Rustup 1.29.2, please update from a trusted network
Rustup 1.29.2 출시, 신뢰할 수 있는 네트워크에서 업데이트하세요
Rustup 1.29.2는 eMudhra 중간 인증서 문제(CVE-2026-111943)에 대응해 rustls-webpki와 webpki-root-certs 의존성을 업데이트합니다. 기존 사용자는 rustup self update 또는 rustup update로 갱신할 수 있으며, Reddit에서는 안전한 네트워크에서 업데이트하라는 권고와 패키지 서명 검증 방식을 둘러싼 논의가 이어졌습니다.
- 주제
에디터 노트
이번 업데이트는 인증서 신뢰 목록을 갱신해 TLS 연결을 가로채는 위험을 줄이는 조치입니다. 댓글에서는 운영체제 인증서 저장소가 이미 일부 인증서를 차단했을 가능성을 제기하지만, rustup의 동작은 시스템마다 다를 수 있어 패키지 쪽 인증서 의존성도 갱신하는 선택이 불확실성을 줄입니다. 안전한 네트워크에서 업데이트하라는 권고는 Reddit 댓글에서 나왔고 릴리스 안내의 공식 절차와는 구분됩니다. 패키지 서명과 키 교체 문제는 아직 TUF 기반 정식 방식을 준비하는 단계라고 관리자가 설명했습니다.
AI 요약
Rustup 팀이 Rust 설치 도구인 rustup 1.29.2를 발표했습니다. 이번 릴리스는 eMudhra 중간 인증서 문제에 대응해 rustls-webpki와 webpki-root-certs 의존성만 갱신한 소규모 업데이트입니다. 관련 정보로 CVE-2026-111943과 RUSTSEC-2026-0382를 안내합니다.
업데이트 방법과 유의점
실행 중인 프로그램을 종료한 뒤 rustup self update를 실행하면 갱신됩니다. rustup update를 실행해도 일반적인 툴체인 업데이트가 끝날 때 rustup이 자동으로 업데이트됩니다. 릴리스 직후에는 일부 백신 프로그램이 rustup을 차단하거나 파일 복사, 특히 파일 수가 많은 rust-docs 설치를 막을 수 있으며, 백신이 새 버전을 인식하면 몇 주 안에 해결될 수 있다고 안내합니다.
Reddit 반응
- @noop_noob — 보안 문제의 특성상 공용 와이파이가 아니라 신뢰할 수 있는 네트워크에서 업데이트하는 편이 좋습니다.
- @scook0 — 제가 파악한 바로는 rustup은 가능한 경우 운영체제가 제공하는 인증서 저장소를 사용합니다. 따라서 많은 시스템에서는 운영체제 업데이트로 이미 해당 인증서가 신뢰 대상에서 제외됐을 수 있습니다. 그래도 불확실성을 없애려면 rustup을 업데이트하는 편이 좋습니다.
- @Icarium-Lifestealer — rustup은 보안에 SSL만 의존하고 패키지 서명은 확인하지 않나요? 그렇다면 이유가 무엇인가요?
- @JoshTriplett — 릴리스 서명은 이미 있었지만 실험 단계였고, 키 교체 절차가 없는 점 등을 해결해야 했습니다. TUF를 기반으로 정식 서명 방식을 제공하는 작업을 진행하고 있습니다.
- @CAD1997 — 패키지와 서명을 같은 출처에서 받으면 서명 검증만으로는 도움이 안 됩니다. 패키지가 침해된 경우 공격자가 서명도 바꿔 올릴 수 있습니다.
- @Icarium-Lifestealer — 해시와 서명을 혼동한 것 아닌가요? 서명 검증에 쓸 공개 키를 rustup 실행 파일에 포함하거나 Web PKI와 비슷한 인증서 체계를 쓸 수 있습니다.
- @InternationalFee3911 — rustup이 자기 자신을 업데이트하기 전에 Rust를 먼저 업데이트하는 이유가 궁금했습니다. 새 버전의 개선점을 Rust 업데이트에도 바로 활용하면 좋겠습니다.
- @scook0 — 자기 업데이트를 먼저 하면 기존 rustup 프로세스가 새로 내려받은 rustup을 다시 실행해 나머지 업데이트를 맡기는 절차가 필요합니다. 불가능하진 않지만 마지막에 자기 자신을 업데이트하는 것보다 구현이 복잡합니다.
- @TDplay — 인증 기관 eMudhra가 엔트로피가 8비트인 개인 키를 사용했고 그 키가 공개된 것으로 압니다. 오래된 소프트웨어가 취약한 키를 계속 신뢰하면 공격자가 안전하지 않은 네트워크에서 서버를 사칭할 수 있습니다. 업데이트를 마치기 전에는 안전하지 않은 네트워크에서 rustup을 쓰지 말아야 합니다.
원문: Reddit / 번역·요약: Trawling