마이크로소프트가 10월 25일(현지시간) 닷넷(.NET) 긴급 보안 업데이트를 발표했다. 공식 발표 시각은 한국시간 26일 오전 3시 45분이다. 정기 월간 배포와 별도로 공개한 버전은 .NET 8.0.33, 9.0.22, 10.0.14다. 기존 정식 제품의 보안 수정이며, 함께 나온 .NET 11 RC3는 정식판이 아닌 출시후보판이다.
압축 해제 기능 쓰는 앱이 대상
핵심은 Brotli 압축 해제 과정의 취약점 수정이다. 회사는 조작된 압축 데이터를 처리할 때 공격자가 프로세스 메모리를 읽거나 손상시켜 정보 노출, 서비스 거부 또는 권한 상승을 일으킬 수 있다고 설명했다.
대상은 ASP.NET Core의 요청 압축 해제, HttpClient의 자동 응답 압축 해제, Brotli API 등을 사용하는 앱이다. 요청과 응답의 자동 압축 해제는 기본 활성화 기능이 아니며, 기존 .NET Framework는 영향을 받지 않는다. 모든 윈도 사용자에게 같은 위험이 적용되는 문제는 아니다.
리눅스 배포 압축파일의 소유권 문제도 고쳤다. .NET 10·11에서는 소스 빌드용 tarball만 해당하지만, 8·9에서는 ASP.NET Core tarball 배포본도 영향을 받을 수 있다. 10월 13일 수정이 불완전했던 메모리 손상과 Blazor 디버거 문제도 추가 보완했다.
배포 방식별로 갱신 조치 달라
업데이트는 지원되는 윈도·리눅스·맥OS 환경에 제공된다. 닷넷은 상업적 사용을 포함해 라이선스 비용이 없는 무료 플랫폼이다. 다만 앱 배포 방식에 따라 조치가 다르다. 설치된 런타임을 사용하는 앱은 갱신 후 재시작하고, 런타임을 앱에 포함한 자체 포함형 앱은 다시 빌드해 배포해야 한다.
컨테이너 역시 최신 기본 이미지로 다시 만들어야 한다. Blazor의 관련 NuGet 패키지 참조는 별도로 갱신해야 하므로 런타임 설치만으로 모든 수정이 앱에 반영된다고 볼 수 없다.
같은 압축 기술, 구현별 영향은 구분해야
스위트 시큐리티는 10월 25일 공개한 자체 실험에서 Go Brotli 1.2.6에 조작된 HTTP 요청을 보내 핸들러 패닉을 재현했다고 밝혔다. 연결은 응답 없이 닫혔지만 프로세스는 생존했으며, Go 원격 코드 실행(RCE)을 입증한 결과는 아니다.
공식 글을 쓴 토머 필리바(Tomer Filiba) 최고기술책임자(CTO)는 Go 인프라도 점검해야 한다고 설명했다. 회사는 런타임 보안·가상패치 제품을 판매하는 이해관계자다. 의존성만으로 공격 가능성을 단정해서는 안 된다.
참고 자료: Sweet Security 자체 연구(10월 25일) / 마이크로소프트 .NET 긴급 보안 업데이트·10.0.14 릴리스노트
){kind=small}
){kind=small}
){kind=small}
){kind=small}