clearhandreview/vulnerpocalypse-containment오픈소스 취약점 분석, CVE 추적, 패치 검증 및 임시 보안 격리 도구
유지 관리되는 카탈로그이며, 범용 제로데이 패처가 아닙니다. 이 프로젝트는 Anthropic/Claude 연구와 별도로 수집된 2026년 10월 벤더 권고문에 연결된 공개적으로 공개된 보안 수정 사항을 추적합니다. 여기에는 CVE-2026-98432에 대한 출처가 명시된 독자적인 Linux 업스트림 패치, 독점 또는 서명된 제품에 대한 벤더 업데이트 참조, 크로스 플랫폼 읽기 전용 버전 하한 검사기, 그리고 명시적 롤백이 포함된 선택적 Linux 전용 임시 런타임 제어가 포함되어 있습니다.
임의의 커널 또는 바이너리 수정 없음, 자동 패치 다운로드 없음, 익스플로잇 테스트 없음, 그리고 모든 OS 또는 모든 Anthropic 발견 사항이 커버된다는 주장 없음. 선택적이고 명시적으로 승인된 Linux 런타임 MPTCP 격리가 이 툴킷이 도입하는 유일한 실행 가능한 변경 사항입니다. 검증된 벤더 수정 사항이나 지원되는 릴리스가 존재하지 않는 경우, 올바른 결과는 알 수 없음 / 수동 검토이며, 결코 "패치됨"이 아닙니다.
가장 간단한 지침은 쉬운 설치를 여세요. 기기를 선택하고 번호가 매겨진 단계를 따르세요. 휴대폰에 Python을 설치할 필요는 없습니다. 컴퓨터에서는 이 저장소의 선택적 오프라인 검사 도구를 실행하는 데에만 Python 3.11–3.15가 필요합니다.
| 기기 | 가장 빠른 안전 조치 | 선택적 격리 |
|---|---|---|
| Windows | 설정 → Windows 업데이트 → 업데이트 확인 → 다시 시작 | 관리자를 위한 HTTP.sys HTTP/3 노출 검토; 바이너리 패치 아님 |
| Mac | 시스템 설정 → 일반 → 소프트웨어 업데이트 | Safari JavaScript 제한; 완전한 WebKit 수정 아님 |
| iPhone / iPad | 설정 → 일반 → 소프트웨어 업데이트 | Apple 업데이트 전까지 신뢰할 수 없는 브라우징 회피 |
| Android / Pixel | 설정 → 시스템 → 시스템 업데이트; Google Play 시스템 업데이트도 확인 | 신뢰할 수 없는 USB 호스트 회피; 기기 잠금 화면 수정 아님 |
| Linux | 배포판의 서명된 보안 업데이트를 사용한 후 재부팅 | 선택적 감독 하의 되돌릴 수 있는 MPTCP 기능 전환 (Linux 전용) |
| Chrome | Chrome → 도움말 → Chrome 정보 → 다시 실행 | V8 최적화 제한 또는 구버전 Chrome 사용 중단 |
| 기타 / 미지원 | 원래 기기 벤더가 게시한 보안 업데이트 사용 | 범용 크로스 OS 바이너리 패치는 존재하지 않음 |
노트북/데스크톱에서 안내 (root/관리자 권한 불필요):
python scripts/quickstart.py guide --os linux
python scripts/quickstart.py guide --os windows
python scripts/quickstart.py guide --os macos
python scripts/quickstart.py guide --os android
각 가이드는 다음을 제공합니다: 무엇이든 변경하기 전 → 간단한 단계 → 임시 통제를 검증하는 방법 → 벤더 수정으로 이를 대체하는 방법. 프로파일이 정당화될 수 없는 경우, 명령은 검증된 프로파일 없음을 반환합니다.
하나의 실행 가능한 임시 통제: Linux MPTCP 런타임 비활성화. 이는 별도의 명시적인 관리자 명령 이후에만 현재 네임스페이스를 수정하고, 제한된 롤백 상태를 생성하며, 커널을 패치하지 않고 재부팅 후에도 유지되지 않습니다. 긴급 격리를 참조하십시오. 다른 모든 임시 조치는 수동 안내이며, 서명되지 않은 바이너리가 아닙니다.
설치 명령의 성공을 증거로 간주하지 마십시오. 다음을 별도로 기록하십시오:
docs/VALIDATION.md에는 정확한 명령과 증거 워크시트가 있습니다. 일부 제품(Android의 매핑되지 않은 체인 및 벤더가 백포트한 커널 포함)의 경우, 벤더 증명 없이는 결과가 알 수 없음 / 수동 검토로 남아 있어야 합니다.
지원되는 벤더 핸드오프, 게시된 비교 가능한 버전 하한이 있는 제품의 경우 (예시는 기존 MSRC 권고를 사용):
python scripts/vendor_handoff.py CVE-2026-33096 --os windows --version 10.0.22631.6936 --vendor-advisory-reviewed --active-version-confirmed --smoke-test-passed
이 플래그는 운영자 확인(attestation) 이며 자동 탐지가 아닙니다. 가장 강력한
결과는 READY_FOR_CHANGE_REVIEW이며, 자동 롤백이나 익스플로잇 저항성 주장은
결코 아닙니다. 검증된 릴리스 하한이 없는 OS 버전은 수동 벤더 확인을 위해
보류됩니다.
공개되지 않은 결함에 대해 코드 패치를 만들어내지 않습니다. Anthropic의 공개 대시보드에 있는 대부분의 항목은 정당한 수정을 작성하거나 검증하기에 충분한 기술 데이터를 노출하지 않습니다. 커널/디바이스 "범용 핫픽스"는 CVE 이름이나 해시된 공개 정보로부터 안전하게 합성할 수 없습니다. 가능한 경우 출처에 기반한 가역적 격리를 사용하고, 그렇지 않으면 영향을 받는 서비스를 격리하거나 사용을 중단하십시오.
data/containments.json 카탈로그에는 열 가지의 조건부, 제한적 노출 감소 가이드가
포함되어 있습니다. 이는 CVE 해결을 입증하지 않습니다. 새로운 자동 패치는 소스 코드,
재현 가능한 취약점, 지원 버전, 회귀 테스트, 롤백 및 검토가 확립된 후에만
수용됩니다. 기여 규칙을 참조하십시오.
선택적 읽기 전용 플랫폼 인벤토리는 배포판 계열(Debian/Ubuntu, Fedora/RHEL, SUSE, Arch, Alpine, Void, Gentoo, NixOS 및 Fedora Atomic 포함), 아키텍처, 제한된 펌웨어 컨텍스트, 그리고 일반적인 프로그래밍 언어 툴체인의 존재 여부를 식별합니다. 툴체인이나 패키지 관리자를 실행하거나, 패치를 설치하거나, 펌웨어를 인증하지는 않습니다.
python3 scripts/platform_inventory.py --json
python3 scripts/catalog.py inventory
배포판이 알려지지 않았거나 ID_LIKE를 통해 상위 배포판만 보고하는 경우,
이 도구는 상위 배포판의 업데이트 명령을 권장하지 않습니다.
Android, WSL, 컨테이너, Linux 서버, 임베디드 하드웨어 및 클라우드 호스팅
서비스는 각기 다른 벤더 업데이트 권한을 가집니다. 정확한 기능, 지원되지 않는
대상 및 안전한 벤더 핸드오프에 대해서는
Linux, 언어 및 하드웨어 지원 가이드를
참조하십시오.
큐레이션된 data/advisories.json에는 16개의 권고 레코드에 걸쳐
27개의 개별 식별된 CVE가 포함되어 있습니다. 각 레코드의 출처는
카탈로그 내에 링크되어 있습니다. 원래의 Chrome 그룹에는 Anthropic/Claude에
귀속된 CVE가 포함되어 있으며, 10월 30일 MediaStream CVE는 별도의 벤더
공개 사항입니다. 이는 완전한 CVE 또는 공개 원장이 아닙니다.
| 구성 요소 | 포함된 식별자 | 수정 사항 획득 방법 | 검증 방법 |
|---|---|---|---|
| Linux IPv4 TCP | CVE-2026-98432 | 배포판이 유지 관리하는 커널 업데이트, 또는 유지 관리자를 위한 귀속된 업스트림 소스 패치 | 벤더 권고와 설치된 실행 중인 커널 패키지 비교; 선택적 소스 검사기 |
| Windows HTTP.sys | CVE-2026-33096 | Microsoft Update / WSUS / 엔터프라이즈 배포 | 설치된 Windows 빌드 및 올바른 클라이언트/서버 에디션; MSRC 적용 가능성 |
| Safari / Apple WebKit | CVE-2026-43715 | Apple Software Update / 지원되는 기기 업데이트 | 실제 Safari/OS 릴리스 및 일치하는 Apple 보안 공지 |
| Google Chrome Stable | data/advisories.json에 명시된 17개의 CVE | Google의 서명된 브라우저 안정 버전 업데이트 | 실행 중인 공식 Chrome Stable 버전이 최소한 인용된 릴리스 하한인지 확인 |
10월 30일 업데이트: 8개의 추가 제품별 CVE와 5개의 새로운 운영자 검토 프로필이 Nomad, Chrome MediaStream, Delinea Windows Core Agent, ServiceNow AI Platform 및 Veeam Management Pack을 다룹니다. **10월 30일 핫픽스 및 격리 핸드오프**를 참조하십시오. 이 항목들은 보안 패치를 자동으로 설치하지 않습니다.
추가 미해결 사항: Anthropic의 Android/Pixel 잠금 화면 체인
보고서는 검증 가능한 CVE-수정 빌드 매핑을 공개하지 않습니다. 해당 사례는
unresolved에 기록되어 있으며, 거짓으로 수정됨으로 표시되지 않습니다. 해시만
있는 공개 원장 항목은 독립적으로 검증된 패치로 전환될 수 없습니다.
출처: Anthropic의 10월 27일 보고서, Anthropic의 공개 대시보드, Google Chrome 릴리스, Apple 보안 콘텐츠, Microsoft MSRC, Linux 커널 권고.
가정: Windows/macOS/Linux에서 Python 3.11–3.15, 표준 라이브러리만 사용. 읽기 전용 카탈로그 및 빠른 시작 도구는 관리자/루트 권한이 필요하지 않으며 네트워크에 접속하지 않습니다. 예외: 선택적 Linux MPTCP 런타임 격리는 명시적인 권한 상승 명령이 필요하며 서비스에 영향을 줄 수 있습니다. iOS/iPadOS/Android 기기는 벤더 고유의 업데이트 UI를 사용하며, Python CLI는 해당 기기에서 설치 프로그램으로 실행되지 않습니다.
이 저장소의 루트에서:
python scripts/catalog.py validate
python scripts/catalog.py list
python scripts/catalog.py unresolved
python scripts/catalog.py inventory
업데이트 후에 실제 설치된 제품 버전을 찾은 다음 비교하세요:
# Exact Google Chrome Stable release, not Chromium, Edge or an OS version:
python scripts/catalog.py check CVE-2026-118306 --platform linux --version 156.0.8078.79
# Windows: full 10.0.<build>.<UBR> installed OS version
python scripts/catalog.py check CVE-2026-33096 --platform windows --version 10.0.22631.6936
# Critical: Windows 11 and Windows Server 2025 both use build 26100.
python scripts/catalog.py check CVE-2026-33096 --platform windows --version 10.0.26100.32690 --variant server
# No automatic status asserted for vendor-specific Linux or Apple builds:
python scripts/catalog.py check CVE-2026-98432 --platform linux --version 7.3.0.0
check 결과는 의도적으로 제한되어 있습니다:
| 결과 | 의미 | 종료 코드 |
|---|---|---|
meets_published_release_floor | 사용자가 제공한 제품/버전이 나열된 CVE에 대해 검증된 릴리스 하한 이상임(올바른 제품 및 공급업체를 가정) | 0 |
below_published_release_floor | 일치하는 나열된 제품에 대해 해당 버전 하한 미만임 | 1 |
manual_vendor_confirmation_required | 증거 불충분, 다른 OS/제품 브랜치, 알 수 없는 수정, 또는 인식되지 않는 버전 | 2 |