Homebrew 7.0.0 출시 — 보안 변경 사항 총정리

Homebrew는 macOS와 Linux 터미널에서 커맨드라인 소프트웨어와 데스크탑 애플리케이션을 설치하는 도구로, Mac 개발자들이 개발 환경을 구성할 때 널리 사용합니다. 지난 일요일 프로젝트는 버전 7.0.0을 출시하면서 8개의 보안 권고문을 함께 종결했습니다. 그 중 가장 심각한 것은 cask(미리 빌드된 애플리케이션을 설치하는 Homebrew 레시피)의 서명되지 않은 삭제 메타데이터가 sudo 명령을 실행할 수 있는 취약점입니다. Homebrew는 취약한 복구 코드와 이를 참조하는 API 접근자를 삭제하는 방식으로 대응했습니다.

8개 중 7개의 권고문은 6.0.x 릴리스에서 수정됐으므로, 자동 업데이트가 활성화된 시스템은 이미 해당 패치를 적용한 상태입니다. 나머지 하나는 7.0.0에서 처음 수정됩니다. 이를 설치하기 전까지는 악성 cask가 macOS 설치 샌드박스 바깥에서 LaunchServices를 통해 코드를 실행할 수 있습니다.

8개의 권고문, 그 중 하나는 High 등급

Homebrew는 권고문 하나를 High, 두 개를 Moderate, 다섯 개를 Low로 분류합니다. High 등급은 sudo 실행 경로 문제로 6.0.12에서 수정됐습니다. 같은 릴리스에서 수정된 Moderate 하나는 macOS 인스톨러가 Homebrew 프리픽스 소유의 Git 설정을 읽어 프로그램을 root 권한으로 실행할 수 있는 문제였습니다. 나머지 Moderate는 LaunchServices 탈출이며, 7.0.0은 애플리케이션 실행, Mach 서비스, Unix 소켓 연결을 제한하는 방식으로 해결했습니다.

Low 등급 5개는 6.0.6과 6.0.7에서 수정됐으며, 요청과 파일 경로가 의도치 않은 대상에 도달하는 문제들을 다룹니다. 구체적으로는 비밀 헤더를 다른 호스트로 전달하거나 SSRF(서버 측 요청 위조)로 악용될 수 있는 리다이렉트, tap(패키지 정의를 제공하는 서드파티 저장소) 제한을 우회할 수 있는 Git 리다이렉트, 커맨드 옵션으로 변환될 수 있는 Subversion URL, 스테이징된 소스 트리 외부에 파일을 쓸 수 있는 패치 문제가 포함됩니다.

Homebrew, 이제 직접 설치 패키지 취약점 검사

이번 릴리스와 함께 brew vulns가 추가됐습니다. 이 명령어는 설치된 formula(Homebrew가 빌드에 사용하는 패키지 정의)를 OSV.dev(오픈소스 취약점 공개 인덱스)의 알려진 취약점 목록과 비교 검사하며, 별도의 tap이나 gem 설치가 필요 없습니다. --severity=high, --deps, --fix-available 등의 플래그로 출력 범위를 좁혀 팀이 실제로 대응할 수 있는 항목만 확인할 수 있습니다.

이 명령어 뒤에는 Homebrew가 배포하는 formula 버전과 리비전을 기준으로 취약점을 기록하는 새 어드바이저리 데이터베이스가 있으며, 백포트된 보안 수정 사항도 포함됩니다. 이 세부 정보는 보안 팀이 처리해야 할 오탐(false alarm) 수를 결정짓는 핵심 요소입니다. Homebrew가 업스트림 버전 번호를 올리지 않고 패키지를 패치할 경우, 버전 문자열만 보는 스캐너는 이미 수정된 취약점을 여전히 열린 문제로 잘못 표시합니다. 기록은 OSV 포맷이며 CC0 라이선스로 공개되고, Homebrew는 formula API와 다운로드 가능한 인덱스 형태로 결과를 제공합니다.

출처(provenance) 검사 범위도 확대됩니다. Homebrew는 지원되는 서드파티 tap 병(bottle)에 대해 빌드 증명(attestation)을 검증하며, 이는 기존에 자체 core tap에만 적용되던 검사를 확장한 것입니다. brew tap-new로 생성된 tap은 기본적으로 이 증명을 게시합니다.

샌드박스가 커버하지 못하는 영역

서드파티 악성 cask에 대한 주요 방어선은 여전히 tap 신뢰(trust)입니다. Homebrew의 표현에 따르면, 샌드박싱은 "신뢰할 수 없는 소프트웨어를 안전하게 만들 수 없습니다." 설치된 애플리케이션은 사용자 권한으로 실행되며, 벤더의 .pkg 인스톨러는 샌드박스 외부에서 실행되어 sudo를 요청할 수 있습니다.

그 경계 안에서 7.0.0은 설치 중 허용되는 동작을 줄였습니다. Homebrew는 formula와 cask 작업을 샌드박스 처리하고, 설치 지침을 서명된 데이터로 전달하여 설치 과정에서 실행되던 임의의 Ruby 코드를 제거했습니다. 기존의 post_install 및 cask flight 블록은 선언형 단계로 대체되며 deprecated(지원 중단 예정) 처리됐습니다. 공식 tap은 이미 이를 거부하고 있으며, 서드파티 tap은 2027년 12월 11일까지 계속 사용할 수 있습니다. 빌드는 기본적으로 홈 디렉토리를 더 이상 읽지 않습니다. 의존성 다운로드는 별도의 fetch 단계로 이동하고 있으며, 이후 설치는 네트워크가 차단된 상태에서 캐시를 읽기 전용으로 실행됩니다. 다만 이 마이그레이션은 아직 진행 중입니다.

Linux에서는 6월에 도입된 Bubblewrap 샌드박싱을 Landlock으로 교체했습니다. Landlock은 별도의 의존성이나 상승된 Docker 권한이 필요 없는 커널 기능입니다. Landlock을 지원하지 않는 커널은 6.0.0 이전의 보안 수준이 낮은 구성으로 계속 실행되며, brew doctor가 이를 권고 사항으로 보고합니다.

Intel Mac, 새 bottle 제공 중단

Homebrew는 불안정한 인프라로 인해 Intel 빌드가 정기적으로 제공되지 않게 되면서 Intel x86_64를 Tier 3으로 격하했습니다. 이미 빌드된 bottle은 계속 제공되지만, 업데이트된 formula는 로컬에서 직접 컴파일해야 할 수 있습니다. 이는 Intel 사용자가 새 버전에 포함된 수정 사항을 적용하는 방식이기도 합니다. Homebrew는 2027년 9월 1일까지 프로젝트 공식 지원 없이 Intel에서 실행되며, 해당 사용자에게는 대안으로 MacPorts를 권장합니다. Apple이 macOS 27에서 Intel을 제외했고 GitHub도 2027년 가을에 Intel macOS 러너를 종료할 예정이어서, Homebrew 자원봉사자들이 이를 대체하기 어려운 상황입니다. 이번 릴리스는 macOS 10.15 이하 지원도 제거했으며, Sonoma 14도 Tier 3으로 이동해 더 이상 새 bottle을 제공하지 않습니다.