웨이미 / 블로커 · 변경 · 증명 · 출구
지원되는 애플리케이션이 상위 버전의 수정 릴리스를 즉시 적용할 수 없는 경우, 추적 가능한 패치 증거를 구매하십시오.
버전 레이블 → 검토 질문
추적 가능한 잔돈 + 구별 테스트 → 증거
리뷰 01
가상의 자동판매기 소프트웨어 제공업체는 구매자가 이미 사용 중인 릴리스에 보안 수정 사항이 포함되었다고 주장합니다. 하지만 스캐너는 해당 종속성을 여전히 이전 버전으로 인식합니다. 또는 버전 레이블이 변경된 후 경고가 사라집니다. 이러한 현상만으로는 관련 수정 사항이 실제로 적용되었는지 여부를 판단할 수 없습니다.
OWASP의 취약한 종속성 관리 치트 시트는 채택할 수 없는 수정된 릴리스가 있는 경우와 상위 버전에서 수정 사항이 없는 경우를 구분합니다. 백포팅이란 알려진 보안 변경 사항을 애플리케이션이 실행 가능한 버전으로 옮기는 것을 의미합니다. 이는 단순히 더 높은 버전 번호를 선호하는 것과는 달리, 증거, 호환성 및 지속적인 소유권에 대한 조달 문제를 야기합니다.
이 가이드는 제공된 백포트에 대한 공급업체 검토를 제안합니다. WEIMI 장비의 취약점을 식별하거나 소스 코드를 검사하거나 세 가지 하드웨어 후보가 특정 종속성을 사용한다고 주장하는 것은 아닙니다. 해당 하드웨어의 공개 목록은 소매 형식을 나타내며, 제안된 소프트웨어 관련 증거는 별도로 제공되어야 합니다.
리뷰 02
업그레이드 차단 요인, 추적 가능한 보안 변경 사항, 그리고 패치가 적용되지 않은 빌드와 패치가 적용된 빌드를 구분할 수 있는 테스트 결과를 요청하십시오.제공업체는 관련 종속성 및 애플리케이션 테스트가 여전히 통과함을 입증해야 합니다. 두 버전 모두에서 테스트를 통과했다고 해서 패치가 명시된 문제를 해결했다는 것을 의미하지는 않습니다.
스캐너 경고와 패치 증거는 별개의 기록으로 취급해야 합니다. OWASP는 버전 기반 탐지가 올바르게 백포팅된 종속성을 계속해서 플래그할 수 있음을 명시합니다. 반대로 스캐너 경고를 비활성화하거나 버전 문자열을 변경하는 것은 취약점을 해결하는 것이 아닙니다. 범위가 지정된 보고 예외에는 관련 증거와 책임자의 승인이 필요합니다.
백포트 유지 관리를 누가 담당할지, 그리고 팀이 원래 업그레이드 차단 문제를 언제 다시 검토할지 합의해야 합니다. 비공개 패치는 업스트림 릴리스 및 새로운 문제 발생 시 지속적인 작업을 초래합니다. 견적서에는 수정된 업스트림 릴리스를 채택할 수 있게 되면 해당 작업이 어떻게 종료되는지 명시해야 합니다.
리뷰 03
| 증거물 | 질문에 대한 답변 | 불충분한 대체물 |
|---|---|---|
| 업그레이드 시도 기록됨 | 수정된 상위 버전 릴리스를 지금 사용할 수 없는 이유는 무엇입니까? | 업그레이드가 어렵다는 일반적인 진술 |
| 보안 변경 출처 | 어떤 알려진 수정 사항이 이전 버전에 포함되었습니까? | 변경 참조가 없는 새 파일 이름 |
| 패치 전/패치 후 재현 결과 | 해당 테스트는 수정된 행동을 구별할 수 있습니까? | 패치된 빌드에서만 테스트 실행이 통과됩니다. |
| 종속성 및 응용 프로그램 테스트 | 어떤 합법적인 행위가 점검되었습니까? | 기능적 증거가 없는 스캐너 보고서 |
| 유물의 정체성과 전달 | 어떤 빌드 버전이 설치되거나 사용될 예정인가요? | 추적 불가능한 이메일에 첨부된 로컬 파일 |
| 소유권 검토 및 매각 | 향후 보수 작업을 누가 담당하고 차단 장치를 재점검합니까? | 해결책이 영구적이라는 무기한 약속 |
이 항목들은 승인 증거 지도를 구성하는 것이지, 모든 공급업체가 독점 출처를 공개적으로 밝혀야 한다는 주장을 의미하는 것은 아닙니다. 적절한 증거 채널과 기밀 유지 범위를 합의하십시오. 특정 항목을 사용할 수 없는 경우, 마케팅 문구로 대체하는 대신 해당 제한을 유지하십시오.
리뷰 04
소프트웨어 공급업체가 실제로 백포팅된 수정 사항이나 유지 관리되는 패치 버전 라인을 제안하는 경우에만 이 범위를 사용하십시오. 캐비닛 구매가 구매자에게 종속성 유지 관리를 자동으로 요구하는 것은 아닙니다. 애플리케이션을 제공하는 당사자, 패치된 아티팩트를 제공하는 당사자, 그리고 어떤 지원 조건이 적용되는지 명확히 하십시오.
이 검토는 상위 버전 수정에 호환되지 않는 런타임이 필요하거나, 애플리케이션 변경으로 인해 호환성이 깨지거나, 현재 다른 패키지를 고정하는 직접적인 종속성에 대한 업데이트가 필요한 경우에 유용합니다. 이러한 예시는 조사 대상일 뿐이며, 나열된 시스템의 아키텍처가 검증된 것은 아닙니다. 담당 팀에 관련 테스트 환경에서 실제 문제가 무엇인지 보여달라고 요청하십시오.
소프트웨어 엔지니어링 직원이 없는 구매자는 간결한 공급업체 증빙 자료 패키지와 유능한 검토자를 요청할 수 있습니다. 책임 있는 위험 소유자는 미해결된 제한 사항이 허용 가능한지 여부를 결정합니다. 이 문서는 운영자에게 검토되지 않은 패키지를 배포하도록 지시하거나 특정 관할권에 대한 법적 결론을 제시하는 것이 아닙니다.
리뷰 05
하드웨어 후보 선정은 2026년 10월 10일에 검토된 공개 WEIMI 자료를 기반으로 합니다. OWASP 종속성 관리 지침은 2026년 10월 11일에 검토되었습니다. 본 평가는 공개 목록을 작성하고 구매를 제안하는 방식으로 진행됩니다. 검토 대상 캐비닛에 대한 독립적인 소프트웨어 보안 또는 호환성 테스트는 수행되지 않았습니다.
업그레이드 시도부터 시작하세요. OWASP의 백포트 사례에서는 수정된 릴리스가 실제로 차단되는지 확인하기 위해 테스트 환경에서 실행해 볼 것을 권장합니다. 공급업체에게 호환되지 않는 정확한 호출, 런타임 요구 사항 또는 종속성 제약 조건을 기록해 달라고 요청하세요. 이렇게 하면 나중에 최종 검토 시 모호한 약속이 아닌 구체적인 질문을 할 수 있습니다.
다음으로 상위 코드 수정 사항과 기존 코드 라인에 포함된 보안 관련 부분을 확인하십시오. 수정 커밋에는 리팩토링이나 관련 없는 변경 사항도 포함될 수 있습니다. 어떤 부분이 유지되었고 어떤 부분이 제외되었는지, 그리고 기존 내부 구현에 동등한 구현이 필요했는지 여부를 설명해야 합니다. 커밋 참조는 출처를 나타내는 것일 뿐, 올바른 적용에 대한 충분한 증거는 아닙니다.
마지막으로 회귀 분석 결과와 일반적인 동작을 비교하여 검토하십시오. OWASP는 취약점 재현 도구가 패치가 적용되지 않은 종속성에서는 실패하고 패치가 적용된 종속성에서는 통과해야 하며, 종속성 및 애플리케이션 테스트는 여전히 통과해야 한다고 요구합니다. 테스트 범위, 빌드 식별자 및 결과를 요청하십시오. 본 구매 가이드의 일부로 실제 운영 환경에서 익스플로잇을 실행하지 마십시오.
리뷰 06
정확한 유물 식별 정보:패치된 빌드는 업스트림 출처 및 보안 변경 사항에 대한 추적성을 유지해야 합니다. 제공된 ID가 테스트된 ID와 어떻게 관련되는지 확인하십시오. 제품군 이름이나 애플리케이션 마케팅 버전으로는 검토된 종속성 아티팩트를 식별할 수 없을 수도 있습니다.
패치 출처:상위 수정 사항, 영향을 받는 문제 및 수정 주체를 명시한 소스 변경 사항 또는 적절한 검토 기록을 요구하십시오. 패키지 버전이 변경되지 않았다고 해서 수정 사항이 없거나, 버전 번호가 변경되었다고 해서 수정 사항이 있다고 가정하지 마십시오. 증거는 실제 아티팩트와 변경 사항을 연결해야 합니다.
의미 있는 회귀 분석:단순히 스크린샷만으로는 테스트가 수정된 동작을 제대로 수행하는지 확인할 수 없습니다. 패치가 적용되지 않은 버전과의 비교 및 주변 호환성 결과를 요청하십시오. 공급업체는 적절한 경우 보호된 증거 요약을 제공할 수 있지만, 그 범위와 한계를 명확히 해야 합니다.
신뢰할 수 있는 배포:OWASP는 빌드에서 이미 신뢰하는 내부 레지스트리 또는 프록시를 통해 패치된 아티팩트를 전달하는 방식을 설명합니다. 벤더 구매자의 경우, 공급업체에 실제로 지원되는 전달 경로와 빌드에서 합의된 아티팩트를 사용하는 방법을 설명해 달라고 요청해야 합니다. 제품 목록만으로는 레지스트리 또는 업데이트 메커니즘을 추론할 수 없습니다.
반복 소유권:패치 적용에는 향후 검토가 필요합니다. 담당자, 지원 버전, 정보 전달 채널 및 재평가 시점을 합의하십시오. 이러한 조건에는 공급업체의 실질적인 약속이 필요하며, 응답 시간이나 서비스 수명은 보장되지 않습니다.
리뷰 07
이 세 가지 실제 WEIMI 공개 목록은 하드웨어 후보 목록을 구성합니다. "최고"는 견적 협의에 포함될 수 있는 소매용 제품을 의미합니다. 어떤 후보도 보안 테스트, 패치 품질 또는 백포트 가능 여부에 따라 순위가 매겨지지 않습니다.
AI 비전 냉장고(단일 도어형) 공식 페이지에 따르면, 이 냉장고는 포장 식품에 대한 카메라 기반 결제 시스템, 5단 선반과 5개의 바구니, 그리고 상단 스크린 또는 라이트박스 옵션을 제공합니다. 냉장 설정은 확인이 필요하며, 주스 제조 기능은 없습니다.
견적서에 인식 관련 소프트웨어 또는 관리형 서비스가 포함된 경우, 제안된 패치 종속성에 대한 책임 당사자를 명시하십시오. 카메라 기반 소매 설명만으로는 취약한 라이브러리의 존재나 백포트 지원 서비스를 확인할 수 없습니다.
WM22 페이지에는 21.5인치 터치스크린, 재고 관리 및 냉각 기능이 설명되어 있으며, 나선형, 컨베이어, 직접 밀어넣기 또는 걸이식 이송 방식 등 다양한 이송 방식을 선택할 수 있습니다. 주문하신 이송 방식을 정확히 확인하십시오. 일반적인 용량이나 에너지 효율 수치는 참고하지 마십시오.
공급업체가 패치된 터치스크린이나 관리 애플리케이션을 제안하는 경우, 호환성 테스트 범위에 포함되는 기능이 무엇인지 문의하십시오. 다른 배포 방식에서 테스트를 통과했다고 해서 해당 구성이 포함된다고 가정하지 말고, 주문한 구성에 대한 증빙 자료를 검증하십시오.
이중 캐비닛 페이지에는 메인 디스플레이와 추가적인 나선형 재고 관리 영역이 표시됩니다. 주문한 구성을 확인하십시오. 공유 소프트웨어, 독립 냉각, 두 번째 화면 및 용량은 해당 공개 설명에 명시되어 있지 않습니다.
인용된 스테이션에 소프트웨어 관련 범위가 둘 이상 있는 경우, 각 범위에서 사용하는 아티팩트와 공급자를 식별하십시오. 하나의 애플리케이션에 대한 수정이 모든 캐비닛 또는 외부 서비스에 대한 수정으로 자동 설정되는 것은 아닙니다. 이는 토폴로지 문제가 아니라 범위 문제입니다.
리뷰 08
| 일반 후보자 | 백포트 증거 질문 | 별도 확인 |
|---|---|---|
| 음료 보관용 AI 비전 스마트 냉장고 (1도어) | 소프트웨어 범위를 제공한 업체와 패치를 소유한 업체는 어디입니까? | 소매점 인식 및 냉각 구성 |
| WM22 스낵 및 음료 자판기 | 애플리케이션 테스트는 주문형 인터페이스 및 분배 범위를 포괄합니까? | 인용된 메커니즘 및 소프트웨어 기능 |
| 두 개의 진열대, 더 다양한 선택: 스낵 및 음료 자판기 | 각각의 합의된 소프트웨어 범위에 해당하는 산출물은 무엇입니까? | 물리적 배치 및 책임 경계 |
소프트웨어 항목에는 증거 요청 사항이 포함되어 있습니다. 검토 대상 제품이 취약한 종속성을 사용한다거나, 패치된 패키지를 제공한다거나, 향후 유지 보수를 보장한다는 주장은 포함되어 있지 않습니다. 하드웨어 및 서비스 범위가 확정된 후 공급업체의 실제 지원 제안을 비교하십시오.
리뷰 09
이는 가상 관리 및 검토 예산이며, 상업적 가격이나 예상 보안 수익률이 아닙니다.업그레이드 차단 요인 검토에 7시간(시간당 120달러), 패치 및 테스트 증거 검토에 11시간(시간당 120달러), 아티팩트 및 소유권 기록 확인에 6시간(시간당 120달러)이 소요된다고 가정할 경우, 예상 비용은 2,880달러입니다.
| 가정된 검토 작업 | 계산 | 예시 금액 |
|---|---|---|
| 업그레이드 차단기 | 7 × 120 USD | 840달러 |
| 패치 및 회귀 증거 | 11 × 120 USD | 1,320달러 |
| 유물 및 소유권 기록 | 6 × 120 USD | 720달러 |
| 초기 총액 | 840 + 1,320 + 720 | 2,880달러 |
| 분기별 정기 검토를 가정함 | 3 × 120 USD | 리뷰당 360달러 |
분기별 검토 4회를 가정하면 1,440달러가 추가되어, 예시로 든 첫 해 검토 예상 비용은 4,320달러입니다. 이 금액에는 패치 개발 비용, 공급업체 견적 또는 예상되는 사고 발생 건수는 포함되지 않습니다. 범위, 시간 및 단가는 실제 제안서 내용으로 대체하십시오. 일부 구매 담당자는 검토할 백포트 버전이 전혀 없을 수도 있습니다.
판매당 공헌이익을 40달러로 가정할 때, 4,320달러는 기타 비용을 차감하기 전 기준으로 108건의 판매에 해당하는 공헌이익입니다. 이러한 계산은 예산 규모만을 나타낼 뿐이며, 수익 예측이나 투자 회수 보증을 의미하는 것은 아닙니다. 또한 장비, 운영, 세금 및 서비스 비용은 별도로 입력해야 합니다.
리뷰 10
상위 버전 릴리스가 호환되고 관련 테스트를 통과하는 경우, 제공자는 백포트가 여전히 필요한 이유를 설명해야 합니다. OWASP는 백포트를 사용 가능한 수정 사항에 대한 첫 번째 대응이 아니라, 도입이 차단될 때 의도적으로 선택하는 것으로 간주합니다. 구매자는 이전 버전에 대한 일반적인 선호가 아니라 실제 제약 조건을 필요로 합니다.
문서화된 런타임 또는 애플리케이션 변경 사항으로 인해 업그레이드가 차단되는 경우, 변경 내역을 자세히 기록하고 회귀 오류를 명확히 보여주는 증거를 요청하십시오. 정기적인 유지 관리 약정을 공급업체의 상위 릴리스 채택 계획과 비교하십시오. 단기적인 호환성 확보는 장기적인 검토 의무로 이어질 수 있습니다.
유지 관리되는 배포 패키지가 관련된 경우, 해당 배포판의 패치된 빌드가 관련 범위를 포괄하는지 확인하십시오. OWASP는 유지 관리되는 백포트를 위한 참조 모델로 배포 보안 팀을 설명합니다. 캐비닛의 소프트웨어가 해당 출처에서 온 것이라고 가정하지 말고, 실제 패키지, 버전 및 제공업체를 확인하십시오.
리뷰 11
조달 검토 시 샘플 백포트 증거 패키지를 활용하여 공급업체가 제공할 수 있는 내용을 확인할 수 있습니다. 해당 패키지는 샘플임을 명시하고, 향후 수정 사항이나 응답 시간을 확정하는 것은 아님을 분명히 해야 합니다. 추후 특정 문제에 대한 증거를 제공할 채널을 미리 합의해야 합니다.
변경 승인 검토를 통해 테스트된 결과물과 지원되는 배포 빌드를 연결할 수 있습니다. 패치 결과, 호환성 결과 및 설치 검증 결과를 구분하여 관리해야 합니다. 연구실에서 테스트된 패키지가 모든 사이트에서 자동으로 실행되는 패키지는 아닙니다.
정기적인 지원 검토를 통해 기록된 문제점을 재검토하고 수정된 상위 릴리스를 적용할 수 있는지 여부를 판단할 수 있습니다. 공급업체가 패치를 계속 제공하는 경우, 다음 검토 담당자를 기록해야 합니다. 이는 제안된 적용 사례이며, 고객 사례 연구나 완료된 WEIMI 소프트웨어 변경 사항이 아닙니다.
리뷰 12
아니요. 백포트를 수행하면 이전 버전의 변경 사항이 유지될 수 있습니다. 실제 변경 사항과 테스트 결과를 확인해 보세요.
아니요. 검색 결과 숨김 또는 버전 레이블 변경을 통해 근본적인 문제를 해결하지 않고도 일치하는 항목을 제거할 수 있습니다.
이 기능은 보고된 동작에 대해 패치가 적용되지 않은 빌드와 패치가 적용된 빌드를 구분하며, 일반적인 종속성 및 애플리케이션 테스트는 여전히 통과합니다.
반드시 그런 것은 아닙니다. OWASP는 반복적인 패치 작업을 설명하고 업그레이드 차단 요소를 재검토하여 궁극적으로 백포트를 제거할 수 있도록 권장합니다.
아니요. 최종 후보 목록은 공개된 하드웨어 설명을 기반으로 작성되었습니다. 실제 소프트웨어 및 지원 범위에 대해 문의하십시오.
본 가이드는 배포를 승인하는 것이 아닙니다. 담당 기술 담당자 및 위험 관리 담당자와 함께 공급업체에서 지원하는 배송 및 승인 프로세스를 따르십시오.
리뷰 13
확정된 소매 구성에 맞는 캐비닛을 선택한 후, 제안된 소프트웨어 백포트를 별도의 증거 결정 사항으로 검토하십시오. 연결을 위해 업그레이드 차단 요인, 알려진 수정 사항, 테스트된 아티팩트 및 호환성 범위를 요구하십시오. 해결되지 않은 제한 사항은 견적 및 승인 기록에 보관하십시오.
가장 타당한 제안은 백포트가 지금 필요한 이유와 향후 팀이 백포트를 어떻게 처리할 것인지를 모두 설명합니다. 또한 스캐너 보고를 보고로 처리하고, 기본 패치 증거를 추적 가능하게 유지하며, 반복적인 작업을 지정된 담당자에게 할당합니다.
리뷰 14
장비 사양, 제공되는 소프트웨어 범위 및 공급업체가 제안한 패치 버전 목록을 공유하십시오. 장비 견적과 함께 범위가 명시된 백포트 증빙 자료 패키지와 유지보수 조건을 요청하십시오.
연구: OWASP 취약한 종속성 관리 치트 시트특히 사례 5 및 수정/유지 관리 백포트는 2026년 10월 11일에 검토되었습니다. 공개된 WEIMI 제품 증거는 2026년 10월 10일에 검토되었습니다. 실제 취약점, 제공된 패치 또는 독립적으로 테스트된 소프트웨어 결과는 주장되지 않습니다.
