ISC는 2026년 5월 20일 BIND 9 보안 취약점 6건을 공개했습니다. 6건 모두 원격에서 악용할 수 있습니다. 심각도는 High 4건(CVE-2026-3039, CVE-2026-5947, CVE-2026-5946, CVE-2026-3593), Medium 2건(CVE-2026-5950, CVE-2026-3592)입니다. 대부분은 named 비정상 종료나 자원 고갈로 서비스 거부(DoS)를 일으킬 수 있습니다. 수정 버전은 BIND 9.18.49, 9.20.23, 9.21.22이며, BIND Supported Preview Edition은 9.18.49-S1, 9.20.23-S1입니다. 우회 방법은 2건에만 제시되었습니다. ISC는 6건 모두 실제 악용 사례를 알지 못한다고 밝혔습니다.
한눈에 보기
| 번호 | 내용 | 심각도 | 영향 버전 | 수정 버전 |
|---|---|---|---|---|
| CVE-2026-3039 | GSS-API TKEY 협상 중 메모리 고갈 | High (CVSS 7.5) | 9.0.0~9.16.50, 9.18.0~9.18.48, 9.20.0~9.20.22, 9.21.0~9.21.21 / S1: 9.9.3-S1~9.16.50-S1, 9.18.11-S1~9.18.48-S1, 9.20.9-S1~9.20.22-S1 | 9.18.49, 9.20.23, 9.21.22 / 9.18.49-S1, 9.20.23-S1 |
| CVE-2026-5950 | 리졸버의 무제한 재전송 루프 | Medium (CVSS 5.3) | 9.18.36~9.18.48, 9.20.8~9.20.22, 9.21.7~9.21.21 / S1: 9.18.36-S1~9.18.48-S1, 9.20.9-S1~9.20.22-S1 | 9.18.49, 9.20.23, 9.21.22 / 9.18.49-S1, 9.20.23-S1 |
| CVE-2026-5947 | 질의 폭주 중 SIG(0) 검증 시 정의되지 않은 동작 | High (CVSS 7.5) | 9.20.0~9.20.22, 9.21.0~9.21.21 / S1: 9.20.9-S1~9.20.22-S1 | 9.20.23, 9.21.22 / 9.20.23-S1 |
| CVE-2026-5946 | IN이 아닌 클래스 처리 오류 | High (CVSS 7.5) | 9.11.0~9.16.50, 9.18.0~9.18.48, 9.20.0~9.20.22, 9.21.0~9.21.21 / S1: 9.11.3-S1~9.16.50-S1, 9.18.11-S1~9.18.48-S1, 9.20.9-S1~9.20.22-S1 | 9.18.49, 9.20.23, 9.21.22 / 9.18.49-S1, 9.20.23-S1 |
| CVE-2026-3593 | DoH 구현의 힙 해제 후 사용 | High (CVSS 7.4) | 9.20.0~9.20.22, 9.21.0~9.21.21 / S1: 9.20.9-S1~9.20.22-S1 | 9.20.23, 9.21.22 / 9.20.23-S1 |
| CVE-2026-3592 | 자기 참조 글루 레코드를 이용한 증폭 | Medium (CVSS 5.3) | 9.11.0~9.16.50, 9.18.0~9.18.48, 9.20.0~9.20.22, 9.21.0~9.21.21 / S1: 9.11.3-S1~9.16.50-S1, 9.18.11-S1~9.18.48-S1, 9.20.9-S1~9.20.22-S1 | 9.18.49, 9.20.23, 9.21.22 / 9.18.49-S1, 9.20.23-S1 |
S1은 BIND Supported Preview Edition을 뜻합니다. 9.16 이하 계열의 수정 버전은 원문에 없습니다. ISC는 현재 지원 중인 버전만 패치합니다.
건별 내용
CVE-2026-3039: GSS-API TKEY 협상 중 메모리 고갈
일반 보안 서비스 API(GSS-API) 토큰을 이용한 트랜잭션 키(TKEY) 기반 인증을 쓰도록 설정한 BIND 서버가 대상입니다. 악의적으로 만든 패킷을 받으면 할당한 메모리를 해제하지 않습니다. 이런 패킷을 받는 양과 빈도에 따라 named가 결국 메모리 고갈(memory exhaustion)로 멈춥니다. ISC는 이런 서버가 주로 Active Directory 통합 DNS나 Kerberos로 보호하는 DNS 환경에 있다고 설명합니다. 9.11.37 이전 버전은 평가하지 않았지만, ISC는 지원 종료(EoL)된 모든 버전이 취약할 것으로 봅니다. 알려진 우회 방법은 없습니다.
CVE-2026-5950: 리졸버의 무제한 재전송 루프
리졸버가 응답이 비정상인 서버를 처리하는(bad-server handling) 상태 머신에 무제한 재전송 루프(unbounded resend loop)가 있습니다. 인증 없이 원격에서 특정 재시도 조건을 일으키는 질의를 보내 심각한 자원 고갈을 일으킬 수 있습니다. 리졸버는 영향을 받습니다. 권한 서비스는 영향이 없는 것으로 보지만, ISC는 권한 서버도 재귀 질의를 할 수 있다는 안내 문서를 함께 읽으라고 권합니다. 알려진 우회 방법은 없습니다.
CVE-2026-5947: 질의 폭주 중 SIG(0) 검증 시 정의되지 않은 동작
BIND가 SIG(0) 서명 메시지를 검증하는 도중 recursive-clients 한도에 도달하면 해당 메시지가 폐기될 수 있습니다. 이때 생기는 경쟁 상태(race condition)로 검증 과정이 이미 폐기된 메시지를 읽는 해제 후 사용(use-after-free)이 일어날 수 있습니다. 그러면 named가 세그멘테이션 위반(segmentation violation) 등으로 중단될 수 있습니다. ISC는 이를 통한 코드 실행 가능성은 낮다고 봅니다. 권한 서버와 리졸버 모두 영향을 받습니다. 9.18 계열은 9.18.28~9.18.49가 영향받지 않으며, 9.18.28 이전은 평가하지 않았습니다. 알려진 우회 방법은 없습니다.
CVE-2026-5946: IN이 아닌 클래스 처리 오류
named가 클래스(CLASS)가 인터넷(IN)이 아닌 DNS 메시지를 처리하는 부분에서 여러 결함이 확인되었습니다. CHAOS·HESIOD 같은 클래스나, 질문 섹션에 메타 클래스(ANY, NONE)를 지정한 메시지가 해당합니다. 조작된 요청이 재귀, 동적 업데이트(UPDATE), 영역 변경 통지(NOTIFY), IN이 아닌 데이터에서 IN 전용 레코드 유형을 처리하는 경로에 닿으면 단언 실패(assertion failure)로 named가 종료됩니다. 권한 서버와 리졸버 모두 영향을 받습니다. 우회 방법으로 ISC는 IN 이외 클래스의 영역을 설정하지 말 것과, 동적 업데이트를 허용하는 서버를 인터넷에 노출하지 말 것을 제시했습니다.
CVE-2026-3593: DoH 구현의 힙 해제 후 사용
DNS-over-HTTPS(DoH) 구현에 해제 후 사용(use-after-free) 취약점이 있습니다. DoH 엔드포인트에 조작된 HTTP/2 트래픽을 보내면 메모리 손상이 일어날 수 있습니다. 권한 서버와 리졸버 모두 영향을 받습니다. 9.18 계열(9.18.0~9.18.48)은 영향받지 않습니다. DoH를 쓰지 않는 설정은 영향이 없으며, DoH를 끄는 것도 효과적인 우회 방법입니다.
CVE-2026-3592: 자기 참조 글루 레코드를 이용한 증폭
리졸버가 특수하게 만든 영역에 질의하면 자원을 지나치게 많이 소비합니다. 이 과정에서 대역폭을 과도하게 쓰고 TCP 처리에도 장애가 생길 수 있는 증폭(amplification) 공격입니다. 주로 재귀 리졸버가 영향을 받습니다. 신뢰할 수 있는 영역과 이름만 가진 권한 전용 서버는 영향이 없는 것으로 봅니다. 다만 신뢰할 수 없는 출처에서 영역을 불러오는 경우처럼 권한 서버가 공격 도메인을 조회하도록 유도되면 문제가 생길 수 있습니다. 알려진 우회 방법은 없습니다.
운영자가 할 일
named -v로 운영 중인 BIND 버전을 확인하고, 위 표에서 해당하는 건을 찾습니다.- 현재 버전에 가장 가까운 수정 버전으로 업그레이드합니다. 9.18 계열은 9.18.49, 9.20 계열은 9.20.23, 9.21 계열은 9.21.22입니다. Supported Preview Edition은 9.18.49-S1 또는 9.20.23-S1입니다.
- 9.16 이하 등 지원이 끝난 버전은 수정 버전이 없습니다. 지원 중인 계열로 옮길 계획을 세웁니다.
- 바로 업그레이드할 수 없다면 다음을 먼저 확인합니다.
- GSS-API TKEY 인증(Active Directory 통합, Kerberos 환경)을 쓰는지 확인합니다. 이 건(CVE-2026-3039)은 알려진 우회 방법이 없으므로 해당 서버를 우선 업그레이드합니다.
- DoH를 쓰지 않는다면 끕니다(CVE-2026-3593).
- IN 이외 클래스의 영역을 설정했는지, 동적 업데이트를 허용하는 서버가 인터넷에 노출되어 있는지 점검합니다(CVE-2026-5946).
- 권한 서버라도 재귀 질의를 하거나 신뢰할 수 없는 출처에서 영역을 불러온다면 리졸버 관련 건(CVE-2026-5950, CVE-2026-3592)에도 영향을 받을 수 있습니다. 함께 검토합니다.
자세한 내용은 각 ISC 공지 원문을 확인하시기 바랍니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.