ISC가 BIND 9 보안 취약점 2건을 공지했습니다. CVE-2025-13878은 잘못된 형식의 BRID/HHIT 레코드 때문에 named가 비정상 종료되는 문제로, 2026년 1월 21일에 공개됐습니다. CVE-2025-8677은 잘못된 형식의 DNSKEY 레코드를 처리하다 CPU가 고갈되는 문제로, 2025년 10월 22일에 공개됐습니다. 두 건 모두 원격으로 악용할 수 있고 심각도는 High(CVSS 7.5)입니다. ISC는 알려진 우회 방법(workaround)이 없으며, 실제 악용 사례는 파악하지 못했다고 밝혔습니다. 해결 방법은 수정된 버전으로 업그레이드하는 것뿐입니다.
한눈에 보기
| 번호 | 내용 | 심각도 | 영향 버전 | 수정 버전 |
|---|---|---|---|---|
| CVE-2025-13878 | 잘못된 형식의 BRID/HHIT 레코드로 named 비정상 종료 | High (CVSS 7.5) | 9.18.40 ~ 9.18.43, 9.20.13 ~ 9.20.17, 9.21.12 ~ 9.21.16 (Supported Preview Edition: 9.18.40-S1 ~ 9.18.43-S1, 9.20.13-S1 ~ 9.20.17-S1) | 9.18.44, 9.20.18, 9.21.17 (S1: 9.18.44-S1, 9.20.18-S1) |
| CVE-2025-8677 | 잘못된 형식의 DNSKEY 레코드 처리로 CPU 자원 고갈 | High (CVSS 7.5) | 9.18.0 ~ 9.18.39, 9.20.0 ~ 9.20.13, 9.21.0 ~ 9.21.12 (Supported Preview Edition: 9.18.11-S1 ~ 9.18.39-S1, 9.20.9-S1 ~ 9.20.13-S1) | 9.18.41, 9.20.15, 9.21.14 (S1: 9.18.41-S1, 9.20.15-S1) |
두 건의 CVSS 벡터는 모두 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H입니다.
건별 내용
CVE-2025-13878: 잘못된 형식의 BRID/HHIT 레코드로 named가 비정상 종료될 수 있음
공격자가 손상되었거나 악의적인 BRID/HHIT 레코드로 이어지는 요청을 보내면 named가 중단(crash)될 수 있습니다. 권한 서버(authoritative server)와 리졸버(resolver) 모두 영향을 받습니다. 영향 범위는 9.18.40, 9.20.13, 9.21.12 이후 버전이며, 알려진 우회 방법은 없습니다. ISC는 2026년 1월 14일 사전 통지(Early Notification)를 거쳐 1월 21일에 공개했습니다.
CVE-2025-8677: 잘못된 형식의 DNSKEY 처리를 통한 자원 고갈
잘못된 형식의 DNSKEY 레코드를 담도록 특수하게 조작된 영역(zone)에 질의하면 CPU가 고갈될 수 있습니다. 공격자는 이를 이용해 서버에 과부하를 일으켜 성능을 크게 떨어뜨리고, 정상 클라이언트에 대한 서비스 거부(DoS)를 유발할 수 있습니다. 리졸버는 영향을 받습니다. ISC는 권한 서비스는 영향이 없는 것으로 보고 있지만, 권한 서버가 재귀 질의를 하는 경우를 다룬 문서(https://kb.isc.org/docs/why-does-my-authoritative-server-make-recursive-queries)를 꼭 읽어 보라고 안내합니다. 공개 과정에서 사전 수정이 회귀(regression) 문제로 철회되었고, 이후 수정 버전 목록이 바뀐 뒤 2025년 10월 22일에 공개됐습니다.
운영자가 할 일
- 운영 중인 모든 BIND 9 서버의 버전을 확인하고 위 표의 영향 범위에 들어가는지 점검하세요. 9.20.13, 9.21.12처럼 두 건 모두에 해당하는 버전도 있습니다.
- 지금 쓰는 버전과 가장 가까운 수정 버전으로 업그레이드하세요. 두 건의 영향 범위를 함께 보면 9.18.44, 9.20.18, 9.21.17(Supported Preview Edition은 9.18.44-S1, 9.20.18-S1)이 두 건 모두의 영향 범위 밖에 있습니다.
- 두 건 모두 알려진 우회 방법이 없으므로 설정 변경만으로 대응할 수 없습니다. 리졸버는 두 건 모두에 해당하니 우선해서 업그레이드하세요.
- 권한 서버도 CVE-2025-13878의 영향을 받습니다. CVE-2025-8677과 관련해서는 권한 서버가 재귀 질의를 하는 구성이 아닌지 위 ISC 문서를 참고해 확인하세요.
- ISC는 현재 지원 중인 버전에만 패치를 제공합니다. 지원이 끝난(EOL) 버전을 쓰고 있다면 https://www.isc.org/download/ 에서 지원 버전을 확인하고 업그레이드 계획을 세우세요.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.