ISC가 2025년 5월 21일 BIND 9 보안 취약점 CVE-2025-40775를 공개했습니다. 트랜잭션 서명(TSIG, Transaction Signature)의 알고리즘 필드에 잘못된 값이 들어 있는 DNS 메시지를 받으면 named가 어서션 실패(assertion failure)로 즉시 종료됩니다. 원격에서 악용할 수 있고 심각도는 High(CVSS 7.5)입니다. 알려진 우회 방법은 없으므로 해당 버전을 쓰고 있다면 패치 버전으로 업그레이드해야 합니다.
무엇이 발표되었나
- CVE: CVE-2025-40775
- 제목: DNS message with invalid TSIG causes an assertion failure
- 대상 프로그램: BIND 9
- 심각도: High, 원격 악용 가능
- CVSS 점수: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)
원문 설명에 따르면 BIND는 들어오는 DNS 메시지에 TSIG가 있으면 항상 이를 검사합니다. 이때 TSIG의 알고리즘 필드에 잘못된 값이 있으면 BIND가 어서션 실패로 즉시 중단됩니다. 공격자는 특정 메시지를 서버로 보내는 것만으로 named를 예기치 않게 종료시켜 서비스 거부(DoS, Denial-of-Service)를 일으킬 수 있습니다.
ISC는 내부 테스트에서 이 결함을 발견했으며, 실제 악용 사례는 확인된 바 없다고 밝혔습니다.
공지 이력은 다음과 같습니다.
- 1.0 사전 통지(Early Notification), 2025년 5월 14일
- 1.1 영향 버전 목록 명확화, 2025년 5월 19일
- 2.0 공개(Public disclosure), 2025년 5월 21일
영향 범위
영향을 받는 버전은 다음과 같습니다.
- BIND 9.20.0 ~ 9.20.8
- BIND 9.21.0 ~ 9.21.7
9.18 계열은 영향 버전 목록에 들어 있지 않습니다. 9.18.0보다 이전 버전은 평가하지 않았다고 원문에 적혀 있습니다.
권한 서버(authoritative server)와 리졸버(resolver) 모두 영향을 받습니다.
운영자가 할 일
- 버전 확인: 운영 중인 BIND 버전이 위 범위에 들어가는지
named -v등으로 확인합니다. - 업그레이드: 알려진 우회 방법이 없으므로 지금 쓰는 버전과 가장 가까운 패치 버전으로 올립니다.
- 9.20.x → 9.20.9
- 9.21.x → 9.21.8
- 지원 버전 확인: ISC는 현재 지원 중인 버전에만 패치를 제공합니다. 지원이 끝난(EOL) 버전을 쓰고 있다면 지원 버전으로 옮기는 계획도 함께 세워야 합니다.
- 장애 대비: 업그레이드를 마칠 때까지 named 프로세스가 예기치 않게 종료되지 않는지 감시하고, 종료되었을 때 바로 알아차리고 복구할 수 있도록 준비해 두는 것이 좋습니다.
자세한 내용은 ISC 공식 보안 공지 원문(https://kb.isc.org/docs/cve-2025-40775)을 참고하시기 바랍니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.