Ubuntu 16.04 운영자가 확인할 조치
이번 확인에서 다루는 공개 식별자: CVE-2016-10074. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Ubuntu는 2026년 11월 3일 공개한 USN-8986-1에서 Swift Mailer의 CVE-2016-10074 수정 패키지를 안내했다. Ubuntu 16.04 LTS에서 공지 대상 패키지를 사용하는 운영자는 php-swiftmailer의 설치 버전과 업데이트 제공 여부를 확인하고, 5.4.1-1ubuntu1+esm1 또는 해당 릴리스에서 이를 대체하는 수정 패키지로 업데이트해야 한다.
이는 2016년에 공개된 취약점에 대한 배포판 대응 공지다. 이번 공지가 새로운 취약점 발견이나 실제 공격 발생을 뜻하지는 않는다.
영향 조건과 우선순위
취약점은 Swift Mailer의 Swift_Transport_MailTransport에서 이메일 주소를 충분히 정제하지 않는 문제다. 공격자가 From, ReturnPath, Sender 헤더에 사용되는 주소에 영향을 줄 수 있는 경우, 메일 명령에 추가 인수가 전달되어 임의 코드 실행으로 이어질 수 있다. 단순히 Swift Mailer가 설치돼 있다는 사실만으로 이 공격 경로가 성립한다고 판단해서는 안 된다.
Ubuntu CVE 문서는 Ubuntu 우선순위를 Medium, CVSS v3.0 기본 점수를 9.8 Critical로 표시한다. 서로 다른 평가 항목이므로 구분해서 읽어야 한다. 외부 입력이 관련 헤더로 전달되고 취약한 mail transport를 사용하는 서비스는 우선 점검한다. 제공 자료에서는 실제 악용 여부가 확인되지 않는다.
버전과 대응 판단표
| 대상 | 제공된 공식 자료의 상태 | 운영자 조치 |
|---|---|---|
| upstream Swift Mailer | CVE 설명상 5.4.5 미만 영향 | 실제 의존성 버전과 transport 사용 경로 확인 |
| Ubuntu 16.04 LTS | USN의 php-swiftmailer 수정판은 5.4.1-1ubuntu1+esm1 | 해당 릴리스 저장소의 수정 패키지 적용 |
| Ubuntu 18.04·20.04·22.04·24.04 LTS | Ubuntu CVE 표의 libphp-swiftmailer 수정 기준은 5.4.2-1.1 | 릴리스별 패키지 전체 버전과 공식 상태 대조 |
| Debian Jessie | 소스 패키지 수정판 5.2.2-1+deb8u1 | 해당 배포판 수정 이력과 설치 패키지 대조 |
| Debian Wheezy | 소스 패키지 수정판 4.1.5-1+deb7u1 | 해당 배포판 수정 이력과 설치 패키지 대조 |
| 애플리케이션에 별도로 포함한 라이브러리 | 이번 Ubuntu 패키지 업데이트의 적용 여부 불명 | Composer 의존성과 별도 복사본을 각각 확인 |
버전과 대응 판단표 — 계속 1
배포판은 이전 upstream 버전에 보안 수정을 백포트할 수 있다. 따라서 5.4.1이나 5.4.2라는 앞부분만 보고 미수정으로 판정하지 말고, 배포판 릴리스와 패키지 전체 버전을 함께 비교해야 한다. Debian 버전은 Debian 보안 추적기에 근거하며 Ubuntu 시스템에 그대로 적용할 기준이 아니다.
읽기 전용 점검표
다음 명령은 시스템과 패키지 정보를 조회한다. 저장소 메타데이터를 갱신하지 않으므로 후보 버전은 로컬 캐시가 오래되었을 수 있다.
cat /etc/os-release
dpkg-query -W -f='${binary:Package}\t${Version}\n' php-swiftmailer libphp-swiftmailer
apt-cache policy php-swiftmailer libphp-swiftmailer읽기 전용 점검표 — 계속 2
- Ubuntu 릴리스와 실제 설치된 바이너리 패키지 이름을 기록한다. 조회 대상 중 설치되지 않은 패키지는 오류가 표시될 수 있다.
- 애플리케이션의 의존성 목록과 잠금 파일에서 Swift Mailer 별도 설치 여부를 확인한다.
- 설정과 코드에서
Swift_Transport_MailTransport사용 여부를 확인한다. - 외부 입력이 From, ReturnPath, Sender 주소로 전달되는지 검토한다.
- Ubuntu 16.04에서는 공지된 ESM 수정 패키지를 받을 수 있는 저장소와 지원 이용 상태를 확인한다. 접근 가능 여부를 추정하지 않는다.
업데이트와 정상 업무 확인
USN은 표준 시스템 업데이트를 공식 조치로 안내한다. 운영 변경 절차에 따라 해당 릴리스의 수정 패키지를 적용하고, 이후 설치된 전체 버전을 다시 조회한다. OS 패키지와 별개로 포함한 라이브러리는 별도 관리가 필요하다.
제공된 공지에는 구체적인 임시 설정 완화책이 없다. 입력 필터 추가나 transport 변경을 공식 패치와 동등한 해결책으로 제시할 근거도 없다. 수정 패키지를 받을 수 없다면 지원 경로와 이전 계획을 확인해야 한다.
- 정상적인 테스트 계정으로 업무 메일 발송과 수신을 확인한다.
- 발신자 주소, 반송 주소, 메일 큐와 애플리케이션 오류 로그를 확인한다.
- 예약 발송과 백그라운드 작업에서도 정상 발송되는지 확인한다.
- 장기 실행 프로세스가 수정된 라이브러리를 사용하는지 운영 방식에 맞게 확인한다.
업데이트와 정상 업무 확인 — 계속 3
위 항목은 수행할 검증 절차이며, 이 글에서 패치 적용이나 테스트 성공을 확인한 것은 아니다.
근거 확인일과 남은 불확실성
제공된 자동 수집 기록상 USN 원문 수집 시각은 2026년 11월 3일 20:00 UTC, 한국 시각으로 11월 4일 05:00이다. Ubuntu CVE 문서와 Debian 추적기는 11월 3일 20:47 UTC, 한국 시각으로 11월 4일 05:47에 수집됐다. 이 검토에서는 외부 재조회 없이 제공된 원문을 사용했다.
Ubuntu CVE 표는 16.04를 Vulnerable로 표시하지만, USN은 16.04 수정 패키지를 명시한다. 두 자료의 상태 차이는 해소되지 않았다. 구체적인 업데이트 기준은 USN의 수정 패키지 표를 따르되 실제 저장소 제공 여부와 설치 결과를 확인해야 한다. 공지의 php-swiftmailer와 추적기의 libphp-swiftmailer 표기도 구분해 실제 패키지 정보를 대조한다.
CVE 레코드 수집본은 전체 원문이 잘린 것으로 표시돼 완전한 문서 확인으로 취급하지 않았다. 핵심 조치는 잘리지 않은 Ubuntu USN과 배포판 추적 자료에 근거한다. 설치 현황, 침해 여부, 수정 패키지 접근 가능 여부는 확인되지 않았다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- Ubuntu CVE 표의 16.04 Vulnerable 상태와 USN의 수정 패키지 안내 사이에 상태 차이가 있다.
- 대상 시스템의 설치 버전, mail transport 사용 여부, 외부 입력 경로와 ESM 패키지 접근 가능 여부는 확인되지 않았다.
- CVE 레코드는 전체 원문이 잘린 수집본이며, 제공 자료로 실제 악용 여부는 확인되지 않는다.