | 1.5.0-2+deb11u1build0.22.04.1 | 해당 릴리스의 공식 업데이트 저장소 확인 |
| 20.04 LTS | 1.5.0-1ubuntu0.1~esm1 | 공지에 Ubuntu Pro의 ESM Apps 수정 제공 명시 |
| 18.04 LTS | 1.4.1-1ubuntu0.1~esm1 | 공지에 Ubuntu Pro의 ESM Apps 수정 제공 명시 |
| 16.04 LTS | 1.3.0-5ubuntu0.1~esm1 | 해당 수정 패키지를 제공하는 저장소와 지원 자격 확인 |
릴리스별 수정 패키지 — 계속 1
업스트림 버전 숫자만으로 취약 여부를 판단하지 마세요. 배포판은 기존 버전에 수정 사항을 backport할 수 있습니다. 따라서 1.5.0이나 1.4.1이라는 앞부분이 남아 있어도 위의 배포판 수정 리비전이 적용되었는지가 중요합니다.
Ubuntu CVE 페이지는 24.04 LTS를 포함한 여러 후속 릴리스를 Not affected로 표시합니다. 23.04와 22.10의 Ignored 표시는 지원 종료와 관련된 상태이며, 안전하다는 의미로 사용하면 안 됩니다.
Debian 추적기는 bullseye의 수정 버전을 1.5.0-2+deb11u1, unstable의 수정 버전을 1.5.0-3으로 기록합니다. 이 값은 Ubuntu 패키지 적용 기준을 대체하지 않습니다.
업데이트 전 읽기 전용 점검표
다음 명령은 운영자가 환경을 확인하기 위한 예시이며, 이 글 작성 과정에서 실행하지 않았습니다.
cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' shapelib
apt-cache policy shapelib
command -v shpsort업데이트 전 읽기 전용 점검표 — 계속 2
- 운영체제 릴리스와 설치된 패키지의 전체 버전 문자열을 기록합니다.
apt-cache policy의 후보 버전과 저장소를 확인합니다. 로컬 패키지 목록이 오래되었다면 최신 제공 상태를 반영하지 않을 수 있습니다.shpsort가 발견되면 실행 경로를 확인하고 공식 패키지 외 별도 설치본 여부를 조사합니다.- 배치 작업과 업무 스크립트에서
shpsort호출 및 외부 파일 유입 경로를 확인합니다. - ESM 수정이 필요한 환경에서는 Ubuntu Pro 연결 상태와 해당 패키지의 업데이트 제공 여부를 확인합니다.
업데이트 전 읽기 전용 점검표 — 계속 3
명령을 찾지 못했다는 사실만으로 다른 경로의 실행 파일이나 컨테이너까지 안전하다고 결론 내리지 않습니다.
공식 대응과 업데이트 후 확인
USN은 표준 시스템 업데이트로 수정 패키지를 적용하도록 안내합니다. 운영 환경의 변경 절차에 따라 패키지 목록을 갱신하고, 해당 릴리스의 수정 버전 또는 이를 포함하는 공식 후속 패키지를 적용하세요. 후보 버전이 표의 수정 기준에 미치지 못하면 저장소 설정과 ESM 제공 상태를 먼저 확인해야 합니다.
제공된 공식 문서에는 별도의 설정 변경이나 패치를 대신하는 공식 완화책이 없습니다. 업데이트 전 외부 파일의 shpsort 처리를 제한하는 것은 노출을 줄이기 위한 운영상 임시 조치이며, 공식 수정의 대체책으로 검증된 것은 아닙니다.
- 업데이트 뒤 설치된 전체 패키지 버전을 다시 확인합니다.
- 실제 업무가 사용하는 실행 파일이 업데이트된 패키지에 속하는지 확인합니다.
- 정상적인 내부 테스트 파일로 기존 정렬·처리 업무가 완료되는지 확인합니다.
- 출력 결과의 형식과 기대한 처리 결과, 작업 로그의 비정상 종료 여부를 확인합니다.
- 자동 작업도 정상 주기에 완료되는지 확인하고 결과를 변경 기록에 남깁니다.
공식 대응과 업데이트 후 확인 — 계속 4
이 문서는 패치 적용, 업무 테스트 또는 침해 조사가 완료되었다고 주장하지 않습니다.
근거 확인일과 남은 불확실성
제공된 수집 기록에서 USN 본문 수집 시각은 2026년 11월 3일 20:00 UTC, Ubuntu CVE 페이지와 Debian 추적기의 확인 시각은 같은 날 21:33 UTC입니다. 한국 시간으로 각각 2026년 11월 4일 05:00, 06:33입니다. 이 글은 해당 자동 수집 자료를 검토한 결과이며 별도의 실시간 조회를 수행하지 않았습니다.
근거 확인일과 남은 불확실성 — 계속 5
CVE 저장소 자료는 원문 잘림 표시가 있어 전체 기록을 확인한 것으로 취급하지 않았습니다. 정확한 업스트림 최초 수정 릴리스, 자체 빌드의 수정 포함 여부, 개별 시스템의 설치·노출·침해 상태는 확인되지 않았습니다. Ubuntu와 Debian의 완전 수집 문서에 명시된 배포판 수정 버전을 이 글의 대응 기준으로 사용했습니다.
이 글은 자동 수집 자료와 AI 작성 보조를 이용해 작성했습니다. 관련 점검 지침은 보안 허브에서 함께 확인할 수 있습니다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- CVE 저장소 자료는 원문 잘림 표시가 있어 전체 기록의 완전성을 확인하지 못했다.
- 정확한 업스트림 최초 수정 릴리스와 자체 빌드의 수정 포함 여부는 제공 자료로 확정할 수 없다.
- 개별 환경의 설치·노출·실제 악용·침해 여부와 패치 및 업무 검증 완료 여부는 확인되지 않았다.
- 16.04 LTS 수정 패키지의 구체적인 접근 자격과 저장소 상태는 운영 환경에서 확인해야 한다.