오픈소스 프로젝트 curl이 극히 제한적인 조건에서만 발생하는 인증서 호스트명 검사 버그에 대해 CVE(Common Vulnerabilities and Exposures) 발급을 거부하며 논란의 중심에 섰습니다. curl은 해당 버그가 현실적인 위협이 아닌 '이론적 문제'에 가깝다고 판단했으며, 이는 전 세계 수많은 시스템에 설치된 libcurl의 특성을 고려할 때 불필요한 보안 경보가 생태계 전체에 막대한 비용을 전가할 수 있다는 책임감 있는 자세에서 비롯된 결정입니다. CVE 관리 기관인 MITRE 역시 curl의 이러한 판단에 동의하며 최종적으로 CVE ID를 할당하지 않기로 했습니다.
문제가 된 버그는 URL에 점(.)으로 시작하는 비표준 DNS 호스트명, 와일드카드 인증서, 그리고 특정 TLS 백엔드(OpenSSL 계열 또는 Schannel)가 결합될 때 curl의 `Curl_cert_hostcheck()` 함수가 호스트명 불일치를 잘못 판단하여 일치한다고 반환하는 것이었습니다. curl은 2025년 12월 이 버그를 수정하고 단위 테스트를 추가했지만, 악용을 위해서는 주소 확인 환경을 조작할 권한이 있는 로컬 공격자가 필요하다고 평가했습니다. 즉, 일반적인 사용 환경에서는 발생하기 어려운 매우 복잡하고 극단적인 전제 조건이 충족되어야만 잠재적인 위협이 될 수 있다는 것입니다. curl은 자체적으로 취약점 접수, 관리, 평가 절차를 갖춘 CNA(CVE Numbering Authority)로서, 이러한 'LOW 미만'의 문제에는 불필요한 보안 대응을 피하고자 CVE를 발급하지 않는 정책을 유지하고 있습니다.
이번 결정은 단순히 하나의 버그에 대한 판단을 넘어, 오픈소스 생태계 전반에 걸쳐 CVE가 미치는 영향과 책임 있는 운영 방식에 대한 중요한 시사점을 던집니다. libcurl은 전 세계 약 300억 개 인스턴스에 설치되어 있어, CVE 하나가 공개될 때마다 수많은 조직의 보안팀이 검토하고 패치하며 소프트웨어를 업데이트하는 막대한 비용이 발생합니다. curl은 실제 취약점은 신속히 해결하되, 악용 가능성이 희박한 이론적 문제까지 경보로 만들면 '알림 피로'를 유발하여 오히려 중요한 취약점을 놓치게 할 수 있다고 강조합니다. 이는 최근 LLM(대규모 언어 모델)을 이용한 무의미한 CVE 제보가 늘어나면서 오픈소스 프로젝트들이 겪는 어려움과도 맞닿아 있으며, CVE 발급의 기준과 책임에 대한 논의를 촉발할 것으로 보입니다.