BIND 보안 공지: 제어 채널 스택 고갈로 named 종료(CVE-2023-3341) 외 1건

ISC는 2023년 9월 20일 BIND 9 보안 취약점 2건을 공개했습니다. 두 건 모두 원격에서 악용할 수 있고, 악용되면 named가 비정상 종료되어 서비스가 중단될 수 있습니다. 심각도는 두 건 모두 High이고 CVSS 점수는 7.5입니다. 하나는 제어 채널(control channel) 메시지 처리 코드의 스택(stack) 고갈 문제이고, 다른 하나는 DNS over TLS(DoT) 질의 부하가 클 때 생기는 문제입니다. ISC는 공개 시점까지 실제 공격 사례를 확인하지 못했다고 밝혔습니다. 수정은 9.16.44, 9.18.19, 9.19.17에 들어 있습니다.

한눈에 보기

-S1 버전은 ISC가 자격을 갖춘 지원 고객에게 제공하는 BIND Supported Preview Edition입니다.

건별 내용

CVE-2023-3341: 제어 채널 코드의 스택 고갈

named는 제어 채널 메시지를 파싱할 때 일부 함수를 재귀적으로 호출합니다. 재귀 깊이를 제한하는 것은 허용되는 최대 패킷 크기뿐이어서, 조작된 메시지를 받으면 실행 환경에 따라 스택 메모리가 바닥나 named가 종료될 수 있습니다. 메시지는 인증을 거치기 전에 파싱되므로, 공격자에게 유효한 RNDC 키가 없어도 됩니다. 제어 채널에 설정된 TCP 포트에 네트워크로 접근할 수만 있으면 공격이 가능합니다. 단, 프로세스나 스레드가 쓸 수 있는 스택 크기가 충분히 작은 환경에서만 공격이 성립합니다. ISC는 이 기준값이 여러 요인에 따라 달라서 일률적으로 정할 수 없다고 설명합니다.

CVE-2023-4236: DoT 질의 부하가 클 때 named 종료

DoT 질의를 처리하는 네트워크 코드에 결함이 있습니다. DoT 질의 부하가 크면 내부 데이터 구조가 잘못 재사용되고, 이때 단언 실패(assertion failure)가 일어나 named가 종료될 수 있습니다. DNS over HTTPS(DoH) 코드는 다른 TLS 구현을 쓰기 때문에 이 결함의 영향을 받지 않습니다. 영향 범위는 9.18 계열(9.18.0~9.18.18)입니다.

운영자가 할 일

• 운영 중인 BIND 버전이 위 표의 영향 버전에 해당하는지 확인하세요.
• 해당하면 현재 버전과 가장 가까운 수정 버전(9.16.44, 9.18.19, 9.19.17, 또는 -S1 버전 9.16.44-S1, 9.18.19-S1)으로 업그레이드하세요.
• CVE-2023-3341 임시 조치: named는 기본 설정에서 루프백 인터페이스로만 제어 채널 연결을 받으므로, 이 상태라면 네트워크를 통한 공격은 불가능합니다. 제어 채널 TCP 포트를 원격에 열어 두었다면 네트워크 단에서 신뢰할 수 있는 IP 대역으로만 접근을 제한하세요.
• CVE-2023-4236 임시 조치: DoT가 필요 없다면 설정에서 listen-on ... tls ... { ... }; 구문을 지워 DoT 수신을 끄세요. 그러면 문제가 되는 코드가 실행되지 않습니다. DoT를 계속 써야 한다면 임시 조치가 없으므로 업그레이드해야 합니다.
• ISC는 현재 지원하는 버전만 패치합니다. 지원이 끝난 버전을 쓰고 있다면 지원 버전으로 옮기는 계획도 함께 세우세요.

원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.

목록으로