안녕하세요, 오픈소스SW 라이선스 관리자입니다. 문의주신 내용 답변드립니다. 1. 라이선스상 오픈소스 개발자의 책임 Apache-2.0은 오픈소스를 만들어 배포한 저작권자와 기여자를 보호하기 위해 아래 두 조항을 두고 있습니다. - 제7조 보증의 부인(Disclaimer of Warranty) - 소프트웨어는 "있는 그대로(AS IS)" 제공되며, 어떠한 명시적·묵시적 보증도 하지 않습니다. - 사용에 따른 위험은 사용자가 부담합니다. - 제8조 책임의 제한(Limitation of Liability) - 저작권자와 기여자는 소프트웨어의 사용이나 사용 불능으로 생긴 손해에 대해 책임지지 않습니다. - 여기에는 직접·간접·특별·우발적·결과적 손해가 모두 포함됩니다. - 다만 관련 법률이 요구하는 경우(예: 고의 또는 중대한 과실)는 예외로 둡니다. 따라서 라이선스상으로는 CVE 보안취약점 때문에 피해가 생기더라도 오픈소스 개발자에게 손해배상 책임을 묻기 어렵습니다. 고의로 악성코드를 넣은 경우처럼 법률상 예외에 해당하는 경우는 다르게 판단될 수 있습니다. 2. 서비스 운영자의 책임 Apache-2.0 제9조는 오픈소스를 이용해 서비스나 제품을 제공하는 자가 자기 책임으로 별도의 보증이나 책임을 질 수 있도록 하고 있습니다. 오픈소스를 선택해 상용 서비스에 쓰고 고객에게 제공하는 주체는 서비스 운영자입니다. 그래서 고객(이용자)에 대한 책임은 보통 서비스 운영자에게 있습니다. 이 책임은 다음에 따라 판단됩니다. - 고객과 맺은 계약(이용약관, SLA 등) - 관련 법령(개인정보보호법, 정보통신망법 등) - 취약점을 알게 된 뒤 조치했는지 여부 특히 이미 공개된 CVE를 알고도 보안 패치나 버전 업데이트 같은 조치를 하지 않았다면 운영자의 관리 책임이 더 크게 인정될 수 있습니다. 3. 권장 조치사항 - 해당 CVE가 수정된 버전이 나왔는지 확인하고, 업데이트하거나 임시 조치(workaround)를 적용하시기 바랍니다. - 서비스에 사용 중인 오픈소스 목록(SBOM)을 으로 점검하시기 바랍니다. - 필요하시면 공개SW 포털의 오픈소스SW 라이선스/보안취약점 검증 서비스를 이용하실 수 있습니다. 실제 법적 책임의 범위는 계약 내용, 피해 규모, 조치 여부 등 구체적인 사실관계에 따라 법원이 판단합니다. 분쟁이 예상되는 경우에는 법률 전문가와 상담하시기를 권장드립니다. 감사합니다. ※ 법적 분쟁 발생시 본 답변은 법률적 해석이나 논리로 활용될 수 없습니다.