GNOME 재단이 2026년 9월 24일 GNOME 50.5를 출시하며 여러 보안 취약점을 패치했습니다. Epiphany 웹 브라우저에서는 자동완성 기능의 CSS 셀렉터를 통한 자바스크립트 코드 삽입 취약점과, 악성 확장 파일이 허용된 폴더 밖에 임의 파일을 쓸 수 있는 ZIP slip(경로 탈출) 공격 취약점이 수정되었습니다. gvfs 파일 시스템 레이어에서는 CVE-2026-88924가, librsvg 이미지 라이브러리와 GDM 로그인 관리자에서는 해제된 메모리를 계속 사용하는 use-after-free(메모리 해제 후 재사용) 버그가 패치되었습니다. GNOME 50을 탑재한 모든 리눅스 배포판은 배포판의 패키지 업데이트를 통해 최신 버전으로 업그레이드할 것이 권고됩니다.
GNOME 50.5 릴리스를 통해 Epiphany 브라우저의 CSS 셀렉터 기반 자바스크립트 코드 삽입, ZIP slip 경로 탈출, gvfs의 CVE-2026-88924, librsvg·GDM의 use-after-free 등 다수의 보안 취약점이 패치됨.
Epiphany 브라우저 사용자는 악성 웹사이트로부터 코드 삽입 공격에 노출될 수 있으며, 악성 확장 패키지가 시스템의 임의 위치에 파일을 덮어쓸 수 있음. GDM의 use-after-free 버그는 화면 잠금·해제 시 전체 사용자 세션 충돌을 유발할 수 있음.
자동완성 기능의 CSS 셀렉터 처리 오류, XPI 확장 파일의 경로 검증 부재, gvfs 소켓 생성 시 소유권 설정 순서 오류, 중첩된 XML 개체 처리 시 메모리 관리 결함 등.
GNOME 릴리스 팀이 22개 모듈을 업데이트한 GNOME 50.5를 공식 출시하고, GNOME 50을 탑재한 모든 운영체제에 즉시 업그레이드를 권고함.
GNOME 기반 리눅스 데스크탑(Ubuntu, Fedora 등) 환경을 운영하는 조직은 배포판 패키지 관리자를 통해 GNOME 50.5 업데이트를 조속히 적용해야 하며, 특히 Epiphany 브라우저와 gvfs·SVG 이미지 처리 환경을 점검할 것.
본문
GNOME 릴리스 팀이 2026년 9월 24일 출시한 GNOME 50.5는 gvfs 파일 시스템 레이어의 CVE, Epiphany 웹 브라우저의 자바스크립트 인젝션 결함, 그리고 librsvg 이미지 라이브러리의 use-after-free(메모리 해제 후 재사용) 버그를 패치합니다.
이번 릴리스는 22개 모듈을 업데이트합니다. Epiphany로 브라우징하거나, librsvg를 통해 SVG 이미지를 열거나, gvfs로 파일에 접근하는 사용자는 배포판이 새 패키지를 제공할 때까지 이 결함에 노출된 상태로 남습니다. 릴리스 팀은 "GNOME 50을 탑재한 모든 운영체제는 업그레이드를 권장한다"고 밝혔습니다.
Epiphany, ZIP slip 취약점 패치
Epiphany는 이번 릴리스에서 50.4에서 50.6으로 버전이 올라가며 8월에 배포된 두 버전의 변경 사항을 포함합니다. 8월 13일자 버전 50.6은 자동완성 기능의 CSS 셀렉터를 통한 자바스크립트 코드 인젝션과, WebExtension XPI 파일의 경로 탐색(path traversal) 취약점(ZIP slip으로 명명)을 수정합니다. ZIP slip 공격에서는 조작된 압축 파일이 지정된 폴더 밖에 파일을 기록할 수 있어, 악성 확장 패키지가 디스크의 임의 위치에 파일을 배치할 수 있습니다. 버전 50.5는 Epiphany가 셸에 명령을 전달하기 전 커맨드라인 입력에 따옴표 처리를 추가합니다. 두 버전 모두 비밀번호 관리자의 충돌 및 잘못된 북마크 가져오기 시 발생하는 충돌도 수정합니다.
CVE 하나, 한 줄의 수정
gvfs 1.60.3은 이번 릴리스 노트에서 유일한 CVE 식별자인 CVE-2026-88924를 포함합니다. 이 수정은 admin 백엔드가 소켓을 생성하기 전에 소유권을 먼저 설정하도록 변경합니다. 변경 로그에는 단 한 줄만 기재되어 있고 심각도 점수도 없어, 관리자는 이 단 하나의 항목만으로 위험도를 직접 판단해야 합니다.
이미지 처리와 로그인 화면의 메모리 버그
librsvg 2.62.4는 use-after-free 버그를 수정합니다. 이는 프로그램이 이미 해제한 메모리를 계속 사용하는 오류입니다. 중첩된 XInclude 문서 내 중복 XML 개체가 이 버그를 유발했습니다. 이번 librsvg 릴리스는 또한 RUSTSEC-2026-0187 및 RUSTSEC-2026-0204 보안 권고에 대응하여 두 개의 Rust 의존성도 업데이트합니다.
로그인 관리자인 GDM 50.3은 두 건의 use-after-free 버그를 수정합니다. 그 중 하나는 화면 잠금 또는 해제 중 전체 사용자 세션을 충돌시킬 수 있었습니다. 또한 이전 보안 패치가 systemd 환경에서 인증을 망가뜨린 회귀 버그도 수정합니다. GNOME Shell 50.5는 이제 화면 사용 시간 제한 도달 후 화면 잠금 해제를 거부하고, 화면이 잠길 때 마운트 비밀번호 대화상자를 취소하며, pixbuf를 생성하기 전에 직렬화된 이미지 데이터를 검증합니다.
두 개의 라이브러리도 파일 처리를 강화했습니다. libgsf 1.14.59는 OLE2 로더의 무한 재귀 문제를 방어하고 손상된 스트림에서의 zip 읽기를 수정하며, libsecret의 파일 백엔드는 동시 쓰기 경쟁 조건을 막기 위한 파일 잠금 기능을 추가했습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
