Debian 13.7, 92개 보안 권고문 수정 사항 탑재 및 106개 패키지 업데이트 배포

한 줄 요약

Debian 프로젝트가 Debian 13(코드명 "trixie")의 일곱 번째 포인트 릴리스인 13.7을 배포했습니다. 이번 업데이트에는 이미 개별 공지로 발표된 92개의 보안 권고문 내용이 모두 포함되어 있으며, 106개 소스 패키지가 수정되었습니다. 주요 수정 내용은 리눅스 커널 6개 보안 권고, glibc(시스템 핵심 라이브러리) 버퍼 오버플로우·언더플로우 패치, qemu·imagemagick·wolfssl·perl 등에서 발견된 수십 건의 취약점 수정을 포함합니다. 또한 Perl과 libhttp-tiny-perl에서 HTTP 리다이렉트 시 인증 정보가 엉뚱한 서버로 전달될 수 있는 문제(CVE-2026-7017)와 Flask의 캐시 세션 혼용 문제(CVE-2026-27205)도 함께 수정되었습니다. Debian 13 시스템을 운영 중이라면 패키지 관리자를 통해 즉시 업데이트하는 것이 권장됩니다.

사건

Debian 13.7 포인트 릴리스가 출시되어 92개 보안 권고문에 해당하는 취약점 패치와 106개 패키지 수정이 반영되었습니다. 커널 6건, glibc 버퍼 오버플로우, qemu 25개·imagemagick 24개·wolfssl 15개·perl 13개 등 다수 CVE가 포함됩니다.

영향

패치되지 않은 시스템은 버퍼 오버플로우, 원격 코드 실행, 보안 부팅 우회(CVE-2026-16288), 인증 정보 유출(CVE-2026-7017), 캐시를 통한 세션 혼용(CVE-2026-27205), 메일 서버 접근 제어 우회 등 다양한 공격에 노출될 수 있습니다.

원인

개별 패키지의 다양한 코딩 결함이 원인이며, 버퍼 경계 미검증, 리다이렉트 시 인증 헤더 무분별 전달, FIT 이미지 서명 검증 로직 오류, HTTP 캐시 헤더 누락 등이 포함됩니다.

대응

Debian 프로젝트가 13.7 포인트 릴리스로 패치를 배포했습니다. security.debian.org를 이미 추적 중인 시스템은 대부분의 업데이트를 이미 수신했으며, 그 외 시스템은 패키지 관리자를 Debian 미러에 연결해 업데이트하면 됩니다.

실무 포인트

Debian 13(trixie) 기반 서버·임베디드 장비·컨테이너 환경을 운영 중이라면 apt upgrade를 통해 즉시 업데이트를 적용하십시오. 특히 qemu 가상화 환경, Perl 스크립트로 아카이브를 처리하는 파이프라인, HTTP 클라이언트 라이브러리(libhttp-tiny-perl)를 사용하는 애플리케이션, Flask 기반 웹 서비스, ARM/임베디드 보드의 u-boot 환경은 우선순위를 높여 확인이 필요합니다.

본문

Debian 프로젝트가 코드명 "trixie"인 Debian 13.7을 출시했습니다. 이번 릴리스에는 별도로 이미 공개된 92개의 보안 권고문이 통합되었고, 106개 소스 패키지에 수정이 추가되었으며, 인스톨러도 이 두 가지를 반영해 재빌드되었습니다.

92개 권고문 중 6개는 리눅스 커널에 관한 것으로, 각각 amd64 및 arm64용 서명 빌드와 함께 linux 소스 패키지를 다룹니다: DSA-6381, DSA-6393, DSA-6405, DSA-6415, DSA-6466, DSA-6477. 구버전 trixie 미디어로 설치한 시스템은 이 전체 패치 세트 이전의 패키지 버전을 갖게 되며, 첫 번째 업데이트 실행 시 최신 상태로 동기화됩니다. 이미 security.debian.org를 추적 중인 시스템은 해당 보안 업데이트의 대부분이 포인트 릴리스에 포함되어 있으므로, 이번 포인트 릴리스에서 가져올 패키지가 많지 않습니다.

버그 수정 목록의 내용

106개 패키지 중 17개는 자체 수정 사항이 없습니다. Debian이 이 패키지들을 업데이트된 glibc(대부분의 프로그램이 런타임에 링크하는 C 라이브러리)에 맞춰 재빌드했으며, 그 목록은 bash와 busybox부터 docker.io, gnupg2, snapd, zsh까지 이어집니다. glibc 자체에는 버퍼 오버플로우(CVE-2026-5928)와 버퍼 언더플로우(CVE-2026-5450) 수정이 적용되었고, Linux 7.0 헤더와의 호환성을 유지하기 위한 변경도 포함되었습니다.

CVE 번호의 대부분은 네 개 패키지에서 나옵니다. qemu는 25개, imagemagick은 24개, wolfssl은 15개, perl은 13개를 담당합니다. cyrus-imapd는 9개의 CVE를 보유하며, 그 중 8개는 불충분한 접근 제어, 1개는 범위를 벗어난 읽기(out of bounds read)입니다. 메일 서버의 접근 제어는 어느 계정이 어느 메일함을 열 수 있는지를 결정합니다. mbedtls는 7개의 CVE를 포함하며, 클라이언트 사칭 문제인 CVE-2026-34873과 서명 알고리즘 인젝션 문제인 CVE-2026-25834가 포함됩니다.

부팅 체인에 두 건의 수정

많은 임베디드 및 ARM 보드의 부트로더인 u-boot는 커널로 제어권을 넘기기 전에 FIT(Flattened Image Tree) 이미지를 검증합니다. FIT은 커널과 디바이스 트리를 하나의 서명된 파일로 묶습니다. CVE-2026-46728은 이 검증이 거부해야 할 이미지에 대해 통과되는 문제였습니다. 동일한 u-boot 항목에서 CVE-2024-42040으로 등록된 BOOTP/DHCP 버퍼 오버리드(buffer overread)도 수정되었습니다. 이 CVE 번호는 2년 전 것입니다.

qemu의 목록에는 보안 부팅 우회 취약점인 CVE-2026-16288과 UEFI 디바이스의 post_load 검사를 추가한 CVE-2026-61404가 포함됩니다. 보안 부팅용 EFI 바이너리 서명 도구인 sbsigntool은 중간 인증서 검증이 수정되었습니다.

잘못된 호스트로 전달된 인증 정보

perl과 libhttp-tiny-perl 모두 CVE-2026-7017, 즉 리다이렉트 시 인증 정보 전달 문제를 포함합니다. 리다이렉트를 따라가는 HTTP 클라이언트가 Authorization 헤더를 새 목적지로 함께 보내면, 해당 목적지를 제어하는 누구에게나 인증 정보가 노출됩니다. 두 패키지 모두 CRLF 유효성 검사 문제인 CVE-2026-7010도 수정합니다. perl 항목은 13개의 CVE에 이르며, 자신이 만들지 않은 아카이브를 압축 해제하는 모든 것에 영향을 미치는 심볼릭 링크 및 하드 링크 추출 문제인 CVE-2026-42496과 CVE-2026-42497도 포함됩니다.

flask는 이제 세션에 접근할 때 Vary: Cookie 헤더를 설정합니다(CVE-2026-27205). 이 헤더가 없으면 애플리케이션 앞에 있는 캐시가 특정 사용자의 세션으로 생성된 페이지를 저장하여 다음 사용자에게 제공할 수 있습니다. dhcpcd는 길이가 0인 Neighbor Discovery 옵션이 포함된 IPv6 라우터 광고를 폐기하도록 수정되었으며(CVE-2026-14258), dnsmasq는 버퍼 오버플로우와 범위를 벗어난 읽기 문제인 CVE-2026-12725와 CVE-2026-12969를 수정합니다.

수정에 대한 수정

python3.13은 임베디드 값이 있는 dict.clear()의 use-after-free(해제 후 사용) 문제를 수정했으며, 이는 이전 버전 패키지에서 발생한 회귀(regression)입니다. 해당 항목의 나머지는 파일 덮어쓰기 문제인 CVE-2026-11940과 tar 파일에서 사용자 및 그룹 ID를 잘못 처리하는 CVE-2026-4360을 포함한 5개의 CVE입니다. bettercap은 기본적으로 systemd 서비스 설치를 중단하고, 조작된 클라이언트 핸드셰이크로 유발되는 mysql.server 모듈의 원격 서비스 거부 문제인 CVE-2026-8276을 수정합니다. onionshare는 업로드가 비활성화된 상태에서 수신 모드로 파일을 쓰는 동작을 중단합니다(CVE-2026-54707).