NetBSD 11.0 공개, 보안 이슈 3개는 숨기지 않고 남겨둔 채 릴리스

NetBSD 11.0이 2026년 8월 1일 공개됐음. 글 첫 줄의 'finally'에서 보이듯 꽤 기다린 릴리스임

• 설치하려면 각 아키텍처별 설치 노트를 보고 CDN에서 맞는 이미지를 받으라고 안내함
• ARM 기반 장치는 U-Boot가 미리 구성된 netbsd-11 이미지를 bootable ARM images 페이지에서 받으라는 설명도 있음

설치 이미지 구성이 조금 바뀌었음. ISO를 아무거나 받으면 삽질할 수 있음

• CD-ROM 미디어용으로 700MB 미만 ISO가 따로 나뉘었고, 전체 크기 DVD 이미지는 파일명에 -dvd.iso가 들어간 걸 고르면 됨
• USB 드라이브 같은 플래시 미디어에는 .iso가 아니라 .img 파일을 써야 함
• .img 파일은 바로 쓰기 전에 gunzip이나 7-Zip으로 압축을 풀어야 한다고 안내함

이번 공지에서 제일 흥미로운 부분은 '열린 보안 이슈가 있어도 릴리스한다'는 설명임

• 프로젝트는 AI 도구 등장 이후 보안 이슈가 발견되거나 의심되는 수가 크게 늘었다고 말함
• 새 이슈가 계속 보고되는 상황에서 모든 걸 고칠 때까지 릴리스를 늦추는 대신, 남은 항목을 투명하게 공개하는 쪽을 택함

현재 공개된 보안 관련 pullup 요청은 3개임

• hdaudio(4)는 ioctl 명령 접근 체크 누락 문제임. 로컬 사용자 권한 체크가 빠진 케이스고, /dev/hdaudio*를 제거하는 수동 우회가 가능하다고 함. 오디오는 계속 동작한다고 설명함
• ipfilter는 원격에서 유발 가능한 널 포인터 역참조 문제임. 다만 IPF는 기본 릴리스 커널에 포함되지 않는다고 함
• pf는 fragment reassembly의 use-after-free 문제임. PF는 deprecated 상태이고 기본 릴리스 커널에 포함되지 않는다고 설명함

릴리스가 늦어진 이유도 꽤 현실적임

• 서드파티 컴포넌트가 안정 릴리스를 내고 수정 사항을 받을 때까지 기다렸다고 함
• 릴리스 후보 없이 변경사항을 바로 공개하는 일은 피했고, 사용자 테스트 시간을 주는 방식을 유지했다고 함
• 프로세스는 가능한 자동화했지만, 모든 플랫폼 빌드와 체크섬 생성, 보안 담당자의 릴리스 해시 서명, 아키텍처별 파일 전송 같은 느린 단계가 아직 병목임

미해결 pullup 요청은 11.0 직후 stable 브랜치에 커밋될 예정이고, NetBSD 11.1은 앞으로 두 달 안을 목표로 함

• 운영체제 릴리스에서 '완벽히 깨끗한 릴리스'와 '현실적인 공개' 사이의 선택을 보여주는 사례임
• 기본 커널에 포함되지 않는 이슈가 많다고 해도, NetBSD를 직접 운영하는 사용자는 사용 중인 커널 설정과 장치 파일 노출 여부를 확인하는 게 좋음