널리 쓰이는 DNS 확인자(도메인 주소를 IP로 바꿔주는 프로그램)인 Unbound의 1.26.0 이하 모든 버전에서 치명적인 보안 취약점이 발견됐습니다. 공격자가 악의적인 DNS 영역(zone)을 통해 해당 취약점을 악용하면, 원격에서 시스템을 마음대로 조작할 수 있는 원격 코드 실행(RCE) 공격이 가능합니다. 이번 업데이트(1.26.1)는 이 치명적 결함을 포함해 총 9개의 취약점을 한꺼번에 수정했습니다. 현재까지 실제 악용 사례는 보고되지 않았지만, CVSS 점수가 9.1(Critical)로 매우 높아 즉각적인 패치 적용이 권고됩니다. 업그레이드가 어렵다면 개발사인 NLnet Labs가 제공하는 개별 패치를 적용할 수 있습니다.
Unbound DNS 확인자의 DNSSEC 검증기(DNSKEY 레코드 처리 로직)에서 힙 오버플로우 취약점(CVE-2026-81642, CVSS 9.1)이 발견됐다. 공격자가 악의적인 DNS 영역을 제어한 상태에서 취약한 확인자에 쿼리를 보내면 원격 코드 실행이 가능하다.
1.26.0 이하 모든 Unbound 버전이 영향을 받으며, 서비스 거부(DoS) 및 RCE(원격 코드 실행)로 이어질 수 있다. 같은 업데이트에 포함된 CVE-2026-82717(High) 역시 RCE 가능성을 내포하고 있다.
DNSKEY 레코드의 소유자 이름이 해당 레코드 자체 데이터 내의 압축 포인터를 참조할 때 힙 오버플로우가 발생하는 코드 결함이 원인이다.
NLnet Labs는 2026년 9월 17일 Unbound 1.26.1을 릴리스하여 9개 CVE를 일괄 수정했다. 즉시 업그레이드할 수 없는 경우 개발사가 제공하는 개별 패치(patch -p1 적용)를 사용하거나 전체 통합 패치를 적용할 수 있다.
Unbound를 운영하는 담당자는 즉시 1.26.1로 업그레이드해야 한다. Debian(bookworm, trixie, forky 브랜치) 사용자는 아직 취약 상태이므로 소스 패치를 직접 적용하거나 업스트림 바이너리를 사용해야 한다.
본문
Swati Khandelwal 2026년 9월 17일 취약점 / DNS 보안
관리 주체인 NLnet Labs가 수요일 공개한 권고문에 따르면, Unbound DNS 확인자의 1.26.1 이전 모든 릴리스에는 DNSSEC 검증기에 치명적인 힙 오버플로우(heap overflow)가 존재한다.
악의적인 영역(zone)을 제어하는 공격자가 취약한 확인자에 쿼리를 보내면 이 취약점을 유발할 수 있으며, 이를 통해 원격 코드 실행(RCE)이 가능하다.
같은 날 릴리스된 Unbound 1.26.1은 CVE-2026-81642로 추적되는 이 버그와 함께 다른 8개의 결함도 수정했다. 8개 중 하나인 CVE-2026-82717은 Anthropic의 Ben Morris가 신고한 CNAME 합성(synthesis)의 힙 손상(heap corruption) 버그로, NLnet Labs에 따르면 "특정 시스템 및 컴파일 옵션 조건에서" 원격 코드 실행으로 이어질 수 있다.
NLnet Labs는 두 버그 모두 실제 악용 사례를 보고하지 않았으며, CISA의 CVE-2026-81642 항목도 수요일 기준 악용 여부를 "없음"으로 표시했다.
NLnet Labs는 DNSKEY 결함을 Critical로 평가하며 CVSS 점수는 4.0(9.1)이고, 권한이나 사용자 상호작용 없이 네트워크 공격 벡터를 통해 악용 가능하다고 밝혔다. NVD는 수요일 기준 해당 CVE를 "분석 대기 중"으로 표시하고 있어 9.1은 관리 주체의 자체 평가 점수다.
오버플로우는 검증기가 레코드 자체 데이터 내의 압축 포인터를 소유자 이름으로 갖는 DNSKEY 레코드를 처리하는 과정에서 발생한다. NLnet Labs가 명시한 영향은 서비스 거부(DoS)이며, "공격자가 제어하는 데이터를 통한" 원격 코드 실행도 가능하다.
1.26.0 이하 모든 버전이 영향을 받는다. 여기에는 7월에 나온 보안 릴리스 1.25.2와 8월 4일 릴리스된 1.26.0도 포함된다. NLnet Labs가 5월에 수정한 Critical 검증기 버그인 CVE-2026-33278은 별개의 결함으로, 이를 수정한 1.25.1 업데이트는 이번 취약점을 수정하지 않는다.
NLnet Labs는 해당 버전 범위에 별도의 설정 조건을 달지 않았으며, DNSSEC 유효성 검사를 비활성화한 확인자가 취약한지 여부도 밝히지 않았다.
업그레이드 또는 패치 적용
Unbound 1.26.1은 체크섬과 PGP 서명이 포함된 소스 코드, Windows 설치 파일 및 바이너리 형태로 제공된다. 업그레이드가 불가능한 경우 권고문에서 소스 트리를 패치하는 두 가지 방법을 안내한다.
- CVE-2026-81642 단독에 대한 최소 패치 또는 전체 패치를
patch -p1로 적용한다. 예를 들어patch -p1 < patch_CVE-2026-81642_with.diff를 실행한 뒤make install을 실행한다. - 9개 전체 수정 사항을 포함한 통합 패치를 적용한다. 최소화 버전도 존재한다.
NLnet Labs에 따르면 CVE-2026-81642 및 CVE-2026-82717의 단독 패치는 1.26.0에서 테스트를 거쳐 정상 동작함을 확인했다. NLnet Labs의 보안 정책은 최신 릴리스 버전에 패치를 적용하는 것이다.
Debian의 보안 트래커는 목요일에 unbound 1.26.1-1을 unstable 브랜치에서 수정 완료로 표시했으며, bookworm, trixie, forky 브랜치는 아직 취약 상태로 나열돼 있다.
9개의 수정 사항
릴리스 노트에는 9개의 CVE가 명시되어 있다. 아래 표는 NLnet Labs의 표현을 기준으로 각 CVE의 영향 버전 범위 및 트리거 조건을 정리한 것이다.
| CVE | 심각도 | 영향 버전 | 조건 | 영향 |
|---|---|---|---|---|
| CVE-2026-81642 | Critical | 1.26.0 이하 전 버전 | 공격자가 악성 영역을 제어하고 확인자에 쿼리 전송 | 서비스 거부, 원격 코드 실행 가능 |
| CVE-2026-82717 | High | 1.26.0 이하 전 버전 | 업스트림 응답 처리 중 CNAME 합성 | 서비스 거부, 특정 시스템·컴파일 옵션 조건에서 원격 코드 실행 가능 |
| CVE-2026-81634 | High | 1.26.0 이하 전 버전 | 길이 255의 쿼리 이름과 대용량 TCP 응답, 악성 네임서버 또는 변조된 응답 | 서비스 거부 |
| CVE-2026-77955 | Medium | 1.13.2 이상 1.26.0 이하 | 신뢰 앵커(trust anchor) 아래(단, 앵커 자체는 아닌) 위치에 zonemd-check: yes가 설정된 영역 | 서비스 거부, ZONEMD 검사 전에 변조된 영역 데이터가 제공되는 창(window) 발생 |
| CVE-2026-78227 | Medium | 1.22.0 이상 1.26.0 이하 | --with-libngtcp2 빌드 및 quic-port 설정 | 서비스 거부 |
| CVE-2026-80225 | Medium | 1.26.0 이하 전 버전 | 하나의 TCP 또는 DoT 연결을 통해 캐시에 없는 서로 다른 이름으로 지속적인 스트림 전송 | 서비스 저하 |
| CVE-2026-82720 | Medium | 1.12.0 이상 1.26.0 이하 | --with-libnghttp2 빌드 및 https-port 설정. NLnet Labs는 영향이 제한적이라고 언급 | 서비스 거부 |
| CVE-2026-85501 | Medium | 1.26.0 이하 전 버전 | ReTrap 알고리즘 복잡도 공격(TagTrap, DelegationTrap, NsecTrap, AdditionalTrap)을 사용하는 악성 영역 | 서비스 저하 |
| CVE-2026-77860 | Low | 1.20.0 이상 1.26.0 이하 | serve-expired 코드 경로로, DNSBomb를 위해 추가된 대응 조치를 우회 | 펄싱(pulsing) DoS 증폭 공격에 활용될 수 있음 |
ReTrap 수정 사항은 기본값도 변경했다. val-clean-additional이 이제 기본적으로 비활성화(off)되어 Unbound는 응답의 추가 섹션(additional section)에 있는 DNSSEC 데이터를 기본으로 검증하지 않는다.
CVE 레코드의 타임라인에 따르면 이 버그는 8월 11일 난카이대학교(Nankai University) AOSP Lab의 Xiang Li와 함께 연구한 Yuqi Qiu에 의해 NLnet Labs에 신고됐다. NLnet Labs는 다음 날 패치를 공유했고 신고자는 8월 13일 이를 검증했다. 수정 사항은 5주 뒤 1.26.1 묶음 릴리스에 포함돼 배포됐다.
NLnet Labs의 보안 정책에 따르면 아직 공개되지 않은 문제의 경우 "몇 주 단위"로 수정 사항을 릴리스하는 것을 목표로 한다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
