ISC는 2025년 7월 16일, EDNS 클라이언트 서브넷(EDNS Client Subnet, ECS) 옵션을 보내도록 설정한 BIND 9 캐싱 리졸버가 캐시 오염(cache poisoning) 공격에 취약해질 수 있다는 보안 권고 CVE-2025-40776을 공개했습니다. ECS 기능은 BIND 구독 에디션(Subscription Edition, -S)에만 있어서 -S 에디션만 영향을 받습니다. 심각도는 High, CVSS 점수는 8.6입니다. 수정 버전은 9.18.38-S1과 9.20.11-S1입니다.
무엇이 발표되었나
ISC 설명에 따르면, 권한 서버(authoritative server)로 ECS 옵션을 보내도록 설정한 리졸버는 공격자가 유도하는 질의를 보내게 될 수 있습니다. 이런 질의는 출발지 포트(source port) 등 응답 위조에 필요한 값을 맞힐 확률을 조금 높입니다. 그러면 기존 생일 공격(birthday attack) 방식의 캐시 오염을 막으려고 넣어 둔 완화책을 우회할 여지가 생깁니다. 그 결과 ECS를 켠 리졸버는 이 기능을 쓰지 않는 리졸버보다 위조 응답으로 캐시가 오염될 가능성이 커집니다.
- CVE: CVE-2025-40776
- 심각도: High, 원격 공격 가능
- CVSS 3.1: 8.6 (AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N)
- 실제 악용 사례: ISC는 현재 알려진 사례가 없다고 밝혔습니다.
- 발견자: 난카이대학교 AOSP Lab의 Xiang Li
- 공지 이력: 2025년 7월 9일 사전 통지(1.0), 2025년 7월 16일 공개(2.0)
영향 범위
원문에 실린 영향 버전(BIND Supported Preview Edition)은 다음과 같습니다.
- 9.11.3-S1 ~ 9.16.50-S1
- 9.18.11-S1 ~ 9.18.37-S1
- 9.20.9-S1 ~ 9.20.10-S1
오픈소스 BIND 9.0.0 ~ 9.20.10은 영향을 받지 않습니다. ISC는 지원이 종료된(End-of-Life, EOL) -S 버전도 영향을 받을 것으로 보지만, 따로 시험하지는 않았다고 밝혔습니다.
리졸버는 영향을 받습니다. 권한 서비스는 영향을 받지 않는 것으로 보입니다. 다만 ISC는 권한 서버가 재귀 질의를 하는 경우를 다룬 문서(https://kb.isc.org/docs/why-does-my-authoritative-server-make-recursive-queries)를 함께 읽어 보라고 권합니다.
운영자가 할 일
- 운영 중인 BIND가 -S 에디션인지,
named.conf에ecs-zones옵션이 설정돼 있는지 확인합니다. 오픈소스 BIND만 운영한다면 이 취약점에 해당하지 않습니다. - 영향 버전이면 지금 쓰는 버전과 가장 가까운 수정 버전으로 올립니다.
- 9.18.38-S1
- 9.20.11-S1
- 바로 올릴 수 없다면
named.conf에서ecs-zones옵션을 지워 ECS를 끄는 것이 ISC가 제시한 임시 조치(workaround)입니다.
ISC는 현재 지원하는 버전에만 패치를 냅니다. 원문에는 9.11.3-S1 ~ 9.16.50-S1 계열의 수정 버전이 없습니다. 이 계열을 쓰고 있다면 지원 버전으로 올리거나 ECS를 끄는 방안을 검토하시기 바랍니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.