최근 보고된 Unbound의 DNSSEC 검증기 취약점(CVE-2026-81642)은 DNSKEY digest 과정에서 발생하는 heap buffer overflow입니다. 이 문제는 시스템의 서비스 거부(DoS)를 유발하거나 원격 코드 실행(RCE)으로 이어질 수 있어 인프라 보안에 심각한 위협이 됩니다.
CVE-2026-81642 취약점 개요 및 영향 범위
NLnet Labs Unbound의 DNSSEC 검증기에서 치명적인 heap buffer overflow 취약점인 CVE-2026-81642가 확인됐습니다. 심각도가 ‘CRITICAL’로 분류될 만큼 위험도가 높습니다. 공격자가 이를 악용하면 시스템의 제어권을 획득하거나 서비스를 중단시킬 수 있습니다.
해당 취약점의 구체적인 영향 범위와 조건은 아래와 같습니다.
- 영향 받는 버전: NLnet Labs Unbound 1.26.0 이하 버전(1.26.0 포함)이 이 취약점에 노출되어 있습니다.
- 공격 조건: 공격자가 악성 DNS 존(DNS Zone)을 직접 제어하고 있어야 하며, 취약한 Unbound 서버가 해당 존에 질의를 수행하는 상황에서 공격이 성립됩니다.
- 잠재적 영향: 힙 버퍼 오버플로우로 서비스 거부(DoS) 상태를 유발하며, 공격자가 제어하는 데이터가 코드 실행 영역에 도달하면 원격 코드 실행(RCE)으로 이어질 수 있습니다.
기술적 분석: DNSKEY Digest 과정의 Heap Buffer Overflow
이 취약점의 핵심 원인은 DNSKEY owner 필드를 처리하는 과정에서의 검증 미흡입니다. 정상적인 DNS 처리와 달리, 특정 조건의 악성 데이터가 입력되면 버퍼 경계를 넘어서는 쓰기 작업이 발생합니다.
취약점 발생 메커니즘
취약점은 네 단계로 진행됩니다.
- 자기 참조 포인터 삽입: 공격자는 DNSKEY의 owner 필드에 자신의 RDATA를 가리키는 ‘자기 참조 compression pointer’를 포함시킨 악성 DNS 레코드를 구성합니다.
- Decompression 수행: Unbound 서버가 해당 레코드를 수신해 압축을 해제(decompression)합니다.
- 검증 없는 쓰기 작업: 압축 해제 이후 데이터를 작성하기 전, 해당 버퍼의 용량(buffer capacity)을 검증하는 단계가 누락되어 있습니다.
- 버퍼 오버플로우: 결과적으로 digest buffer에 할당된 크기를 초과해 데이터가 쓰이고, 이 과정에서 heap buffer overflow가 발생합니다.
이런 구조적 결함은 메모리 오염으로 이어집니다. 단순한 프로그램 종료(Crash) 수준이 아니라, 공격자가 의도한 임의의 명령어를 실행할 수 있는 통로가 됩니다.
대응 방안 및 업데이트 버전(1.26.1) 안내
NLnet Labs는 해당 취약점을 해결한 보안 업데이트 버전인 1.26.1을 출시했습니다. 네트워크 관리자와 인프라 보안 담당자가 할 일은 명확합니다. 운영 중인 Unbound 서버의 버전을 즉시 확인하고 최신 버전으로 업데이트하는 것입니다.
업데이트 및 수정 사항
Unbound 1.26.1 버전에는 다음 보안 강화 조치가 반영됐습니다.
- 버퍼 용량 검증 로직 추가: 데이터 압축 해제(decompression) 이후, 실제 쓰기 작업 직전에 해당 버퍼의 capacity를 검증하는 로직이 추가되었습니다.
- 오버플로우 방지: 공격자가 조작한 compression pointer가 포함되어 있더라도 할당된 버퍼 크기를 초과하는 쓰기 작업이 차단되며, heap buffer overflow 발생 가능성을 근본적으로 제거했습니다.
운영 중인 환경의 버전과 조치 사항은 아래 표로 확인할 수 있습니다.
| 구분 | 취약 버전 (Vulnerable) | 수정 버전 (Fixed) |
|---|---|---|
| 버전 범위 | 1.26.0 이하 (1.26.0 포함) | 1.26.1 |
| 주요 취약점 | DNSSEC 검증기 Heap Buffer Overflow | Buffer Capacity 검증 로직 도입 |
| 위험 영향 | DoS 및 RCE 가능성 | 취약점 제거 및 보안 강화 |
실제 악용 현황 및 위험도 평가
보안 담당자라면 취약점의 심각성만큼 실제 공격 사례가 존재하는지 따지기 마련입니다. 현재까지 보고된 CVE-2026-81642의 악용 현황은 두 가지입니다.
첫째, NLnet Labs는 해당 취약점이 실제 환경에서 악용된 사례를 보고한 바가 없습니다. 둘째, 미국 사이버보안 및 인프라 보안국(CISA) 역시 해당 취약점의 실제 악용(exploitation) 상태를 ‘none’으로 표기하고 있습니다.
하지만 악용 사례가 보고되지 않았다고 위험성이 낮은 것은 아닙니다. 이 취약점은 ‘CRITICAL’ 등급으로 분류되며, 공격자가 악성 DNS 존을 제어할 수 있다는 조건만 충족되면 원격에서 시스템 권한을 탈취할 수 있는 RCE 가능성을 품고 있기 때문입니다. 알려진 공격 사례가 없더라도, 잠재적 위험을 제거하는 길은 즉각적인 패치 적용뿐입니다.