Debian 13.7 포인트 릴리스 발표 — 안정판 Trixie의 일곱 번째 업데이트

본문

Debian 프로젝트는 2026년 9월 12일, 안정(stable) 배포판 Debian 13(코드명 Trixie)의 일곱 번째 포인트 릴리스인 13.7을 발표했습니다. 포인트 릴리스는 Debian의 새 버전이 아니라, 이미 배포된 안정판에 누적된 보안 수정과 심각한 문제에 대한 조정을 한 번에 묶어 제공하는 갱신입니다. 따라서 기존 Trixie 설치 미디어를 버릴 필요가 없으며, 설치 후 최신 미러를 통해 패키지를 업그레이드하면 됩니다. security.debian.org에서 업데이트를 꾸준히 받아온 시스템은 이번 릴리스에서 추가로 갱신할 패키지가 많지 않습니다.

대규모 보안 수정이 핵심

이번 릴리스의 대부분은 보안 취약점(CVE) 수정입니다. 규모가 큰 패키지부터 보면, ImageMagick은 버퍼 오버플로 4건, 메모리 누수 12건, use-after-free 4건, 정책 우회와 정보 유출 등 20건이 넘는 CVE가 한꺼번에 수정되었습니다. QEMU도 새 업스트림 안정 릴리스로 갱신되며 Secure Boot 우회(CVE-2026-16288), virtio 관련 버퍼 오버플로·use-after-free·MMIO 재진입 보호 우회 등 20여 건의 수정을 포함합니다.

기반 라이브러리 계층도 손질이 이뤄졌습니다. glibc는 버퍼 오버플로·언더플로 수정과 함께 Linux 7.0 헤더와의 호환성을 확보했고, 이 glibc 변경에 맞춰 bash·busybox·docker.io·snapd·zsh 등 다수 패키지가 재빌드되었습니다. glib2.0은 경계 밖 접근·파일 내용 유출·정수 언더플로 등 9건의 CVE가, OpenSSL은 새 업스트림 릴리스로 갱신되었습니다. 암호화 스택에서는 mbedtls가 서명 알고리즘 인젝션·클라이언트 impersonation 등 7건, wolfSSL이 인증서 검증·TLS 핸드셰이크 상태 관련 12건, libssh2가 버퍼 오버플로와 double free 등 6건을 수정했습니다.

언어 런타임과 인터프리터도 다수 포함됩니다. Perl은 리다이렉트 시 자격 증명 전달(CVE-2026-7017), 심볼릭 링크·하드링크 추출 문제, 코드 실행(CVE-2026-48962) 등 10건 이상이 수정되었고, Python 3.13은 dict.clear()의 use-after-free 회귀 수정과 tar 파일의 UID/GID 처리 오류 등이 해결되었습니다. Rust 툴체인은 tar 헤더 처리 취약점과 cargo의 자격 증명 유출·캐시 포이즈닝이 수정되었고, Node.js 생태계의 lodash는 프로토타입 오염과 _.template의 import 키 검증이 보강되었습니다.

네트워크·인프라 패키지에서는 dnsmasq의 버퍼 오버플로, dhcpcd의 IPv6 Neighbor Discovery 파싱 문제, cyrus-imapd의 접근 검사 부족 8건과 JMAP EventSource 지원, proftpd의 SQL 인젝션, Squid의 경계 밖 읽기, Samba의 새 업스트림 안정 릴리스가 눈에 띕니다. 가상화·컨테이너 쪽에서는 libvirt의 권한 상승(CVE-2026-63622)과 정보 유출, Incus의 경로 탐색·접근 검사 문제, LXC의 중첩 컨테이너 실행 수정이 포함됩니다. 이 밖에 ansible-core의 임의 코드 인젝션, binwalk·patool의 경로 탐색, bettercap의 원격 DoS와 systemd 서비스 기본 설치 중단, gpsd의 gnuplot 스크립트 코드 인젝션, mrtg의 권한 상승, OnionShare의 수신 모드 파일 쓰기 차단 등도 수정되었습니다.

보안 외의 주요 변경

보안 수정 외에도 tzdata가 Alberta와 Morocco의 시간대 데이터와 윤초(leap second) 정보를 갱신했고, base-files는 AGPL-3.0·CC-BY-SA-4.0·OFL-1.1 등 라이선스 전문을 common-licenses에 추가했습니다. audit은 riscv64 아키텍처 지원을 추가했고, Chromium·브라우저 빌드 지원을 위해 llvm-toolchain-22, rustc-web, rust-cbindgen-web 같은 새 패키지가 들어왔습니다. debian-installer도 이번 포인트 릴리스의 수정을 반영하도록 Linux ABI를 6.12.107+deb13으로 올려 재빌드되었으며, 새 설치 이미지는 정식 배포 경로에 순차적으로 올라갈 예정입니다.

Reddit 반응

• @u/boukensha15 — Debian Sid 사용자로서 Stable이 LTS로 유지된다는 사실을 자꾸 잊게 된다는 반응입니다.
• @u/GSDragoon — 최근 한꺼번에 밀려 들어온 30개 안팎의 업데이트가 이 포인트 릴리스 때문이었다는 설명입니다.
• @u/Itchy-Lingonberry-90 — Mint에서 갈아타 데스크톱에 막 13.6을 설치했는데 바로 다음 릴리스가 나왔다는 아쉬움을 표했습니다. 다만 포인트 릴리스 특성상 재설치가 필요한 것은 아니며, apt 업그레이드만으로 동일한 상태가 됩니다.

원문: Reddit / 번역·요약: Trawling