ISC BIND 9 TKEY 쿼리 처리 취약점을 이용한 원격 서비스 거부(DoS) 공격 (CVE-2015-5477)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTISC BIND 9.9.0 ~ 9.9.7-P1 및 9.10.0 ~ 9.10.2-P2 버전을 사용하는 DNS 서버
특수하게 조작된 TKEY 쿼리를 전송할 경우, BIND 프로세스가 비정상 종료(Assertion Failure)되어 DNS 서비스 전체가 중단됨
최신 보안 패치가 적용된 버전(9.9.7-P2, 9.10.2-P3 이상)으로 즉시 업그레이드
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND가장 확실한 해결책은 벤더에서 제공하는 최신 보안 패치를 적용하는 것입니다.
1. 패키지 업데이트
운영체제별 패키지 관리자를 통해 BIND를 최신 버전으로 업데이트하십시오.
# Ubuntu/Debian 계열
sudo apt-get update && sudo apt-get install --only-upgrade bind9
# RHEL/CentOS 계열
sudo yum update bind2. 소스 설치 시
ISC 공식 홈페이지에서 패치된 소스 코드를 다운로드하여 재컴파일하십시오.
3. 임시 완화 조치
패치 적용 전까지 방화벽(iptables/ACL)을 사용하여 신뢰할 수 없는 외부 IP로부터의 DNS 쿼리(UDP/TCP 53)를 제한하십시오.
반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
이 취약점은 ISC BIND의 TKEY(Transaction Key) 레코드 처리 로직에서 발생하는 'Reachable Assertion(CWE-617)' 오류입니다. 공격자가 특수하게 조작된 TKEY 패킷을 DNS 서버에 전송하면, BIND 내부의 REQUIRE 검증 로직이 실패하면서 'named' 데몬이 즉시 종료됩니다. 이 공격은 인증이 필요 없으며 단일 패킷만으로도 서버를 다운시킬 수 있어 가용성에 치명적입니다. 특히 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 있고 EPSS 점수가 매우 높아, 실제 공격에 활발히 이용되는 취약점입니다.
공식 보안 권고문 및 참조 링크
named in ISC BIND 9.x before 9.9.7-P2 and 9.10.x before 9.10.2-P3 allows remote attackers to cause a denial of service (REQUIRE assertion failure and daemon exit) via TKEY queries.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.