---
title: "NetBSD 11.0 공개, 보안 이슈 3개는 숨기지 않고 남겨둔 채 릴리스"
published: 2026-08-01T17:56:41.000Z
canonical: https://jeff.news/article/5358
---
# NetBSD 11.0 공개, 보안 이슈 3개는 숨기지 않고 남겨둔 채 릴리스

NetBSD 프로젝트가 NetBSD 11.0을 공개했음. 릴리스가 이미 지연된 상황에서 보안 관련 미해결 pullup 요청 3개를 투명하게 공개하고, 약 두 달 안에 11.1에 반영하겠다는 계획을 함께 냈음.

- NetBSD 11.0이 2026년 8월 1일 공개됐음. 글 첫 줄의 'finally'에서 보이듯 꽤 기다린 릴리스임
  - 설치하려면 각 아키텍처별 설치 노트를 보고 CDN에서 맞는 이미지를 받으라고 안내함
  - ARM 기반 장치는 U-Boot가 미리 구성된 netbsd-11 이미지를 bootable ARM images 페이지에서 받으라는 설명도 있음

- 설치 이미지 구성이 조금 바뀌었음. ISO를 아무거나 받으면 삽질할 수 있음
  - CD-ROM 미디어용으로 700MB 미만 ISO가 따로 나뉘었고, 전체 크기 DVD 이미지는 파일명에 `-dvd.iso`가 들어간 걸 고르면 됨
  - USB 드라이브 같은 플래시 미디어에는 `.iso`가 아니라 `.img` 파일을 써야 함
  - `.img` 파일은 바로 쓰기 전에 gunzip이나 7-Zip으로 압축을 풀어야 한다고 안내함

> [!WARNING]
> NetBSD 11.0은 보안 관련 미해결 이슈 3개를 안고 릴리스됐음. 프로젝트는 이를 숨기지 않고 공개했으며, 수정은 곧 stable 브랜치와 11.1에 반영하겠다고 밝힘.

- 이번 공지에서 제일 흥미로운 부분은 '열린 보안 이슈가 있어도 릴리스한다'는 설명임
  - 프로젝트는 AI 도구 등장 이후 보안 이슈가 발견되거나 의심되는 수가 크게 늘었다고 말함
  - 새 이슈가 계속 보고되는 상황에서 모든 걸 고칠 때까지 릴리스를 늦추는 대신, 남은 항목을 투명하게 공개하는 쪽을 택함

- 현재 공개된 보안 관련 pullup 요청은 3개임
  - `hdaudio(4)`는 ioctl 명령 접근 체크 누락 문제임. 로컬 사용자 권한 체크가 빠진 케이스고, `/dev/hdaudio*`를 제거하는 수동 우회가 가능하다고 함. 오디오는 계속 동작한다고 설명함
  - `ipfilter`는 원격에서 유발 가능한 널 포인터 역참조 문제임. 다만 IPF는 기본 릴리스 커널에 포함되지 않는다고 함
  - `pf`는 fragment reassembly의 use-after-free 문제임. PF는 deprecated 상태이고 기본 릴리스 커널에 포함되지 않는다고 설명함

- 릴리스가 늦어진 이유도 꽤 현실적임
  - 서드파티 컴포넌트가 안정 릴리스를 내고 수정 사항을 받을 때까지 기다렸다고 함
  - 릴리스 후보 없이 변경사항을 바로 공개하는 일은 피했고, 사용자 테스트 시간을 주는 방식을 유지했다고 함
  - 프로세스는 가능한 자동화했지만, 모든 플랫폼 빌드와 체크섬 생성, 보안 담당자의 릴리스 해시 서명, 아키텍처별 파일 전송 같은 느린 단계가 아직 병목임

- 미해결 pullup 요청은 11.0 직후 stable 브랜치에 커밋될 예정이고, NetBSD 11.1은 앞으로 두 달 안을 목표로 함
  - 운영체제 릴리스에서 '완벽히 깨끗한 릴리스'와 '현실적인 공개' 사이의 선택을 보여주는 사례임
  - 기본 커널에 포함되지 않는 이슈가 많다고 해도, NetBSD를 직접 운영하는 사용자는 사용 중인 커널 설정과 장치 파일 노출 여부를 확인하는 게 좋음

## 핵심 포인트

- NetBSD 11.0이 2026년 8월 1일 공개됨
- CD-ROM용 700MB 미만 ISO와 DVD ISO가 분리됐고, USB 같은 플래시 미디어는 .img 파일을 써야 함
- hdaudio, ipfilter, pf 관련 보안 이슈 3개가 아직 안정 브랜치에 반영되지 않은 상태
- 미해결 보안 수정은 11.0 직후 stable 브랜치에 들어가고 11.1은 향후 두 달 안을 목표로 함

## 인사이트

눈에 띄는 건 기능 목록보다 릴리스 운영 방식임. AI 도구 확산 이후 보안 이슈 보고가 늘어났고, NetBSD는 '다 고칠 때까지 무기한 지연' 대신 미해결 항목을 공개하고 릴리스하는 쪽을 택했음.