Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
본 기사는 Linux 커널의 취약점 발견 및 CVE 부여 현황에 대해 논하며, 모든 버그 수정에 CVE를 부여하는 관행이 보안 인식에 미치는 영향을 분석합니다. 특히 AI 기술 발전으로 인해 취약점 발견 속도가 급증하고 있으며, 이는 소프트웨어 품질 향상과 동시에 새로운 보안 위협 시대를 예고합니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 RSS: GeekNews (한국어)의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기거의 모든 버그 수정에 CVE를 부여하므로 숫자가 커진다는 점을 감안해야 함. 커널 문서에서도 “Linux 커널이 시스템에서 차지하는 계층 특성상 거의 모든 버그가 커널 보안을 침해하는 데 악용될 수 있어, CVE 부여 팀은 매우 보수적으로 접근하며 식별한 모든 버그 수정에 CVE 번호를 부여한다”고 밝히고 있음. https://docs.kernel.org/process/cve.html
특히 커널에서는 CVE 개수 자체는 쓸모없는 지표임.
모든 버그는 어떤 기능이 의도대로 작동하지 못하게 하므로, 논리를 따라가면 모든 버그에 CVE를 부여할 수 있음. 이를 서비스 거부로 보면 CVSS를 사용하는 CVE 체계상 모든 버그가 최소한 CVSS v4.0의 1점/낮음 등급 취약점이 됨.
더 억지를 부리면 계획만 하고 아직 구현하지 않은 기능도 사용을 막고 있으니 같은 등급의 취약점으로 볼 수 있음. 보안 연구자가 이력서에 넣을 실적을 쌓기 이보다 쉬운 때도 없을 듯함!
투명성을 위해 모든 버그 수정에 CVE를 부여한다는 점은 흥미롭지만, 숫자가 너무 커지면 CVE를 무시하거나 가볍게 여기는 습관이 생겨 결국 보안이 더 나빠질 수 있음. 이런 과잉 보고는 역효과를 낼 위험이 있어 보임.
몇 년간 이런 공지를 지켜봤는데, 이번에는 단일 공지에 담긴 CVE 수가 압도적으로 많음. Chromium이나 OpenSSL에서도 대규모 묶음이 나오기는 했지만, 맥락 없이는 숫자에 별 의미가 없다는 데 동의함. 그렇다면 이번 맥락은 무엇이며, 누가 혹은 무엇이 이 버그들을 전부 찾아낸 것인가?
특히 “거의 모든 버그가 악용될 가능성이 있다”는 부분에 주목해야 함.
접근성이 높아지면서 문제를 살펴보는 눈이 늘어난 것은 좋은 일임. 다만 이제야 이 취약점들이 발견되는 현상은 오픈소스 모델 자체보다 사람이 보안 문제를 찾아내는 능력에 의문을 던지는 것 아닌가?
오랫동안 숨어 있던 취약점들을 AI가 찾기 전까지 수천 명의 사람이 놓친 것은 아닌가?
Microsoft와 Apple의 취약점 공개 기준은 Linux나 오픈소스 전반보다 훨씬 높음. 대체로 Windows와 macOS에서 심각하고 영향이 큰 문제만 공개함.
반면 Linux는 정상적인 설정으로 컴파일하고 실행하는 실제 운영 배포판에서 악용 가능한 버그인지조차 불분명한 수준까지 공개하는 편임.
AI 이전부터 버그 없는 C 코드를 작성할 만큼 똑똑한 사람은 없다는 사실은 알고 있었음. 모든 버그가 본격적인 공격의 발판이 될 수 있으니 심각해진 것임.
아마 아주 좋은 변화일 것임. 처음에는 AI가 프로젝트에 쏟아내는 물량 때문에 마찰이 크겠지만, 더 나은 처리 절차가 갖춰지면 수많은 프로젝트의 품질이 좋아질 것임!
장기적으로는 쉽게 악용할 수 있는 취약점이 남지 않은 소프트웨어에 도달할 것임. 하지만 지금은 그런 취약점이 널려 있고, 시스템을 공격하기가 그 어느 때보다 쉬운 시기임.
올해 처음으로 CVE 일련번호가 100000을 넘은 것 같음. 다만 이것이 취약점 10만 개를 뜻하지는 않음.
올해 늦여름까지 발견된 취약점만으로 이미 2025년 전체 수치를 넘어섰다고 함.
정확히는 취약점 1,313개임.
주로 AI의 도움으로 발견한 취약점들인가? 2024년과 2025년에 비해 엄청나게 늘어난 것처럼 보임.
그렇다고 봄. 완전히 새로운 세상이 열리고 있음.
이 버그 중 일부는 이미 정부가 악용하고 있었을 가능성도 있지 않을까? AI가 그런 구멍을 막는 데 도움이 되는 동시에, 다른 공격 가능성도 드러내며 일종의 AI 군비 경쟁을 일으킬 수 있지 않을까?
그럴 가능성이 높음. 해킹 전문 조직들은 온갖 시스템에 침투해 지속적인 접근 거점을 심으며 신나 있을 것 같음. 일종의 골드러시 시기일 수 있음.
다들 잠깐 진정할 필요가 있음. 이런 공지는 몇 주마다 대량의 CVE와 함께 나옴.
8월에는 Debian 커널 업데이트가 불과 나흘 간격으로 따로 나왔는데, 그만큼 자주 재부팅하는 사람이 있기는 한가? 나도 최근 약 45일 동안 커널 세 개를 설치했고, 그사이에 몇 개는 놓쳤을 것임.
이제 거의 모든 커널 버그에 기본적으로 CVE가 붙는 것 아닌가?
이번에도 그게 전부인가? “몇 가지”라는 표현만 보고는 이렇게 빽빽한 CVE 목록이 나올 줄 몰랐음.
맞음. 요란해 보이지만 별일은 아님.
맞음. 대부분이 메모리 안전성 문제이고, 이런 버그는 취약점으로 이어질 수 있다고 자동으로 가정하기 때문임.
안전하지 않은 동작을 캡슐화하는 일이 얼마나 중요한지 다시 보여줌. C에도 __UNSAFE { } 블록을 도입해 메모리 접근을 그 안에 가두면, 블록 밖에서 생기는 대부분의 버그에는 CVE를 붙이지 않아도 되지 않을까?
Linux 커널에서 권한 상승, 서비스 거부, 정보 유출로 이어질 수 있는 취약점이 발견됐다고 하는데, 원격으로 악용 가능한가, 로컬에서만 가능한가? 정보가 너무 부족함.
이 중 하나라도 원격 악용이 가능했다면 훨씬 더 요란하고 긴급하게 보도됐을 것임. 로컬 권한 상승 버그는 늘 발견됨.