Debian trixie pdns 수정판 적용 대상부터 확인
이번 확인에서 다루는 공개 식별자: CVE-2026-73206. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Debian은 DSA-6587-1에서 PowerDNS DNS 서버가 압축 포인터를 포함한 패킷을 잘못 해석해 서비스 거부가 발생할 수 있다고 공지했다. CVE-2026-73206에 대한 Debian 13 trixie의 pdns 수정 버전은 4.9.18-0+deb13u1이며, 공식 대응은 해당 패키지 업그레이드다.
이 글은 제공된 원본 공지와 추가 공식 자료를 함께 검토한 글이다. 실제 게시, 시스템 점검, 패치 적용 또는 침해 확인은 수행하지 않았다.
영향 조건과 우선순위
문제의 조건은 DNS 패킷의 이름 압축 포인터를 처리하는 과정이다. 공식 자료는 조작된 DNS 패킷으로 서비스 거부가 발생할 수 있다고 설명하지만, 구체적인 접근 조건이나 장애 지속 시간은 제공하지 않는다. 모든 PowerDNS 설치가 동일하게 취약하다고 판단해서는 안 된다.
Ubuntu는 이 CVE의 우선순위를 Medium으로 표시한다. 이는 Ubuntu의 분류이며 Debian의 심각도나 CVSS 점수로 바꾸어 해석하지 않는다. 제공 자료에서는 실제 악용 여부가 확인되지 않는다. DNS 가용성에 의존하는 서비스는 설치 패키지와 배포판 상태를 우선 확인하고, 영향 대상으로 확인되면 수정판 적용을 계획한다.
배포판과 패키지별 판단
아래 상태는 2026년 11월 3일 수집된 Debian 보안 추적기와 Ubuntu CVE 문서 기준이다. 버전은 Debian 소스 패키지 기준이므로 운영 환경의 바이너리 패키지와 연결해 확인해야 한다.
| 대상 | 확인된 버전·상태 | 운영자 판단 |
|---|---|---|
Debian trixie pdns | 4.9.17-0+deb13u1 취약, 4.9.18-0+deb13u1 수정 | trixie 보안 수정 패키지로 업그레이드 |
Debian bookworm pdns | 4.7.3-2 취약 | 제공 자료에 bookworm 수정판이 없어 후속 공식 상태 확인 필요 |
Debian bookworm pdns-recursor | 4.8.8-1+deb12u1 취약 | pdns 수정 버전을 적용 기준으로 사용하지 않음 |
Debian trixie pdns-recursor | 5.2.13-0+deb13u1 취약 | 제공 자료에 해당 릴리스 수정판이 없어 별도 대응 확인 필요 |
| Debian forky·sid | pdns 5.1.5-1 및 pdns-recursor 5.4.9-1이 수정 상태 | 다른 릴리스에 이 버전을 그대로 설치하라는 의미는 아님 |
Ubuntu pdns·pdns-recursor | 문서에 나열된 16.04~26.10 릴리스 모두 Needs evaluation | 취약 확정이나 수정 완료로 해석하지 않음 |
배포판 보안 수정과 backport 해석
Debian trixie는 배포판 패키지 버전 4.9.18-0+deb13u1을 수정 기준으로 명시한다. 배포판 backport 등 보안 수정 여부는 상위 프로젝트 버전 숫자만 비교하지 말고, 해당 배포판의 전체 패키지 버전과 보안 추적기 상태로 판단한다. 제공 자료만으로 패치의 구체적인 backport 방식이나 상위 프로젝트 전체 영향 범위는 확정할 수 없다.
pdns와 pdns-recursor는 별도 소스 패키지다. 이번 DSA의 trixie pdns 수정판을 Recursor의 수정판으로 간주해서는 안 된다.
실행할 대응과 읽기 전용 점검표
공식적으로 확인된 조치는 Debian trixie의 pdns 패키지 업그레이드다. 제공된 원문에는 설정 변경으로 대체할 수 있는 공식 완화책이 없다.
- 운영체제 릴리스가 trixie인지, 다른 Debian 릴리스 또는 Ubuntu인지 조회한다.
- 설치된 PowerDNS 구성요소가
pdns계열인지pdns-recursor인지 패키지 정보로 구분한다. - 설치 버전과 패키지 출처를 읽기 전용으로 조회하고, 승인된 저장소의 업데이트 후보 버전을 확인한다.
- trixie
pdns는 수정 기준4.9.18-0+deb13u1과 대조한다. 더 새로운 후보는 해당 배포판의 보안 수정 포함 여부를 확인한다. - 서비스 상태, 최근 오류 로그, DNS 응답 지표를 조회해 업데이트 전 기준을 남긴다. 로그 이상만으로 이 CVE의 악용을 단정하지 않는다.
- bookworm, Recursor, Ubuntu는 각각의 공식 상태를 확인한다. 수정판이 확인되지 않은 대상에 trixie 패키지를 임의로 교차 설치하지 않는다.
실행할 대응과 읽기 전용 점검표 — 계속 1
영향 대상인 trixie pdns는 조직의 변경 절차에 따라 보안 업데이트를 적용한다. 이 글은 업데이트나 서비스 재시작을 실행하지 않았다.
업데이트 후 정상 업무 확인
- 실제 설치 버전이 승인한 수정 패키지로 바뀌었는지 확인한다.
- 서비스가 정상 동작하고 필요한 프로세스가 갱신되었는지 운영 절차에 따라 확인한다.
- 평소 사용하는 정상 DNS 질의로 주요 도메인의 응답과 응답 시간을 확인한다.
- 오류율, 시간 초과, 재시작 기록을 업데이트 전 기준과 비교한다.
- DNS를 사용하는 웹 접속, 메일 전달 등 해당 환경의 주요 업무가 정상인지 확인한다.
업데이트 후 정상 업무 확인 — 계속 2
공격 패킷이나 재현용 payload를 이용한 검증은 포함하지 않는다.
근거와 수집 확인일
Debian DSA-6587-1 원문은 2026년 10월 27일 공지이며, 제공 기록의 원본 수집 시각은 2026년 10월 29일 02:00 UTC다. 이 공지에서 서비스 거부 영향, trixie 수정 버전, 업그레이드 권고를 확인했다.
Debian CVE 추적기와 Ubuntu CVE 문서의 추가 수집 확인 시각은 2026년 11월 3일 03:25 UTC다. 두 문서는 제공 기록상 이번 수집에 성공했고 stale 또는 잘림 표시가 없다. 이 시각은 제공된 자동 수집 기록이며 편집자가 별도로 접속해 확인한 시각은 아니다.
남은 불확실성
상위 프로젝트의 전체 영향·수정 버전 범위, 세부 공격 전제조건, 공식 설정 완화책 및 실제 악용 여부는 제공 자료만으로 확정하지 못했다. Debian 추적기의 Recursor 항목은 불안정 배포판 수정 기준을 5.4.8-1, 현재 수정 상태 패키지를 5.4.9-1로 각각 표시한다. 이를 안정 릴리스의 수정판으로 확대 해석하지 않는다.
CVE JSON 출처는 404로 실패했고, 다른 두 Debian 공지는 관련 없는 자료로 분류되어 근거에서 제외했다. 원본 공지를 이번에 다시 수집한 것으로 표현하지 않는다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- 상위 프로젝트 전체 영향·수정 버전 범위와 세부 접근 조건은 제공 자료만으로 확정할 수 없다.
- Debian bookworm 및 안정 릴리스 pdns-recursor의 수정판은 제공 자료에서 확인되지 않는다.
- Ubuntu는 제공된 릴리스 모두 Needs evaluation이며 수정 패키지가 확인되지 않는다.
- 공식 설정 완화책과 실제 악용 여부는 확인되지 않았다.
- 원본 공지 수집일은 2026-10-29이며, 2026-11-03 추가 수집 성공은 Debian 추적기와 Ubuntu 문서에 한정된다.