한국인터넷진흥원(KISA)이 2021년 5월 3일 BIND DNS 취약점 보안 업데이트 권고를 냈습니다. ISC(Internet Systems Consortium)가 BIND에서 서비스 거부(DoS)를 일으키는 취약점(CVE-2021-25216)을 고친 보안 업데이트를 발표한 데 따른 것입니다. 이 취약점은 GSS-TSIG 기능을 켠 경우에만 영향이 있습니다. 해당 버전을 쓰고 있다면 BIND 9.11.31, 9.16.15 같은 수정 버전으로 업그레이드하라는 것이 권고 내용입니다.
무엇이 발표되었나
KISA 공지에 따르면 이 취약점은 BIND DNS 서버에서 버퍼 오버플로(buffer overflow) 때문에 서비스 거부가 일어나는 문제이며, CVE-2021-25216으로 등록되었습니다. 영향을 받는 것은 GSS-TSIG(Generic Security Service Transaction Signature) 기능이 활성화된 경우뿐입니다. 공지는 영향받는 버전 사용자에게 서비스 거부 피해가 생길 수 있으니 해결 방안을 참고해 조치하라고 권고합니다.
영향 범위
공지에 적힌 영향받는 BIND 버전은 다음과 같습니다.
- 9.5.0 ~ 9.11.29
- 9.12.0 ~ 9.16.13
- 9.11.3-S1 ~ 9.11.29-S1 (BIND Supported Preview Edition)
- 9.16.8-S1 ~ 9.16.13-S1 (BIND Supported Preview Edition)
- 9.17.0 ~ 9.17.1 (BIND 9.17 개발 브랜치)
위 버전 범위에 들더라도 GSS-TSIG 기능을 쓰지 않는 서버는 공지 기준으로 영향 대상이 아닙니다.
운영자가 할 일
- 버전 확인: 운영 중인 BIND 서버의 버전이 위 범위에 드는지 확인합니다.
- GSS-TSIG 사용 여부 확인: 서버 설정에서 GSS-TSIG 기능을 켰는지 확인합니다. 켜지 않았다면 이 취약점의 영향은 받지 않습니다.
- 업그레이드: 영향 대상이라면 공지가 제시한 수정 버전으로 올립니다.
- BIND 9.11.31
- BIND 9.16.15
- BIND 9.11.31-S1
- BIND 9.16.15-S1
- 개발 브랜치 사용자: KISA 공지에는 9.17 개발 브랜치용 수정 버전이 나와 있지 않습니다. 이 브랜치를 쓴다면 ISC의 CVE-2021-25216 권고문(https://kb.isc.org/docs/cve-2021-25216)에서 해당 내용을 확인하시기 바랍니다.
업그레이드 전에는 시험 환경에서 설정 호환성과 서비스 동작을 먼저 확인하는 것이 좋습니다. 공지 관련 문의는 KISA 사이버민원센터(국번 없이 118)로 하면 됩니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.