오픈소스 프로젝트 cURL이 보안 취약점 식별자(CVE) 발급을 두고 MITRE와 이례적인 분쟁에 휘말렸습니다. cURL은 자체적으로 CVE를 할당할 수 있는 CNA(CVE Numbering Authority)로서, 특정 취약점 보고에 대해 '낮음(LOW)'보다 낮은 심각도로 판단하여 CVE 발급을 거부했습니다. 그러나 해당 취약점을 제보한 당사자가 MITRE에 이의를 제기하면서, CVE 발급의 기준과 그 영향에 대한 논란이 불거지고 있습니다.
문제의 취약점은 cURL의 호스트명 검증 기능에서 발견된 버그로, 사용자가 URL에 '.example.com'과 같이 점(.)으로 시작하는 호스트명을 사용하고, 해당 호스트가 와일드카드 인증서(*.example.com)를 사용하는 경우에 발생합니다. 이 조건은 DNS에서 유효하지 않은 호스트명이며, 공격이 성공하려면 로컬 공격자가 /etc/hosts 파일을 조작하거나 악성 서버가 해당 주소로 리다이렉트하는 등 매우 복잡하고 비현실적인 시나리오가 필요합니다. cURL은 이 문제를 이미 수정했지만, 극히 낮은 발생 가능성과 공격 난이도를 고려하여 CVE를 부여하지 않는 것이 보안 생태계에 더 이롭다고 판단했습니다. cURL은 전 세계 약 300억 개의 인스턴스에 설치되어 있어, 불필요한 CVE 하나가 전 세계 수많은 보안팀에 막대한 패치 및 업데이트 비용을 발생시킨다고 주장합니다.
이번 분쟁은 CVE 시스템의 본질적인 질문을 던집니다. 모든 잠재적 취약점에 CVE를 부여하는 것이 항상 최선인가? 아니면 실제 위협 가능성을 신중하게 평가하여 불필요한 경보를 줄이는 것이 더 책임감 있는 접근 방식인가? cURL의 입장은 '낮음'보다 낮은 심각도의 취약점은 CVE를 부여하지 않음으로써 보안 커뮤니티의 피로도를 줄이고, 더 중요한 위협에 집중할 수 있도록 해야 한다는 것입니다. 이는 CVE가 단순한 취약점 목록을 넘어, 전 세계 소프트웨어 공급망에 미치는 경제적, 운영적 영향을 고려해야 한다는 중요한 메시지를 전달합니다.