[단독분석] 분석 — CVE-2026-81642

• 심각도 미상 · CVSS 미상 · EPSS 0.00521 · 악용난이도 hard

공격자는 악성 영역을 제어하여 DNSKEY 레코드에 자신의 RDATA를 가리키는 소유자 압축 포인터를 삽입합니다. 이 구조가 DNSSEC 검증 시 다이제스트 버퍼를 오버플로우시키며, 결과적으로 서비스 거부(DoS)와 공격자가 조작한 데이터에 의해 원격 코드 실행(RCE)이 가능해집니다. 취약점은 Unbound 1.26.0 이하 버전에서 DNSSEC 검증을 수행할 때 발생합니다.

악용 가능성: 이 취약점은 네트워크(AV = N)에서 원격으로 접근해야 하며, 공격자는 악성 DNSZONE을 직접 운영하고 해당 Zone에 대한 질의를 목표 서버에 전송할 수 있어야 합니다(AC = L, PR = N, UI = None). 따라서 물리적·네트워크 경계가 차단된 환경에서는 활용이 어려워 “hard” 난이도로 평가됩니다. EPSS = 0.00521이라는 실측 확률은 현재 관찰된 악용 사례가 극히 드물다는 것을 의미하며, KEV에 등재되지 않은 점도 실제 공격이 아직 활발히 이루어지지 않았음을 뒷받침합니다. 트리거 조건은 DNSKEY 레코드의 owner compression pointer가 자신의 RDATA를 가리키도록 조작된 경우이며, 이는 DNSSEC 검증 과정에서 digest 버퍼 오버플로우를 일으킵니다. 공격 표면은 UDP/TCP 53 포트로 제공되는 DNS 서비스 전반이며, 특히 DNSSEC이 활성화된 Unbound 1.26.0 이하 버전의 DNSKEY 파싱 로직이 노출됩니다. 이와 같이 악성 zone을 제어하고 질의를 전달할 수 있는 네트워크 접근 권한이 확보돼야만 실제 exploit이 가능하므로, 난이도는 높게 평가됩니다.

• 기술적 위험

  • 버퍼 오버플로우에 의해 Unbound 프로세스가 비정상 종료되어 DNS 서비스가 중단될 수 있습니다(DoS).
  • 공격자가 조작한 데이터가 실행 흐름을 장악하면 임의 코드 실행이 가능해져 해당 호스트 전체를 장악할 위험이 존재합니다(가능성은 존재하지만 확정되지 않음).

• 비즈니스 리스크

  • DNS 서비스 가용성 상실로 인해 내부 및 외부 사용자에게 도메인 이름 해석 장애가 발생합니다.
  • 핵심 인프라에 대한 원격 코드 실행이 성공하면 데이터 유출·시스템 변조 등 추가적인 보안 사고로 이어질 수 있어 규제·컴플라이언스 위반 위험이 증가합니다.

• 영향 제품 및 노출 규모

  • 취약 대상: Unbound 1.26.0 이하 버전(모든 플랫폼).
  • 현재 배포 현황에 대한 구체적인 통계는 확인되지 않아 **추정:**으로 남깁니다.

• 우선순위 판단 근거
  본 보고서는 다중 소스에서 일관성이 확인됐으며([교차검증]), EPSS 0.00521이라는 실측 악용 예측 수치가 낮은 편임을 반영합니다([실측 악용예측]). 또한 CVSS 점수가 없고 KEV 목록에 등재되지 않았으며, 익스플로잇 난이도가 “hard”로 평가된다는 규칙 기반 우선순위 로직에 따라 현재 권장 조치는 모니터링입니다([우선순위 결정]).

DNSSEC 검증 과정에서 메모리 손상이 발생하는 다른 사례와 유사하게, 악성 DNSKEY를 이용한 체이닝 공격이 가능할 수 있습니다. 해당 유형의 취약점과 연계된 추가적인 공격 경로가 존재한다면 방어 시 전반적인 DNSSEC 설정을 재검토해야 합니다.

• Unbound 로그에 “digest buffer overflow”, “segmentation fault” 혹은 프로세스 비정상 종료 메시지가 기록되는 경우.
• 네트워크 IDS/IPS에서 DNSKEY 레코드의 소유자 필드가 자체 RDATA를 가리키는 압축 포인터(\xC0\x00 형태) 패턴을 탐지하면 의심 트래픽으로 표시합니다.
• 비정상적인 DNS 질의량 급증 및 특정 영역에 대한 반복적인 실패 응답이 관찰될 경우 경보를 설정합니다.

1. 패치 적용: Unbound 1.26.0 이상 버전(또는 해당 취약점이 수정된 최신 릴리즈)으로 즉시 업그레이드합니다.
2. 임시 방어: DNSSEC 검증을 비활성화(dnssec-validation no)하거나 신뢰할 수 없는 영역에 대한 질의를 차단합니다.
3. 모니터링 강화: 위 탐지 지표를 기반으로 로그 및 네트워크 트래픽을 지속적으로 감시하고, 이상 징후 발생 시 즉시 대응 절차를 가동합니다.
4. 보안 정책 재검토: 외부 영역에 대한 DNSSEC 검증 적용 여부와 허용된 레코드 형식을 제한하여 유사 공격 경로를 사전에 차단합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00521 · exploit=hard · in_scope=None