ISC(Internet Systems Consortium)가 2024년 7월 23일 BIND 9 보안 취약점 4건을 공개했습니다. 4건 모두 원격으로 악용할 수 있고 심각도는 High, CVSS 점수는 7.5입니다. 서버 응답 중단, 처리 성능 저하, named 비정상 종료 같은 서비스 거부(DoS)로 이어질 수 있습니다. 수정 버전은 BIND 9.18.28과 9.20.0이며, BIND Supported Preview Edition은 9.18.28-S1입니다. ISC는 4건 모두 실제 악용 사례를 알지 못한다고 밝혔습니다.
한눈에 보기
| 번호 | 내용 | 심각도 | 영향 버전 | 수정 버전 |
|---|---|---|---|---|
| CVE-2024-1975 | SIG(0) 서명 요청을 연속으로 보내 CPU 자원 고갈 | High (CVSS 7.5) | BIND 9.0.0~9.11.37, 9.16.0~9.16.50, 9.18.0~9.18.27, 9.19.0~9.19.24 / S 에디션 9.9.3-S1~9.11.37-S1, 9.16.8-S1~9.16.49-S1, 9.18.11-S1~9.18.27-S1 | 9.18.28, 9.20.0, 9.18.28-S1 |
| CVE-2024-0760 | TCP로 DNS 메시지를 대량 유입시켜 서버 불안정 유발 | High (CVSS 7.5) | BIND 9.18.1~9.18.27, 9.19.0~9.19.24 / S 에디션 9.18.11-S1~9.18.27-S1 | 9.18.28, 9.20.0, 9.18.28-S1 |
| CVE-2024-1737 | 동일 이름에 리소스 레코드(RR)가 매우 많을 때 데이터베이스 성능 저하 | High (CVSS 7.5) | BIND 9.11.0~9.11.37, 9.16.0~9.16.50, 9.18.0~9.18.27, 9.19.0~9.19.24 / S 에디션 9.11.4-S1~9.11.37-S1, 9.16.8-S1~9.16.50-S1, 9.18.11-S1~9.18.27-S1 | 9.18.28, 9.20.0, 9.18.28-S1 |
| CVE-2024-4076 | 만료 데이터 응답(serve-stale)과 권한 영역 조회가 겹칠 때 어서션 실패(assertion failure) | High (CVSS 7.5) | BIND 9.16.13~9.16.50, 9.18.0~9.18.27, 9.19.0~9.19.24 / S 에디션 9.11.33-S1~9.11.37-S1, 9.16.13-S1~9.16.50-S1, 9.18.11-S1~9.18.27-S1 | 9.18.28, 9.20.0, 9.18.28-S1 |
※ S 에디션은 ISC 지원 고객에게 제공되는 BIND Supported Preview Edition입니다. 각 원문에는 평가 범위에 관한 단서가 붙어 있습니다. 예를 들어 CVE-2024-1975는 9.16.48 이전 버전을, CVE-2024-0760은 9.18.1 이전 버전을 평가하지 않았다고 밝혔습니다.
건별 내용
CVE-2024-1975: SIG(0)를 이용한 CPU 자원 고갈
이 취약점은 두 경우에 해당합니다. 하나는 서버가 KEY 리소스 레코드가 들어 있는 영역(zone)을 호스팅하는 경우이고, 다른 하나는 리졸버가 DNSSEC 서명된 도메인의 KEY 레코드를 검증해 캐시에 가지고 있는 경우입니다. 이때 클라이언트가 SIG(0) 서명 요청을 연속으로 보내면 CPU 자원이 고갈되어 BIND가 응답하지 않게 될 수 있습니다. 알려진 우회 방법(workaround)은 없으며, ISC가 내부 테스트 중에 발견했습니다.
CVE-2024-0760: TCP를 통한 대량 DNS 메시지 유입 시 서버 불안정
악의적인 클라이언트가 TCP로 DNS 메시지를 대량으로 보내면 공격이 이어지는 동안 서버가 불안정해지거나 응답하지 않을 수 있습니다. 공격이 멈추면 서버가 회복될 수 있습니다. ISC는 접근 제어 목록(ACL)으로는 이 공격을 막을 수 없다고 밝혔으며, 알려진 우회 방법도 없습니다.
CVE-2024-1737: 동일 이름에 RR이 매우 많을 때 데이터베이스 성능 저하
리졸버 캐시나 권한 영역 데이터베이스에 같은 호스트 이름의 RR이 매우 많이 쌓여 있으면 성능이 떨어질 수 있습니다. RR 유형(RTYPE)은 상관없습니다. 성능 저하는 데이터를 추가하거나 갱신할 때, 그리고 그 이름에 대한 질의를 처리할 때 나타나며, 질의 처리가 최대 100배 느려질 수 있습니다. ISC는 이 문제를 완화하려고 수정 버전에 새 설정 한도 두 가지를 도입했습니다. 한도를 넘는 RR은 영역이나 캐시에 적재되지 않습니다. 기본값을 운영 환경에 맞게 조정해야 할 수도 있으므로, ISC는 KB 문서 "RRset limits in zones"를 함께 읽어 보라고 권고합니다.
CVE-2024-4076: 만료 캐시 데이터와 권한 영역 데이터를 함께 제공할 때 어서션 실패
만료 데이터 응답(serve-stale)을 일으키면서 로컬 권한 영역 데이터 조회도 필요한 클라이언트 질의를 받으면 어서션 실패가 발생해 named가 예기치 않게 종료될 수 있습니다. 4건 중 이 건에만 우회 방법이 있으며, serve-stale 응답을 비활성화하면 완화됩니다.
운영자가 할 일
- 버전 확인: 운영 중인 BIND 버전이 위 표의 영향 범위에 들어가는지 확인합니다.
- 업그레이드: 현재 버전과 가장 가까운 수정 버전(9.18.28 또는 9.20.0, S 에디션은 9.18.28-S1)으로 업그레이드합니다. 4건 중 3건은 우회 방법이 없으므로 업그레이드가 사실상 유일한 대응입니다.
- 9.11·9.16 계열 사용 시: 이번 공지에서 수정 버전은 9.18과 9.20 계열에만 나왔습니다. ISC는 현재 지원하는 버전에만 패치를 제공하므로, 해당 계열을 쓰고 있다면 지원 버전으로 옮기는 계획을 세워야 합니다.
- RRset 한도 검토(CVE-2024-1737): 업그레이드하면 새 한도가 적용되어, 한 이름에 레코드가 많은 영역은 적재되지 않을 수 있습니다. 업그레이드 전에 ISC KB 문서 "RRset limits in zones"를 읽고 기본값이 운영 환경에 맞는지 확인합니다.
- 즉시 업그레이드가 어려울 때(CVE-2024-4076): serve-stale 응답을 비활성화해 이 건의 위험을 줄일 수 있습니다. 나머지 3건에는 알려진 우회 방법이 없습니다. 특히 CVE-2024-0760은 ACL로도 막을 수 없습니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.