ISC가 2026년 10월 21일 BIND 9 보안 취약점 4건을 공개했습니다. 사전 통지일은 2026년 10월 14일입니다. 4건 모두 심각도는 High이며 원격에서 악용할 수 있습니다. 세 건은 named가 비정상 종료되거나 자원이 고갈되어 서비스 거부(DoS)로 이어질 수 있는 문제이고, 한 건(CVE-2026-94300)은 메모리 손상으로 원격 코드 실행까지 이어질 수 있는 문제입니다. 4건 모두 알려진 우회책이 없습니다. ISC가 밝힌 수정 버전은 BIND 9.20.30, 9.21.27, 그리고 BIND Supported Preview Edition 9.20.30-S1입니다. ISC는 실제 악용 사례는 파악하지 못했다고 밝혔습니다.
한눈에 보기
| 번호 | 내용 | 심각도 | 영향 버전 | 수정 버전 |
|---|---|---|---|---|
| CVE-2026-96888 | 리디렉트 영역(redirect zone)과 엄격한 QNAME 최소화(qname-minimization strict)를 함께 설정한 리졸버에서 assertion 실패로 종료 | High (CVSS 7.5) | BIND 9.16.0–9.18.50, 9.20.0–9.20.29, 9.21.0–9.21.26 / S1: 9.16.8-S1–9.18.50-S1, 9.20.9-S1–9.20.29-S1 | 9.20.30, 9.21.27, 9.20.30-S1 |
| CVE-2026-97313 | 특정 응답 정책 영역(RPZ) 설정과 질의 패턴에서 assertion 실패로 종료 | High (CVSS 7.5) | BIND 9.16.0–9.18.50, 9.20.0–9.20.29, 9.21.0–9.21.26 / S1: 9.11.3-S1–9.18.50-S1, 9.20.9-S1–9.20.29-S1 | 9.20.30, 9.21.27, 9.20.30-S1 |
| CVE-2026-94300 | GSS-TSIG로 서명된 UDP 메시지를 재전송(replay)하면 메모리 손상 발생 | High (CVSS 8.1) | BIND 9.11.0–9.18.50, 9.20.0–9.20.29, 9.21.0–9.21.26 / S1: 9.11.3-S1–9.18.50-S1, 9.20.9-S1–9.20.29-S1 | 9.20.30, 9.21.27, 9.20.30-S1 |
| CVE-2026-19630 | 수신 메시지 처리 과정에서 CPU·메모리가 과도하게 소모됨 | High (CVSS 7.5) | BIND 9.11.0–9.18.50, 9.20.0–9.20.29, 9.21.0–9.21.26 / S1: 9.11.3-S1–9.18.50-S1, 9.20.9-S1–9.20.29-S1 | 9.20.30, 9.21.27, 9.20.30-S1 |
※ 4건 모두 영향 버전에 9.16·9.18 계열이 들어 있지만, 원문의 수정 버전 목록에는 9.18 계열 릴리스가 없습니다.
건별 내용
CVE-2026-96888: 리디렉트 영역과 엄격한 QNAME 최소화를 함께 쓸 때 named 종료
redirect 영역과 qname-minimization strict를 함께 설정한 BIND 리졸버는 리디렉트를 처리하다가 assertion 실패로 중단될 수 있습니다. 그 결과 프로그램이 종료되어 서비스 거부로 이어질 수 있습니다. CVSS 점수는 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)이고, 알려진 우회책은 없습니다.
CVE-2026-97313: 특정 RPZ 설정과 질의 패턴에서 named 종료
재귀 질의를 허용하는 BIND 서버가 재귀 요청(RD=1) 질의를 받은 뒤 비재귀(RD=0) 질의를 받으면 assertion 실패로 종료될 수 있습니다. 이 취약점이 발생하려면 RPZ 영역이 두 개 이상 있어야 하고, 그중 하나는 기본값인 recursive-only yes, 다른 하나는 recursive-only no로 설정되어 있어야 합니다. CVSS 점수는 7.5이고, 알려진 우회책은 없습니다.
CVE-2026-94300: 동시에 처리되는 GSS-TSIG 메시지로 인한 메모리 손상
GSS-TSIG로 서명된 UDP 메시지를 재전송하면 named에서 메모리 손상이 생길 수 있습니다. 공격자가 이전에 서명된 UDP 메시지를 가로채 두었다가, 협상된 TSIG 키가 아직 유효할 때 이를 다시 보내는 방식입니다. 여기에 공격자가 통제하는 영역으로 조작된 질의까지 보내면 원격 코드 실행에 이를 가능성도 있습니다. CVSS 점수는 8.1(AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H)로 4건 중 가장 높습니다.
CVE-2026-19630: 수신 메시지 처리 과정에서 증폭된 자원 고갈
BIND 리졸버는 특정 구조가 들어 있는 DNS 메시지를 받으면 추가 처리를 하는데, 이 처리에는 횟수 제한이 없습니다. 그래서 이런 구조를 악의적으로 많이 넣은 메시지를 받으면 BIND가 CPU 시간과 메모리를 지나치게 많이 쓰게 되어 서비스 거부로 이어질 수 있습니다. ISC 내부 테스트에서 발견된 문제이며, CVSS 점수는 7.5입니다.
운영자가 할 일
- 버전 확인: 운영 중인 BIND 버전(
named -v)이 위 표의 영향 버전에 들어가는지 확인합니다. - 업그레이드: 4건 모두 알려진 우회책이 없으므로, 지금 쓰는 버전과 가장 가까운 수정 버전(9.20.30 또는 9.21.27, Supported Preview Edition은 9.20.30-S1)으로 올리는 일정을 잡습니다.
- 9.16·9.18 계열 운영 시: 원문에는 9.18 계열 수정 버전이 없습니다. ISC는 현재 지원하는 버전만 패치한다고 밝히고 있으니, ISC 다운로드 페이지(https://www.isc.org/download/)에서 지원 현황을 확인하고 수정된 계열로 옮기는 계획을 세워야 합니다.
- 설정 점검(영향 범위 파악용):
- CVE-2026-96888:
redirect영역과qname-minimization strict를 함께 쓰는지 확인합니다. - CVE-2026-97313: 재귀를 허용하는 서버에서 RPZ 영역들의
recursive-only값이 서로 다르게(yes/no) 설정되어 있는지 확인합니다. - CVE-2026-94300: GSS-TSIG를 사용하는지 확인합니다. 원격 코드 실행 가능성이 있으므로 사용 중이라면 우선 대상으로 다룹니다.
- CVE-2026-19630: 리졸버로 운영하는 서버는 모두 대상입니다.
- CVE-2026-96888:
- 모니터링: 업그레이드를 마칠 때까지 named가 비정상 종료되거나 CPU·메모리 사용량이 갑자기 늘어나는지 지켜봅니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.