[공격] 분석 — CVE-2026-2291

• 심각도 high · CVSS 7.3 · EPSS 0.0092 · 악용난이도 moderate

• 트리거 조건: dnsmasq의 extract_name() 함수가 처리하는 DNS 응답 패킷 내 특정 이름 필드의 길이가 할당된 힙 버퍼 크기를 초과할 때 발생. 조작된 길이 값을 가진 DNS 레코드를 전송하여 Heap Buffer Overflow를 유도함.
• 공격 단계:
  1. 정찰: 대상 네트워크에서 dnsmasq가 DNS 포워더 또는 DHCP 서버로 동작 중인지 확인 (UDP 53 포트 스캔).
  2. 초기 접근: 공격자가 제어하는 네임서버(Authoritative NS)를 통해 대상이 요청한 도메인에 대해 조작된 DNS 응답 패킷을 전송.
  3. 실행/권한 획득: extract_name() 함수에서 버퍼 오버플로우 발생 $\rightarrow$ 힙 메모리 상의 인접 데이터(DNS 캐시 구조체 등)를 덮어씀.
  4. 지속/영향: 변조된 DNS 캐시 엔트리를 통해 사용자를 공격자 IP로 리다이렉션하거나, 프로세스 크래시를 유도하여 DoS 상태로 만듦.
• 공격 표면: UDP/TCP 53 (DNS) 포트 $\rightarrow$ extract_name() 함수 내 이름 추출 로직 및 메모리 할당 파라미터.
• CVSS 벡터 연결: AV:N/AC:L/PR:N/UI:N은 인증이나 사용자 상호작용 없이 네트워크를 통해 누구나 낮은 복잡도로 공격 가능함을 의미함.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 보여주듯, 인증이나 사용자 상호작용 없이 네트워크를 통해 원격으로 트리거 가능한 매우 낮은 진입 장벽을 가집니다. 공격 표면은 DNS 쿼리를 처리하는 dnsmasq의 UDP/TCP 53번 포트이며, 특히 extract_name() 함수가 외부에서 유입된 DNS 패킷의 도메인 이름을 파싱하는 과정이 핵심 공격 지점입니다. 정밀하게 조작된 DNS 응답이나 쿼리 패킷을 통해 Heap Buffer Overflow를 유발함으로써 메모리 상의 DNS 캐시 엔트리를 오염시키는 것이 가능합니다. EPSS 수치가 0.0092로 낮고 KEV에 등재되지 않은 점은 현재 대규모 자동화 공격(Mass-exploitation)이 관찰되지 않음을 의미하지만, 이론적 난이도가 매우 낮아 타겟팅 공격 시 즉각적인 위협이 됩니다. 결과적으로 공격자는 DNS Cache Poisoning을 통해 사용자를 피싱 사이트로 유도하거나 서비스 거부(DoS) 상태를 만드는 등 실질적인 트래픽 제어권을 획득할 수 있습니다.

• 기술적 위험:
  • DNS 캐시 포이즈닝(Cache Poisoning): 거짓 DNS 레코드를 주입하여 트래픽을 탈취하거나 중간자 공격(MITM) 수행 가능.
  • 서비스 거부(DoS): 메모리 오염으로 인한 dnsmasq 프로세스 비정상 종료 및 네트워크 이름 해석 불가 상태 초래.
• 비즈니스 영향:
  • 신뢰성 상실: 피싱 사이트로의 리다이렉션을 통한 사용자 계정 정보 유출 위험.
  • 가용성 저하: 내부 DNS 인프라 마비 시 전체 네트워크 서비스 중단으로 이어짐.

• 추정: 메모리 오염 $\rightarrow$ 원격 코드 실행(RCE): 현재 리포트는 캐시 변조와 DoS에 집중하고 있으나, 힙 레이아웃을 정밀하게 제어할 수 있다면 함수 포인터를 덮어써 RCE로 이어질 가능성이 있음.
• 추정: DNS 스푸핑 $\rightarrow$ 인증 우회/데이터 탈취: 주입된 거짓 IP를 통해 HTTPS 인증서 탈취(SSL Stripping 등)나 내부 API 서버로의 트래픽 유도를 통한 데이터 유출 체인 구성 가능.

• 로그 지표: dnsmasq 로그 내 세그멘테이션 폴트(segfault) 기록 또는 비정상적으로 긴 DNS 쿼리/응답 패킷 수신 기록.
• 탐지 규칙:
  1. 패킷 길이 검사: DNS Response 패킷 중 특정 레코드의 이름 필드 길이가 표준 규격(RFC)을 초과하거나 비정상적으로 큰 경우 탐지. (예: dns_name_length > 255)
  2. 비정상 응답 패턴: 단시간 내 동일한 도메인에 대해 서로 다른 IP를 가진 대량의 DNS 응답 패킷이 유입되는 패턴 감시.
  3. 프로세스 모니터링: dnsmasq 프로세스의 비정상적 재시작 반복 횟수 임계치 설정.
• 오탐 및 튜닝: 매우 긴 서브도메인을 사용하는 정당한 DNS 레코드가 있을 수 있음. 내부적으로 사용되는 도메인 화이트리스트를 적용하여 필터링하거나, 패킷의 구조적 무결성(포맷 오류 여부)을 함께 검사하여 오탐을 줄임.

• 즉시(긴급 차단):
  • 신뢰할 수 없는 외부 DNS 서버로부터의 응답을 제한하는 ACL 설정 또는 상위 DNS 리졸버를 신뢰할 수 있는 보안 DNS(예: Quad9, Cloudflare)로 변경. (난이도: 저 / 영향: 낮음 / 검증: dig 명령어로 응답 확인)
• 단기(완화):
  • dnsmasq 설정에서 불필요한 기능 비활성화 및 DNS 캐시 TTL 값을 낮추어 포이즈닝된 엔트리의 유지 시간을 최소화. (난이도: 저 / 영향: 성능 약간 저하 / 검증: 캐시 만료 시간 확인)
• 근본(해결):
  • extract_name() 함수의 경계 검사 로직이 수정된 최신 버전으로 업데이트. (난이도: 중 / 영향: 서비스 일시 중단 / 검증: dnsmasq -v로 버전 확인 및 패치 노트 대조)

[분석 근거]

• 교차검증: 다중 소스 데이터 간 일관성이 확인되어 신뢰도 1.0으로 분석함.
• EPSS: 실측값 0.0092(백분위 0.56606)로, 이론적 심각도(CVSS 7.3)에 비해 실제 야생에서의 악용 확률은 현재 낮게 예측됨(moderate).
• 우선순위: KEV 미등재 및 낮은 EPSS 수치를 근거로 '즉시'가 아닌 scheduled(이번 주 내) 대응으로 결정함. 이는 이론적 위험도는 높으나 실측 기반의 공격 가능성이 아직 낮기 때문임.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.3 · non-KEV · EPSS=0.0092 · exploit=moderate · in_scope=None