ISC가 2025년 1월 29일 BIND 9 보안 취약점 2건을 공개했습니다. 두 건 모두 원격으로 악용할 수 있고, 서버의 CPU나 메모리를 고갈시켜 정상 클라이언트가 서비스를 받지 못하게 만드는 서비스 거부(DoS) 유형입니다. 심각도는 둘 다 High(CVSS 7.5)입니다. 수정 버전은 9.18.33, 9.20.5, 9.21.4이고, BIND Supported Preview Edition은 9.18.33-S1입니다. ISC는 두 건 모두 실제 악용 사례(active exploits)를 알지 못한다고 밝혔습니다.
한눈에 보기
| 번호 | 내용 | 심각도 | 영향 버전 | 수정 버전 |
|---|---|---|---|---|
| CVE-2024-11187 | 추가 섹션(Additional section)에 레코드가 많이 담긴 응답을 처리하느라 CPU가 고갈됨 | High (CVSS 7.5) | 9.11.0 -> 9.11.37, 9.16.0 -> 9.16.50, 9.18.0 -> 9.18.32, 9.20.0 -> 9.20.4, 9.21.0 -> 9.21.3 / S1: 9.11.3-S1 -> 9.11.37-S1, 9.16.8-S1 -> 9.16.50-S1, 9.18.11-S1 -> 9.18.32-S1 | 9.18.33, 9.20.5, 9.21.4 / 9.18.33-S1 |
| CVE-2024-12705 | 대량 HTTP/2 트래픽을 받으면 DNS-over-HTTPS(DoH) 처리에서 CPU·메모리가 고갈됨 | High (CVSS 7.5) | 9.18.0 -> 9.18.32, 9.20.0 -> 9.20.4, 9.21.0 -> 9.21.3 / S1: 9.18.11-S1 -> 9.18.32-S1 | 9.18.33, 9.20.5, 9.21.4 / 9.18.33-S1 |
- S1은 BIND Supported Preview Edition을 가리키며, ISC 지원 계약 고객 중 대상자에게 제공되는 특수 기능 미리보기 브랜치입니다.
- CVE-2024-11187에 대해 원문은 "9.11.37(-S1) 이전 버전은 평가하지 않았다"고 적고 있습니다. CVE-2024-12705는 "9.18.27(-S1) 이전 버전은 평가하지 않았다"고 적고 있습니다.
- 두 건의 CVSS 벡터는 모두 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H입니다.
건별 내용
CVE-2024-11187: 추가 섹션의 다수 레코드로 인한 CPU 고갈
특정 질의에 대해 추가 섹션에 레코드가 아주 많이 담긴 응답을 내도록 영역(zone)을 구성할 수 있습니다. 공격자가 이런 질의를 대량으로 보내면 권한 서버(authoritative server)든 이를 조회하는 리졸버(resolver)든 질의 처리에 지나치게 많은 자원을 쓰게 됩니다. CPU가 고갈되면 다른 클라이언트 질의에 응답하지 못할 수 있습니다. 원문에 따르면 리졸버가 영향을 받을 가능성이 가장 높지만, 권한 서버도 성능이 떨어질 수 있습니다. 보통은 공격용으로 일부러 만든 영역이 있어야 이 문제를 악용할 수 있습니다. ISC가 제시한 우회 방법(workaround)은 minimal-responses yes; 설정입니다.
CVE-2024-12705: 대량 질의 부하 시 DoH 구현의 여러 문제
DoH를 쓰는 클라이언트가 조작된 HTTP/2 트래픽을 대량으로 보내면 DNS 리졸버의 CPU나 메모리, 또는 둘 다를 고갈시킬 수 있습니다. 이 트래픽은 정상 형식이어도, 잘못된 형식이어도 문제를 일으킵니다. 그러면 다른 클라이언트가 DoH 연결을 맺지 못하게 되어 정상 사용자가 이름 해석 서비스를 이용할 수 없습니다. 원문은 권한 서버와 리졸버 모두 영향을 받는다고 밝혔습니다. 이 문제는 DoH 프로토콜에만 해당하며, DoH를 켜지 않은 서버는 영향을 받지 않습니다.
운영자가 할 일
- 버전 확인: 운영 중인 BIND 9 버전이 위 표의 영향 범위에 드는지 확인합니다.
- 업그레이드: 현재 쓰는 버전과 가장 가까운 수정 버전(9.18.33, 9.20.5, 9.21.4, S1은 9.18.33-S1)으로 올립니다.
- 지원 종료 브랜치 점검: CVE-2024-11187은 9.11, 9.16 브랜치도 영향을 받지만 이 브랜치용 수정 버전은 나오지 않았습니다. ISC는 현재 지원하는 버전만 패치합니다. 해당 브랜치를 쓰고 있다면 지원 브랜치로 옮기는 계획을 세우십시오.
- 바로 업그레이드하기 어려울 때 (CVE-2024-11187): ISC가 효과적인 우회 방법으로 제시한
minimal-responses yes;적용을 검토합니다. 이 설정은 응답 내용을 바꾸므로, 적용하기 전에 운영 환경에 미칠 영향을 확인하십시오. - DoH 사용 여부 확인 (CVE-2024-12705): DoH를 켜지 않은 서버는 이 취약점의 영향을 받지 않습니다. DoH를 제공하는 서버는 업그레이드를 우선 진행합니다.
자세한 내용은 ISC 원문 공지를 확인하십시오.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.