curl 프로젝트에서 발생한 CVE 발급 관련 분쟁에 대한 소식이에요. 특정 조건에서 발생하는 인증서 호스트명 검사 버그가 발견되었는데, curl 측은 이 문제가 현실적으로 악용될 가능성이 매우 낮아 'LOW 미만'으로 판단하고 CVE를 발급하지 않기로 했어요. libcurl이 전 세계적으로 약 300억 개 인스턴스에 설치되어 사용되는 만큼, 이론적인 문제에 CVE를 발급하면 생태계 전체의 보안팀이 대응해야 하는 등 막대한 비용이 발생할 수 있기 때문이죠. 제보자의 이의 제기 이후 MITRE에서도 여러 차례 검토를 거쳤으나, 결국 curl의 판단을 받아들여 CVE ID를 할당하지 않기로 최종 결정하며 분쟁이 마무리되었습니다.