요약

  • Erlang Ecosystem Foundation 이사장은 RIPE 93에서 자체 CVE 번호 부여 조직의 업무가 지난해 약 10건에서 올해 500건 이상으로 늘 것으로 예상했다.
  • 후보 결함을 찾아낸 뒤에는 재현, 프로젝트 담당자 연락, 수정판 배포, 공개 결정이 이어진다. 이 구간의 인력은 자동으로 늘지 않는다.

버그를 찾는 컨베이어 벨트에 새 모터가 달렸다. 패치를 만드는 사람의 달력에는 여전히 월요일이 한 칸뿐이다. RIPE 93 보안 세션에서 Erlang Ecosystem Foundation 이사장 Alistair Woodman은 자체 CVE 번호 부여 조직이 지난해 약 10건을 다뤘고 올해는 500건을 넘길 것으로 예상한다고 말했다. 약 50배에 해당하는 전망치다. Woodman은 코드에 이미 있던 결함을 더 빨리 찾게 됐다고 설명했다.

CVE 프로그램의 공식 등록 범위는 Hex.pm의 활동 중인 패키지와 지정된 Erlang·Elixir·Gleam 프로젝트를 포함한다. 다른 번호 부여 조직이 맡은 경우는 제외된다. Woodman은 이 생태계에 패키지가 2만 개 넘는다고 추정한다. 자동 도구가 훑을 수 있는 면적이 넓은 만큼, 보고서마다 실제 취약점인지 확인하고 담당 개발자를 찾아야 하는 사람의 일도 쌓인다.

원문 회의록에서 Woodman은 한 사람이 AI로 후보를 찾고 다른 사람이 CVE 접수 대기열의 깊이를 조절하는 방식을 설명했다. 재단은 같은 프로젝트에서 나온 보고를 묶어 담당자에게 미리 알려 주는 실험도 한다. 유지보수자가 하루를 통째로 수리 작업에 쓸 수 있도록 하자는 취지다. 발표 슬라이드는 ‘Maintainer Burnout’를 별도 장으로 세웠다. 기계의 생산성을 보여 주는 표보다 사람의 빈 시간이 더 귀해졌다.

재단의 공개된 조정 절차는 접수 보고의 적격성 판단, 최소 재현 사례 작성, 비공개 연락, 내부 검토, CVE 공개 순서로 이어진다. 유지보수자가 14일 동안 답하지 않으면 재단은 참여 없이 공개할 수 있다. 이미 공개됐거나 실제 악용 중인 취약점에는 24시간 공개 기한을 둔다. 번호를 붙이는 권한과 코드를 고치는 권한이 서로 다른 곳에 있기 때문에 이런 시계가 필요하다.

Woodman은 후원금을 구해 이 업무를 운영한다고 했다. 발견의 가격은 내려갔다. 수정된 패키지를 내보낼 사람의 시간은 여전히 누군가 지불해야 한다.