JFrog 보안 연구팀이 SQLite에 붙은 CVSS 7.5~9.8짜리 CVE 6건을 뜯어봤더니, 취약하다고 지목한 함수가 해당 버전에 아예 없거나 인용한 줄 번호가 파일 전체 길이(2,706줄)를 넘어섰고, 첨부된 재현 코드는 멈춤을 일으키지 못했어요. 같은 계정이 올린 권고문 55건 중 54건이 지어낸 것이었는데도 NVD는 이걸 그대로 '심각'으로 올렸고 CISA도 동의 표시를 붙였어요. MITRE는 7월 27일 발급한 이 번호들을 7월 31일 '보안 문제가 아니다'라며 전부 취소했고, SQLite 쪽은 8월 1일 자기 CVE 페이지에 '재현되지 않으며 AI 환각으로 보인다'고 적어 뒀어요.
용어 풀이
- CVE
- 공개된 보안 취약점마다 붙이는 전 세계 공통 일련번호
- CVSS
- 취약점 심각도를 0~10점으로 매기는 표준 점수 체계. 9.0 이상이 '심각'
- NVD
- 미국 국립표준기술연구소가 운영하는 취약점 데이터베이스. 대부분의 보안 검사 도구가 이 자료를 가져다 씀
- CISA
- 미국 사이버보안·인프라보안국. 취약점 기록에 자체 판단을 덧붙이는 기관
- MITRE
- CVE 번호 체계를 운영하는 미국 비영리 단체. 이번 번호들을 직접 발급하고 취소한 곳
운영자 인사이트
검사 도구가 뱉은 '심각' 한 줄로 긴급 패치 회의를 열기 전에, 벤더 공식 보안 페이지·고친 커밋 링크·인용된 줄 번호가 실제로 있는지부터 확인해 보세요. 이번 6건은 그 셋만 대조해도 걸러졌고, 규정 때문에 '전부 패치'를 요구받는 조직일수록 있지도 않은 취약점에 사람 시간을 태우게 돼요.
여러 관점으로 보기
- SQLite 공식 입장 SQLite는 문제의 번호들을 '재현되지 않고 AI 환각으로 보인다'고 적어 뒀고, 애초에 CVE를 추적하지 않는다고 밝혀요. SQLite
- 번호를 스스로 거둬들인 기록 MITRE가 7월 27일 발급한 기록을 7월 31일 '보안 문제가 아니었다'며 취소 처리했어요. CVE Program
- 해커뉴스 반론 — 판별 방법 자체가 의심스러워요 글이 근거로 쓴 AI 탐지기에 그 글 자체를 넣었더니 71% AI라고 나왔다는 지적이 붙었고, 대문 그림도 AI로 만든 것이라는 말이 나왔어요. Hacker News
- 메인테이너가 이미 치른 대가 curl은 진짜 취약점 비율이 15%대에서 5% 밑으로 떨어지자 1월 31일자로 포상금 제도를 아예 끝냈어요. daniel.haxx.se