ISC는 2023년 1월 25일 BIND 9 보안 취약점 4건을 공개했습니다. 4건 모두 원격으로 악용할 수 있고, 심각도는 높음(High), CVSS 점수는 7.5입니다. 두 건(CVE-2022-3924, CVE-2022-3736)은 만료된 캐시 응답(serve-stale) 기능의 stale-answer-client-timeout 옵션을 쓰는 리졸버에서 named가 비정상 종료되는 문제입니다. 한 건(CVE-2022-3094)은 동적 업데이트(Dynamic DNS Update) 폭주로 메모리가 소진되는 문제입니다. 나머지 한 건(CVE-2022-3488)은 BIND Supported Preview Edition에만 해당합니다. 수정 버전은 9.16.37, 9.18.11, 9.19.9, 9.16.37-S1입니다. ISC는 공개 시점에 실제 악용 사례를 알지 못한다고 밝혔습니다.
한눈에 보기
| 번호(CVE 등) | 내용 | 심각도 | 영향 버전 | 수정 버전 |
|---|---|---|---|---|
| CVE-2022-3924 | stale 캐시 응답 설정 시 recursive-clients 소프트 할당량에서 named 비정상 종료 | High (CVSS 7.5) | 9.16.12 -> 9.16.36 / 9.18.0 -> 9.18.10 / 9.19.0 -> 9.19.8 / 9.16.12-S1 -> 9.16.36-S1 | 9.16.37 / 9.18.11 / 9.19.9 / 9.16.37-S1 |
| CVE-2022-3094 | UPDATE 메시지 폭주로 named가 가용 메모리를 모두 소진 | High (CVSS 7.5) | 9.16.0 -> 9.16.36 / 9.18.0 -> 9.18.10 / 9.19.0 -> 9.19.8 / 9.16.8-S1 -> 9.16.36-S1 | 9.16.37 / 9.18.11 / 9.19.9 / 9.16.37-S1 |
| CVE-2022-3488 | Supported Preview Edition에서 중복 응답의 ECS 옵션 처리 시 named 비정상 종료 | High (CVSS 7.5) | 9.11.4-S1 -> 9.11.37-S1 / 9.16.8-S1 -> 9.16.36-S1 | 9.16.37-S1 |
| CVE-2022-3736 | stale 캐시 응답 설정 시 RRSIG 질의 처리 중 named 비정상 종료 | High (CVSS 7.5) | 9.16.12 -> 9.16.36 / 9.18.0 -> 9.18.10 / 9.19.0 -> 9.19.8 / 9.16.12-S1 -> 9.16.36-S1 | 9.16.37 / 9.18.11 / 9.19.9 / 9.16.37-S1 |
건별 내용
CVE-2022-3924: recursive-clients 소프트 할당량에서 named 비정상 종료
stale-answer-enable yes를 설정하고 stale-answer-client-timeout을 0보다 큰 값으로 둔 리졸버가 영향을 받습니다. 재귀 질의가 몰려 recursive-clients 소프트 할당량(soft quota)에 이르면, 가장 오래 기다린 클라이언트에게 SERVFAIL을 보내야 합니다. 이때 그 클라이언트에 만료된 응답을 주는 처리와 조기 타임아웃 SERVFAIL을 보내는 처리가 경합(race)하면서 단언 실패(assertion failure)가 날 수 있습니다. 문제의 옵션은 BIND 9.16.12와 9.16.12-S1부터 실제로 동작합니다. 9.11.33-S1 이후의 9.11-S 버전에서도 이 옵션을 설정할 수는 있지만, 9.11.x-S1 릴리스에서는 항상 0으로 바뀌어 적용됩니다. 임시 조치로는 stale-answer-client-timeout을 끄거나 0으로 설정하면 됩니다. ISC는 recursive-clients 값을 아주 크게 올리는 방법은 서버 자원 고갈을 막는 한도를 무력화하므로 권장하지 않는다고 밝혔습니다.
CVE-2022-3094: UPDATE 메시지 폭주로 메모리 소진
동적 업데이트를 대량으로 보내면 named가 메모리를 많이 할당하고, 결국 메모리가 부족해 종료될 수 있습니다. 메모리는 접근 제어 목록(ACL) 검사 전에 할당됩니다. 허용되지 않은 클라이언트의 요청은 거부되는 즉시 메모리가 해제되지만, 허용된 클라이언트의 요청은 처리하는 동안 메모리가 유지됩니다. 따라서 ISC는 이 취약점의 영향 범위를 동적 영역 변경이 허용된 신뢰된 클라이언트로 한정합니다. BIND 9.11 이하도 영향을 받지만, 이때는 메모리가 아니라 내부 자원이 고갈되는 형태여서 ISC는 9.16 이전 버전은 수정하지 않기로 했습니다. 알려진 임시 조치는 없습니다.
CVE-2022-3488: Supported Preview Edition의 ECS 옵션 처리 중 비정상 종료
BIND Supported Preview Edition에만 해당하는 문제입니다. 같은 질의에 대한 응답 두 개가 모두 EDNS 클라이언트 서브넷(ECS, CLIENT-SUBNET) 의사 옵션을 담고 있고 첫 번째 응답이 잘못된 경우(예: 질의 이름과 응답 이름 불일치), 두 번째 응답을 처리할 때 단언 실패로 named가 종료됩니다. 악성 네임서버를 운영하는 공격자가 이런 응답 두 개를 빠르게 연달아 보내 이 문제를 일으킬 수 있습니다. ECS를 쓰도록 설정하지 않은 서버도 해당 버전이면 모두 영향을 받습니다. 알려진 임시 조치는 없으며, 원문에 적힌 수정 버전은 9.16.37-S1뿐입니다.
CVE-2022-3736: RRSIG 질의 처리 중 비정상 종료
만료된 캐시와 만료된 응답을 켜고 stale-answer-client-timeout을 양의 정수로 설정한 리졸버는 RRSIG 질의를 받으면 비정상 종료될 수 있습니다. 공격자가 특정 질의를 보내 named를 종료시킬 수 있습니다. 임시 조치로는 stale-answer-client-timeout을 0 또는 off/disabled로 설정하면 됩니다.
운영자가 할 일
- 운영 중인 BIND 버전이 위 영향 범위에 드는지 확인하고, 현재 버전과 가장 가까운 수정 버전(9.16.37, 9.18.11, 9.19.9, 9.16.37-S1)으로 업그레이드합니다.
- 리졸버 설정에서
stale-answer-enable과stale-answer-client-timeout을 확인합니다. 바로 업그레이드하기 어려우면stale-answer-client-timeout을 0 또는 off로 설정해 CVE-2022-3924와 CVE-2022-3736을 피할 수 있습니다. - CVE-2022-3094는 임시 조치가 없으므로 업그레이드가 필요합니다. 업그레이드 전까지는 동적 업데이트를 허용한 대상(allow-update, update-policy)이 꼭 필요한 클라이언트로만 제한되어 있는지 다시 확인합니다.
- BIND Supported Preview Edition 사용자는 CVE-2022-3488을 막을 임시 조치가 없고, ECS를 쓰지 않아도 영향을 받습니다. 9.16.37-S1로 업그레이드합니다.
- ISC는 현재 지원 중인 버전만 패치합니다. 지원이 끝난 버전을 쓰고 있다면 지원 버전으로 옮기는 계획을 세웁니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.