ISC가 2025년 10월 22일 BIND 9의 캐시 포이즈닝(cache poisoning) 취약점 2건을 공개했습니다. 두 건 모두 심각도는 High, CVSS 점수는 8.6이며 원격으로 악용할 수 있습니다. 영향을 받는 것은 리졸버(resolver)이고, 권한 서버(authoritative server)는 영향이 없는 것으로 보고 있습니다. 알려진 우회 방법(workaround)은 없으며, ISC는 현재 쓰는 버전에 가장 가까운 수정 버전으로 업그레이드하라고 권고합니다. 실제 악용 사례는 아직 보고되지 않았습니다.
한눈에 보기
| 번호 | 내용 | 심각도 | 영향 버전 | 수정 버전 |
|---|---|---|---|---|
| CVE-2025-40778 | 요청하지 않은 리소스 레코드(RR)를 받아들여 캐시 포이즈닝 발생 | High (CVSS 8.6) | 9.11.0~9.16.50, 9.18.0~9.18.39, 9.20.0~9.20.13, 9.21.0~9.21.12 / S1: 9.11.3-S1~9.16.50-S1, 9.18.11-S1~9.18.39-S1, 9.20.9-S1~9.20.13-S1 | 9.18.41, 9.20.15, 9.21.14 / S1: 9.18.41-S1, 9.20.15-S1 |
| CVE-2025-40780 | 취약한 의사난수 생성기(PRNG) 때문에 캐시 포이즈닝 발생 | High (CVSS 8.6) | 9.16.0~9.16.50, 9.18.0~9.18.39, 9.20.0~9.20.13, 9.21.0~9.21.12 / S1: 9.16.8-S1~9.16.50-S1, 9.18.11-S1~9.18.39-S1, 9.20.9-S1~9.20.13-S1 | 9.18.41, 9.20.15, 9.21.14 / S1: 9.18.41-S1, 9.20.15-S1 |
S1은 ISC가 지원 계약 고객에게 제공하는 BIND Supported Preview Edition입니다.
건별 내용
CVE-2025-40778: 요청하지 않은 RR을 이용한 캐시 포이즈닝
특정 조건에서 BIND가 응답에 담긴 레코드를 너무 관대하게 받아들이기 때문에, 공격자가 위조한 데이터를 캐시에 넣을 수 있습니다. 질의를 처리하는 도중에 위조 레코드가 캐시에 들어가면 이후 질의의 이름 해석(resolution)에도 영향을 줄 수 있습니다. 9.11.0보다 오래된 버전은 따로 평가하지 않았지만, ISC는 이 버전들도 영향을 받는 것으로 보고 있습니다. CVSS 벡터는 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N입니다.
CVE-2025-40780: 취약한 PRNG로 인한 캐시 포이즈닝
특정 조건에서 BIND가 쓰는 의사난수 생성기(PRNG)의 약점 때문에, 공격자가 BIND의 출발지 포트(source port)와 질의 ID(query ID)를 예측할 수 있습니다. 응답 위조(spoofing)에 성공하면 BIND가 공격자의 응답을 캐시에 저장하게 됩니다. ISC는 9.11.0보다 오래된 버전은 평가하지 않았다고 밝혔습니다. CVSS 벡터는 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N입니다.
운영자가 할 일
- 리졸버로 쓰는 BIND의 버전을 확인하고, 해당 버전에 가장 가까운 수정 버전(9.18.41, 9.20.15, 9.21.14, S1은 9.18.41-S1, 9.20.15-S1)으로 업그레이드하세요. 알려진 우회 방법이 없으므로 업그레이드가 유일한 대응입니다.
- 9.11·9.16 계열에는 수정 버전이 나오지 않았습니다. ISC는 현재 지원하는 버전만 패치하므로, 이 계열을 쓰고 있다면 9.18 또는 9.20 계열로 옮기는 계획을 세우세요. 지원 대상 버전은 https://www.isc.org/download/ 에서 확인할 수 있습니다.
- 권한 서버는 영향이 없는 것으로 보고 있지만, 권한 서버가 재귀 질의를 보내는 경우도 있습니다. ISC 문서(https://kb.isc.org/docs/why-does-my-authoritative-server-make-recursive-queries)를 읽고 운영 중인 권한 서버가 해당되는지 점검하세요.
- 자세한 내용과 이후 바뀌는 사항은 ISC 공식 공지 원문을 확인하세요.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.