🇰🇷 한글 설명
BIND의 OpenSSL DSA_verify 함수 반환값을 제대로 검증하지 않아 공격자가 위조된 SSL/TLS 서명으로 인증서 체인 검증을 우회할 수 있는 취약점입니다. CVE-2008-5077과 동일한 근본 원인을 가진 관련 보안 결함입니다.
💡 쉬운 설명
BIND DNS 소프트웨어가 보안 인증서 서명을 검증할 때 제대로 확인하지 않는 버그가 있습니다. 공격자가 가짜 서명을 만들어서 BIND를 속일 수 있습니다.
🇺🇸 원문 (English)
BIND 9.6.0, 9.5.1, 9.5.0, 9.4.3, and earlier does not properly check the return value from the OpenSSL DSA_verify function, which allows remote attackers to bypass validation of the certificate chain via a malformed SSL/TLS signature, a similar vulnerability to CVE-2008-5077.
📍 영향받는 시스템
BIND 9.6.0, 9.5.1, 9.5.0, 9.4.3 및 이전 모든 버전
⚔️ 공격 벡터
DNS 쿼리 응답에 의도적으로 잘못된 DSA 서명을 포함하여 인증서 검증 프로세스를 우회
🛡️ 대응 방법
BIND를 9.6.1 이상, 9.5.2 이상, 또는 9.4.4 이상으로 업그레이드
🔧 검증 코드
명령어가 매칭되면 취약한 버전이 설치된 것이고, 매칭되지 않으면 패치된 버전 이상이 설치된 것
named -v | grep -E '9\.[0-6]\.[0-2]|9\.[0-3]'