BIND 보안 공지: CNAME·DNAME 응답 순서로 named 종료(CVE-2026-12617) 외 8건

ISC가 2026년 7월 22일 BIND 9 보안 취약점 9건을 공개했습니다. 9건 모두 원격에서 악용할 수 있으며, 심각도는 High 7건, Medium 2건입니다. 대부분 리졸버(resolver)의 DNSSEC 검증 과정에서 생기는 문제로, 내용은 named 비정상 종료, 메모리·CPU 고갈, 응답 정책 영역(RPZ) 규칙 우회, 캐시 오염(cache poisoning)입니다. ISC는 9건 모두 알려진 우회 방법(workaround)이 없고, 실제 악용 사례도 확인된 바 없다고 밝혔습니다. 해결 방법은 수정 버전으로 업그레이드하는 것입니다.

한눈에 보기

• S1은 ISC 지원 계약 고객에게 제공되는 BIND Supported Preview Edition입니다.
• 영향 버전과 수정 버전은 각 원문에 적힌 그대로 옮겼습니다. 9건 모두 9.18 계열이 영향 버전에 들어 있지만, 원문의 수정 버전 목록에 9.18 계열 버전은 없습니다.

건별 내용

CVE-2026-12617: CNAME·DNAME 응답 순서에 따른 비정상 종료

클라이언트가 리졸버에 DNAME과 그 아래 이름의 A 레코드를 질의했을 때, 권한 서버(authoritative server)가 A에는 긍정 응답을 보내고 DNAME 응답은 늦췄다가 부정 응답을 보내면 named가 종료될 수 있습니다. 같은 이름의 CNAME과 A를 질의했을 때 CNAME 응답이 늦게 자기 자신을 가리키는 CNAME으로 돌아와도 같은 문제가 생깁니다. 이때 BIND는 어서션(assertion) 실패로 종료됩니다.

CVE-2026-11622: 설정된 한도를 넘는 메모리 사용

DNSSEC 검증 리졸버가 서명된 영역을 겨냥한 무작위 하위 도메인 공격(random subdomain attack)을 받으면 메모리 사용량이 통제 없이 늘어날 수 있습니다. 공격자가 리졸버의 검증 속도보다 빠르게 질의를 보낼 수 있어야 하며, 늘어난 메모리 사용량은 max-cache-size 설정값을 몇 자릿수나 넘을 수 있습니다. 응답 속도에도 영향을 줄 수 있습니다.

CVE-2026-11331: 와일드카드 CNAME RPZ 정책 우회

공격자가 리졸버에 와일드카드 CNAME 정책을 쓰는 RPZ가 있다는 것을 알거나 짐작하면, 아주 긴 질의 이름을 보내 RPZ 처리 중 NAMETOOLONG 오류를 일으킬 수 있습니다. BIND가 이 오류를 제대로 처리하지 못해 해당 RPZ 규칙이 적용되지 않을 수 있고, BIND가 비정상 종료될 수도 있습니다.

CVE-2026-10822: PRIVATEDNS 알고리즘 KEY 레코드로 인한 비정상 종료

KEY, DNSKEY 같은 키 레코드가 PRIVATEDNS 알고리즘(253)을 쓰면서 알고리즘 식별자 길이를 실제 데이터보다 길게 적으면, BIND는 이 잘못된 데이터를 그대로 저장합니다. 나중에 이 레코드를 텍스트로 변환할 때 잘못된 길이를 그대로 쓰면서 일관성 검사가 실패하고, 9.20과 9.21은 종료될 수 있습니다. 9.18은 종료가 실제로 확인되지는 않았지만, 문제가 되는 코드는 같습니다.

CVE-2026-10723: 잘못된 NSEC3 레코드 수용

BIND가 하위 영역(child zone)의 잘못된 NSEC3 레코드를 유효한 것으로 받아들일 수 있습니다. 이를 이용하면 공격자가 형제 영역(sibling zone)에 대해 인증된 NXDOMAIN 응답을 위조할 수 있습니다.

CVE-2026-11605: 불필요한 RRSIG 검증으로 인한 CPU 고갈

BIND는 응답에 들어 있는 RRSIG 레코드를 꼭 필요하지 않은 것까지 모두 검증합니다. 그래서 유효하지만 불필요한 RRSIG를 대량으로 돌려주는 권한 서버나 영역에 질의하면, 검증기(validator)가 CPU 시간을 지나치게 많이 쓰게 됩니다.

CVE-2026-13204: NSEC와 NSEC3가 함께 있을 때 비정상 종료

보안이 적용되지 않았음이 증명 가능한(provably insecure) 도메인이 상위 영역에서 NSEC와 NSEC3로 동시에 덮여 있고, RRSIG는 둘 중 한 유형에만 있는 경우가 있습니다. 이때 BIND가 이 증명을 검증하다가 어서션 실패로 종료되어 서비스 거부(DoS)가 발생할 수 있습니다.

CVE-2026-11721: RRSIG 레이블 수 불일치와 와일드카드를 이용한 캐시 오염

공격자의 영역이 그 영역 이름보다 레이블 수가 적은 RRSIG를 응답에 넣으면, named는 공격자 영역보다 짧은 영역의 와일드카드 이름을 만들어 냅니다. 이 때문에 캐시 오염이 일어날 수 있습니다. 공격 대상 리졸버에 synth-from-dnssec yes;가 설정되어 있어야 효과가 있는데, 이 값은 기본 설정입니다.

CVE-2026-13321: 영역 밖을 가리키는 NSEC Next 필드로 DNSSEC 검증 우회

BIND 리졸버는 서명이 유효하기만 하면, "Next Domain Name" 필드가 서명한 영역 밖을 가리키는 NSEC 레코드도 받아들입니다. 따라서 DNSSEC 서명 영역을 하나라도 가진 공격자는 다른 영역까지 걸치는 NSEC 레코드를 만들어, 인증된(AD=1) 부재 응답으로 다른 영역의 캐시를 오염시킬 수 있습니다. 9건 가운데 CVSS 점수가 가장 높습니다.

운영자가 할 일

• 버전 확인: 운영 중인 BIND 버전이 위 표의 영향 범위에 드는지 확인합니다. 9건 중 8건은 DNSSEC 검증, RPZ, 재귀 응답 처리와 관련되어 있으므로 재귀 리졸버를 우선 점검합니다.
• 업그레이드: ISC는 현재 버전과 가장 가까운 수정 버전(9.20.26, 9.21.24, S1 사용 시 9.20.26-S1)으로 업그레이드할 것을 권고합니다. 9건 모두 알려진 우회 방법이 없으므로, 설정 변경만으로는 대응할 수 없습니다.
• 9.18 계열 사용자: 원문에 9.18 계열 수정 버전이 없습니다. ISC 다운로드 페이지(https://www.isc.org/download/)에서 지원 중인 버전을 확인하고, 9.20 계열로 옮길 계획을 세우십시오.
• 업그레이드 전 감시 강화: 업그레이드를 마칠 때까지 named가 예기치 않게 종료되는지, 메모리 사용량이 max-cache-size를 크게 넘는지, 검증 중 CPU 사용률이 치솟는지 살펴봅니다. RPZ에 와일드카드 CNAME 정책을 쓰고 있다면 해당 정책이 정상적으로 적용되는지도 확인합니다.
• 원문 확인: 세부 사항과 이후 개정 내용은 각 CVE의 ISC 공지 원문과 BIND 9 Security Vulnerability Matrix에서 확인하십시오.

원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.

목록으로