🇰🇷 한글 설명
ISC BIND 9.6.0 이전 버전에서 OpenSSL EVP_VerifyFinal 함수의 반환값을 제대로 검사하지 않아 DNSSEC 검증이 우회될 수 있는 취약점입니다. 공격자가 잘못된 SSL/TLS 서명으로 인증서 체인 검증을 완벽하게 우회할 수 있으며, CVE-2008-5077과 유사한 메커니즘입니다.
💡 쉬운 설명
DNS 서버 소프트웨어 BIND가 보안 인증서 검사를 제대로 하지 않아서 위조된 인증서를 받아들일 수 있습니다. 원격 공격자가 DNS 응답을 조작하여 사용자를 가짜 웹사이트로 유도할 수 있습니다.
🇺🇸 원문 (English)
Internet Systems Consortium (ISC) BIND 9.6.0 and earlier does not properly check the return value from the OpenSSL EVP_VerifyFinal function, which allows remote attackers to bypass validation of the certificate chain via a malformed SSL/TLS signature, a similar vulnerability to CVE-2008-5077 and CVE-2009-0025.
📍 영향받는 시스템
ISC BIND 9.6.0 및 그 이전 버전
⚔️ 공격 벡터
원격 공격자가 잘못된 SSL/TLS 서명으로 DNSSEC 검증을 우회하는 네트워크 패킷 전송
🛡️ 대응 방법
BIND를 9.6.1 이상으로 업그레이드하고 OpenSSL을 최신 버전으로 패치
🔧 검증 코드
결과에서 버전이 9.6.0 이하면 취약하며, 9.6.1 이상이면 안전한 상태입니다.
named -v 2>/dev/null | grep -oE '9\.[0-9]+\.[0-9]+' || dpkg -l 2>/dev/null | grep bind9