ISC는 2026년 3월 25일 BIND 9 보안 취약점 3건을 공개했습니다. 사전 통지(Early Notification)는 3월 18일에 있었습니다. 세 건 모두 원격으로 악용할 수 있고, 성공하면 named가 비정상 종료되거나 CPU·메모리 자원을 과도하게 소모합니다. CVE-2026-3119는 권한 서버와 리졸버에 모두 영향을 주고, CVE-2026-1519와 CVE-2026-3104는 주로 리졸버에 영향을 줍니다. 수정 버전은 9.18.47, 9.20.21, 9.21.20(Supported Preview Edition은 9.18.47-S1, 9.20.21-S1)입니다. ISC는 세 건 모두 실제 악용 사례를 알지 못한다고 밝혔습니다.
한눈에 보기
| 번호 | 내용 | 심각도 | 영향 버전 | 수정 버전 |
|---|---|---|---|---|
| CVE-2026-3119 | TKEY 레코드가 포함되고 올바르게 서명된 질의를 처리하다 named가 비정상 종료될 수 있음 | Medium (CVSS 6.5) | 9.20.0 → 9.20.20, 9.21.0 → 9.21.19, 9.20.9-S1 → 9.20.20-S1 (9.18 계열은 영향 없음) | 9.20.21, 9.21.20, 9.20.21-S1 |
| CVE-2026-1519 | 비보안 위임(insecure delegation)을 검증할 때 NSEC3 반복 횟수가 과도하면 CPU 부하가 커짐 | High (CVSS 7.5) | 9.11.0 → 9.16.50, 9.18.0 → 9.18.46, 9.20.0 → 9.20.20, 9.21.0 → 9.21.19, 9.11.3-S1 → 9.16.50-S1, 9.18.11-S1 → 9.18.46-S1, 9.20.9-S1 → 9.20.20-S1 (9.11.0 이전 버전은 평가하지 않음) | 9.18.47, 9.20.21, 9.21.20, 9.18.47-S1, 9.20.21-S1 |
| CVE-2026-3104 | DNSSEC 부재 증명(proof of non-existence)을 만드는 코드의 메모리 누수 | High (CVSS 7.5) | 9.20.0 → 9.20.20, 9.21.0 → 9.21.19, 9.20.9-S1 → 9.20.20-S1 (9.18 계열은 영향 없음) | 9.20.21, 9.21.20, 9.20.21-S1 |
건별 내용
CVE-2026-3119: TKEY 레코드를 포함한 인증된 질의로 named 비정상 종료
특정 조건에서 named는 올바르게 서명되고 TKEY 레코드가 포함된 질의를 처리하다 비정상 종료될 수 있습니다. 문제의 코드는 named 설정에 선언된 키로 만든 유효한 트랜잭션 서명(TSIG)이 붙은 요청에서만 실행됩니다. 권한 서버와 리졸버 모두 영향을 받습니다. 공격자가 쓸 수 있는 TSIG 키를 제거하는 것이 우회 방법(workaround)으로 제시되었습니다. CVSS 벡터는 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H입니다.
CVE-2026-1519: 비보안 위임 검증 시 과도한 NSEC3 반복으로 CPU 부하 증가
DNSSEC 검증을 하는 BIND 리졸버가 악의적으로 만든 영역(zone)을 만나면 CPU를 과도하게 사용하고, 초당 처리할 수 있는 질의 수가 급격히 줄 수 있습니다. 권한 전용 서버는 대체로 영향을 받지 않습니다. 다만 ISC는 권한 서버도 재귀 질의를 하는 경우가 있다며 관련 문서(https://kb.isc.org/docs/why-does-my-authoritative-server-make-recursive-queries)를 확인하라고 안내합니다. dnssec-validation no;로 DNSSEC 검증을 끄면 악용을 막을 수 있지만, ISC는 이 방법을 권장하지 않습니다. 원문의 수정 버전 목록에는 9.11~9.16 계열이 없습니다. ISC는 현재 지원하는 버전만 패치합니다.
CVE-2026-3104: DNSSEC 부재 증명 생성 코드의 메모리 누수
BIND 리졸버가 특수하게 조작된 도메인을 질의하기만 해도 메모리 누수가 일어납니다. named가 이 메모리를 회수하지 않아 상주 메모리 크기(RSS, Resident Set Size)가 한없이 늘어날 수 있고, 결국 메모리가 부족해질 수 있습니다. 또 이 상태에서 종료(shutdown)나 재적재(reload)를 시도하면 named가 어서션 실패(assertion failure)로 종료됩니다. 알려진 우회 방법은 없습니다.
운영자가 할 일
- 운영 중인 BIND 버전을 확인하세요. 9.20, 9.21 계열은 세 건 모두, 9.11~9.18 계열은 CVE-2026-1519의 영향을 받습니다.
- 현재 버전과 가장 가까운 수정 버전(9.18.47, 9.20.21, 9.21.20 / 9.18.47-S1, 9.20.21-S1)으로 업그레이드하세요.
- 9.11~9.16 계열을 쓰고 있다면, 원문 기준으로 이 계열의 수정 버전이 없으므로 지원되는 버전으로 이전하는 계획을 세우세요.
- CVE-2026-3119: 바로 업그레이드할 수 없다면, 설정에 선언된 TSIG 키 가운데 공격자가 쓸 수 있는 키가 없는지 점검하고, 있으면 제거를 검토하세요.
- CVE-2026-1519, CVE-2026-3104: 권한 서버도 재귀 질의를 하는 구성인지 확인하세요.
dnssec-validation no;는 ISC가 권장하지 않는 방법이므로 업그레이드를 우선하세요. - CVE-2026-3104: 업그레이드 전까지 리졸버의 RSS 메모리 추이를 지켜보세요. 누수가 이미 진행된 상태에서는 업그레이드를 위해 종료하거나 재적재할 때 named가 어서션 실패로 끝날 수 있으니, 작업 시점과 절차를 미리 정해 두세요.
원문: ISC 보안 공지 CVE-2026-3119, CVE-2026-1519, CVE-2026-3104 (2026-03-25)
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.