한국인터넷진흥원(KISA)은 2024년 7월 29일 BIND DNS 취약점 보안 업데이트 권고를 냈습니다. ISC(Internet Systems Consortium)가 BIND 9 취약점 4건을 해결한 보안 업데이트를 발표한 데 따른 것입니다. 영향받는 버전을 쓰는 시스템은 BIND 9.18.28 또는 9.20.0으로, BIND 9 Preview Edition은 9.18.28-S1로 업데이트하라고 권고합니다.
무엇이 발표되었나
KISA 공지에 실린 취약점은 다음 4건입니다.
- CVE-2024-4076: BIND가 오래된 캐시 데이터와 권한 영역(authoritative zone)의 콘텐츠를 함께 제공할 때 단언(assertion) 실패가 발생합니다.
- CVE-2024-1975: 클라이언트가 SIG(0)으로 서명한 요청을 연속으로 보내면 서버의 CPU 자원이 소모될 수 있습니다.
- CVE-2024-1737: BIND 데이터베이스에 호스트 이름이 같은 자원 레코드(RR)가 대량으로 있으면 데이터베이스 성능이 떨어집니다.
- CVE-2024-0760: TCP를 통한 DNS 플러드(flood) 공격으로 서비스 거부(DoS)가 발생합니다.
영향 범위
원문 표에 실린 영향받는 버전입니다. 범위의 양 끝 버전은 모두 포함됩니다.
| CVE | BIND 9 | BIND 9 Preview Edition |
|---|---|---|
| CVE-2024-4076 | 9.16.13–9.16.50, 9.18.0–9.18.27, 9.19.0–9.19.24 | 9.11.33-S1–9.11.37-S1, 9.16.13-S1–9.16.50-S1, 9.18.11-S1–9.18.27-S1 |
| CVE-2024-1975 | 9.0.0–9.11.37, 9.16.0–9.16.50, 9.18.0–9.18.27, 9.19.0–9.19.24 | 9.9.3-S1–9.11.37-S1, 9.16.8-S1–9.16.49-S1, 9.18.11-S1–9.18.27-S1 |
| CVE-2024-1737 | 9.11.0–9.11.37, 9.16.0–9.16.50, 9.18.0–9.18.27, 9.19.0–9.19.24 | 9.11.4-S1–9.11.37-S1, 9.16.8-S1–9.16.50-S1, 9.18.11-S1–9.18.27-S1 |
| CVE-2024-0760 | 9.18.1–9.18.27, 9.19.0–9.19.24 | 9.18.11-S1–9.18.27-S1 |
해결 버전은 네 건 모두 같습니다. BIND 9는 9.18.28, 9.20.0이고 BIND 9 Preview Edition은 9.18.28-S1입니다. 원문 표에는 9.11·9.16 계열의 해결 버전이 따로 나와 있지 않습니다. 이 계열을 쓰고 있다면 위 해결 버전으로 올려야 합니다.
CVE-2024-0760은 9.18.1 이상에만 해당합니다. 나머지 세 건은 9.11·9.16 계열까지 영향을 줍니다.
운영자가 할 일
named -v등으로 운영 중인 BIND 버전을 확인하고, 위 표의 범위에 드는지 봅니다.- 해당하면 BIND 9.18.28 또는 9.20.0(Preview Edition은 9.18.28-S1)으로 업데이트합니다. 9.11·9.16 계열에서 올릴 때는 메이저 버전이 바뀌므로 설정 호환성을 먼저 점검하는 것이 좋습니다.
- 취약점별 세부 내용과 업데이트 방법은 원문이 안내하는 ISC 참고 문서를 확인합니다.
공지에 대한 문의는 한국인터넷진흥원 사이버민원센터(국번 없이 118)에서 받습니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.