지난 24시간 동안 리눅스 커널에서 무려 432건의 새로운 취약점(CVE)이 공개되었습니다. 하지만 이 취약점들의 상세 목록을 확인하려는 사용자들은 현재 어려움을 겪고 있습니다. 리눅스 커널 공식 공지 페이지가 대규모 웹 수집(크롤링)으로 인한 서버 부하와 자원 접근 제한을 막기 위해 '아누비스(Anubis)'라는 봇 방지 시스템을 도입했기 때문입니다. 이 시스템은 접속 시 작업 증명(Proof-of-Work) 계산을 요구하여, 개별 사용자에게는 부담이 적지만 대량 수집 시에는 누적 비용을 높이는 방식으로 작동합니다.
아누비스는 해시캐시(Hashcash) 계열의 작업 증명을 사용하며, 최신 자바스크립트(JavaScript) 기능을 필요로 합니다. 따라서 JShelter와 같은 일부 브라우저 플러그인을 사용하는 경우, 해당 도메인에서 기능을 비활성화해야만 취약점 공지 페이지에 접근할 수 있습니다. 이는 헤드리스 브라우저(headless browser)를 식별하는 기술이 개발되기 전까지의 임시방편으로, 향후에는 글꼴 렌더링 방식 등으로 헤드리스 브라우저를 지문 식별하여 정상 사용자에게는 작업 증명 페이지를 표시하지 않는 방식을 목표로 하고 있습니다. 공개된 CVE 중에는 XFS 파일 시스템 관련 취약점처럼 특정 조건에서만 악용 가능해 보이는 것들도 있지만, USB 드라이브나 SD 카드 자동 마운트와 같은 환경에서는 잠재적 위협이 될 수 있다는 지적도 나옵니다.
이번 대량의 CVE 공개와 봇 방지 시스템 도입은 리눅스 커널의 광범위한 사용 환경과 보안 관리의 복잡성을 다시 한번 상기시킵니다. 리눅스 커널은 서버, 임베디드 기기, 개인용 컴퓨터 등 다양한 제품의 핵심 구성 요소로 사용되기 때문에, 하나의 취약점이 여러 환경에 걸쳐 다른 심각도로 작용할 수 있습니다. CVE 체계가 원래 단일 제품을 위해 설계되었기에, 여러 제품의 구성 요소로 쓰이는 운영체제 커널에는 완벽하게 들어맞지 않는다는 의견도 있습니다. 하지만 구성 요소 단계에서 취약점을 관리하는 것이 전체 생태계에는 더 효율적이라는 판단하에 리눅스 커널 프로젝트는 자체 CVE 명명 기관(CNA)으로서 대부분의 버그를 CVE 후보로 간주하고 있습니다. 이는 사용자들에게는 더 안전한 환경을 제공하기 위한 노력의 일환으로 볼 수 있습니다.