ISC가 2022년 5월 18일 BIND 취약점 CVE-2022-1183을 공개했습니다. 엔드포인트가 정의된 http TLS 리스너로 들어온 TLS 연결이 너무 일찍 종료되면 named가 어서션 실패(assertion failure)로 종료될 수 있습니다. 대상 버전은 BIND 9.18.0~9.18.2와 개발 브랜치 9.19.0입니다. 원격으로 악용할 수 있고 심각도는 High입니다. 우회 방법은 없으며, 해결하려면 패치된 버전으로 업그레이드해야 합니다.
무엇이 발표되었나
- CVE: CVE-2022-1183
- 제목: Destroying a TLS session early causes assertion failure
- 심각도: High (CVSS 점수 7.0)
- CVSS 벡터: CVSS v3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H/E:F/RL:O/RC:C
- 악용 가능성: 원격
- 공개 일정: 2022년 5월 11일 사전 통지(Early Notification), 2022년 5월 18일 공개
엔드포인트가 정의된 http TLS 리스너로 들어온 TLS 연결이 너무 일찍 파기되면 어서션 실패가 일어날 수 있습니다. 어서션 실패가 나면 named 프로세스가 멈추므로 DNS 서비스가 중단됩니다. 기밀성과 무결성에는 영향이 없고 가용성에만 영향이 있습니다(C:N/I:N/A:H).
이 문제는 arcade solutions ag의 Thomas Amgarten이 발견해 신고했습니다. 공개 시점 기준으로 ISC는 실제 악용 사례를 확인하지 못했다고 밝혔습니다.
영향 범위
대상 버전
- BIND 9.18.0 ~ 9.18.2
- BIND 9.19.0 (9.19 개발 브랜치)
취약한 설정
named.conf의 listen-on 구문에 http 참조가 있는 설정만 취약합니다. 이는 DNS over HTTPS(DoH)를 제공하는 경우입니다. DNS over TLS(DoT)도 TLS를 쓰지만, DoT만 사용하는 설정에는 영향이 없습니다.
위 버전을 쓰더라도 listen-on에 http를 설정하지 않았다면 이 취약점에는 해당하지 않습니다.
운영자가 할 일
- 버전 확인:
named -v명령으로 실행 중인 BIND 버전이 영향 범위에 들어가는지 확인합니다. - 설정 확인: named.conf의
listen-on(및listen-on-v6) 구문에http참조가 있는지 확인합니다. - 업그레이드: 해당하면 지금 쓰는 버전과 가장 가까운 패치 버전으로 업그레이드합니다.
- BIND 9.18.3 (Current Stable)
- BIND 9.19.1 (Development)
ISC가 밝힌 우회 방법은 없습니다. 운영체제 배포판 패키지로 BIND를 쓴다면 해당 배포판의 보안 공지와 패치 제공 여부도 함께 확인하세요.
공식적인 전체 공지는 ISC 지식베이스의 CVE-2022-1183 문서입니다. 다른 취약점과 영향 버전은 ISC의 BIND 9 Security Vulnerability Matrix에서 확인할 수 있습니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.