저는 Discourse를 자체 호스팅하고 있습니다. 하지만 불안정한 릴리스(베타 버전, 또는 그보다 더 불안정한 tests-passing 버전)를 배포하는 것을 좋아하지 않습니다. 그러나 Discourse는 보안 수정 사항을 이러한 불안정한 릴리스에만 포함시키는 것 같습니다. 따라서 안정적 릴리스만 배포하기를 선호하는 서버 관리자들은 잠재적으로 중요한 보안 업데이트를 놓치게 됩니다.
최근의 사례로는 2.7.0 beta5가 있으며, 여기에는 보안 수정 사항 하나가 포함되어 있습니다. 최신 안정 버전은 29일 전 (v2.6.3)에 출시되었지만, 보안 수정 사항이 포함된 릴리스는 v2.7.0.beta5 (23일 전 게시)에서만 제공되었습니다. 이로 인해 대시보드에서 다음과 같은 경고가 표시됩니다:
안정판(Stable) 빌드에도 필요에 따라 보안 패치가 적용됩니다. 그러나 베타 릴리스 노트에 언급된 모든 보안 수정 사항이 반드시 백포트되어야 하는 것은 아닙니다. 일부는 사소하거나 경미한 문제로, 백포트에 드는 노력이나 리스크에 비해 가치가 없을 수 있습니다. 다른 일부는 중등도/치명적일 수 있지만, 이전 베타 버전에서의 변경으로 인해 안정판에는 해당 보안 취약점이 존재하지 않는 경우도 있습니다.
현재 2.7.0.beta5의 예시에서 볼 수 있듯이, 해당 취약점은 특정 상황에서만 악용될 수 있었으며, 기본 보안 사이트 설정에서 벗어난 사이트에서만 문제가 발생했습니다. 따라서 안정 브랜치에서 의도치 않은 버그나 변경 사항을 도입하는 리스크를 피하고자 하는 원칙에 따라, 백포트하지 않기로 결정되었습니다.
안정 버전(stable branch)을 지정하셨기 때문에 업그레이드를 권장하지 않는 것 같습니다.
안정 버전이나 베타 버전보다 테스트 통과 버전(tests-passed)을 사용하는 사이트가 훨씬 많습니다(cdck 호스팅 포함). 그래서 테스트 통과 버전은 어떤 면에서는 안정 버전보다 더 안전합니다. 그렇기 때문에 안정 버전을 운영하는 것이 더 많은 노력이 필요하다고 생각합니다. 다만, 안정 버전을 사용하는 사용자들은 여기서 중요 수정 사항을 이전 버전으로 되돌려 적용(backporting)하는 능력이 뛰어나다고 좋은 평가를 많이 하고 있습니다.
