Debian Unbound 보안 업데이트: trixie 수정 패키지와 DNS 운영 점검

Debian trixie는 Unbound 수정 패키지로 업데이트

이번 확인에서 다루는 공개 식별자: CVE-2026-109125, CVE-2026-35501, CVE-2026-50106, CVE-2026-96405, CVE-2026-97206. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Debian의 DSA-6581-1은 Unbound 취약점 5건을 안내하고, Debian 13(trixie)의 수정 버전을 1.26.2-0+deb13u1로 명시한다. trixie에서 Unbound를 운영한다면 설치 패키지와 업데이트 후보를 확인하고 보안 업데이트를 적용해야 한다.

이번 검토는 동일 사건에 추가된 공식 근거를 함께 평가한 초안이다. 별도 후속 사건을 의미하지 않는다. 제공 자료에는 기존 게시 URL이 없다.

취약점별 영향 조건과 대응 판단

취약점별 영향 조건과 대응 판단 — 계속 1

이 표는 영향 조건에 따른 점검 순서를 제시한다. 모든 설치에서 각 취약점이 발생한다고 해석해서는 안 된다. 특히 CVE-2026-109125는 공식 설명상 기본 구성에서 공격이 성립하지 않는다.

버전은 배포판 패키지 기준으로 비교

버전은 배포판 패키지 기준으로 비교 — 계속 2

배포판은 이전 업스트림 버전에 보안 패치를 backport할 수 있으므로 숫자의 앞부분만으로 취약 여부를 판정하면 안 된다. 다만 이번 자료에서 bookworm의 위 두 패키지는 CVE-2026-109125에 대해 취약 상태로 명시됐다. trixie의 수정 결과를 bookworm이나 다른 배포판에 일반화할 수 없다.

우선순위와 공식 대응

trixie Unbound 운영자는 보안 업데이트를 적용하는 것이 공식 대응이다. DNS-over-QUIC와 다중 스레드를 함께 사용하는 환경, 별도의 독립 신뢰 앵커를 구성한 환경, unwanted-reply-threshold를 양수로 설정한 환경은 관련 조건을 먼저 확인한다. DNS 장애가 업무에 미치는 영향과 유지보수 창을 함께 고려해 적용 순서를 정한다.

Medium과 Low로 확인된 두 건도 수정판과 실질적인 조치가 있으므로 대응 대상에 포함한다. 나머지 세 건에는 제공 자료에 없는 심각도를 붙이지 않는다. 제공 자료는 실제 악용이나 KEV 등재를 확인하지 않으며, 현재 환경의 침해 여부도 보여주지 않는다.

제공된 공식 발췌에는 패치 외의 별도 완화 절차가 없다. 영향 조건에 등장한 설정을 임의로 바꾸거나 DNSSEC 검증을 끄는 것을 공식 완화책으로 제시하지 않는다.

읽기 전용 사전 점검

다음 명령은 설치 버전, 현재 로컬 패키지 인덱스의 후보 버전, 서비스 상태와 설정값을 조회한다. 이 글 작성 과정에서 실행하지 않았다.

cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' unbound
apt-cache policy unbound
systemctl status unbound --no-pager
unbound-checkconf
unbound-checkconf -o unwanted-reply-threshold
unbound-checkconf -o num-threads
unbound-checkconf -o quic-port
unbound-checkconf -o trust-anchor

읽기 전용 사전 점검 — 계속 3

• 패키지 조회 결과와 실제 서비스가 사용하는 실행 파일·설정 경로가 일치하는지 확인한다. 컨테이너와 별도 설치본도 점검 범위에 포함한다.
• apt-cache policy는 로컬 인덱스 기준이다. 후보가 보이지 않는다는 사실만으로 공식 수정 패키지가 없다고 결론 내리지 않는다.
• 설정 조회는 서비스가 사용하는 설정 파일을 대상으로 수행한다. 사용자 지정 경로와 포함 파일을 확인한다.
• trust-anchor 출력만으로 부모 영역의 보안 상태를 확정하지 않는다. 루트 신뢰 앵커와 독립 보안 영역의 구성 의도를 함께 검토한다.
• DNS-over-QUIC 수신 설정과 스레드 수를 확인한다. 오래된 버전이 옵션을 인식하지 못하면 구성 파일과 운영 문서로 확인한다.
• 실제 외부 노출과 접근 제어는 기존 구성·자산 기록으로 확인하며, 공격성 패킷이나 재현 절차는 사용하지 않는다.

업데이트와 정상 업무 확인

trixie에서는 승인된 패키지 관리 절차로 Unbound 보안 업데이트를 적용한다. 패키지 설치 뒤에는 배포 절차에 따라 서비스 재시작 필요 여부와 실행 중 프로세스 반영 상태를 확인한다. 설치 버전이 바뀐 것만으로 실행 중 서비스까지 수정됐다고 단정하지 않는다.

• 설치 패키지가 1.26.2-0+deb13u1 또는 수정 사항을 포함하는 후속판인지 확인한다.
• 설정 검사가 통과하고 서비스가 정상 실행되는지 확인한다.
• 평소 사용하는 내부·외부 도메인의 정상 질의와 애플리케이션 이름 해석을 확인한다.
• DNSSEC를 사용하는 환경은 기존 정상 검증 사례가 유지되는지 확인한다.
• 사용하는 경우 DNS-over-QUIC 클라이언트의 정상 연결과 질의를 확인한다.
• 오류 로그, 질의 지연, 실패율을 변경 전 기준과 비교한다. 이상이 있으면 조직의 복구 절차를 따른다.

업데이트와 정상 업무 확인 — 계속 4

이 확인은 운영자가 수행할 검증 항목이며, 패치 적용·테스트 성공·침해 부재를 이 문서가 보증하지 않는다.

근거와 수집 확인일

Debian 공지일은 2026년 10월 23일이다. 제공 기록상 원본 DSA 수집일은 2026년 10월 25일 UTC, 추가 CNA 기록 2건과 Debian 추적표의 수집·확인일은 2026년 11월 2일 07:51 UTC다. 이는 제공된 자동 수집 기록의 시각이며 편집자가 직접 재접속한 시각이 아니다.

• Debian DSA-6581-1 원문
• Debian CVE-2026-109125 추적표
• NLnet Labs CNA의 CVE-2026-109125 기록
• NLnet Labs CNA의 CVE-2026-35501 기록

남은 불확실성

CNA 원본 2건은 전체 원문 잘림 표시가 있지만, 선택된 CNA 필드에는 영향 조건·버전·수정판이 포함돼 있고 해당 발췌 자체는 잘리지 않은 것으로 기록됐다. 이를 전체 원문을 확인한 것으로 취급하지 않았다. CVE-2026-50106·CVE-2026-96405·CVE-2026-97206의 상세 업스트림 영향 범위와 등급은 추가 확인이 필요하다. Ubuntu 페이지 수집 실패는 새로운 확인 결과가 아니며, Ubuntu 수정 상태의 근거로 사용하지 않았다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

• CNA 원본 2건은 전체 원문 잘림 표시가 있다. 필요한 영향·수정 정보가 포함된 선택 필드만 근거로 사용했다.
• CVE-2026-50106·CVE-2026-96405·CVE-2026-97206의 상세 업스트림 영향 버전과 심각도는 제공 자료로 확인되지 않는다.
• bookworm의 CVE-2026-109125 수정 패키지는 제공 추적표에서 확인되지 않는다.
• Ubuntu 공식 페이지 수집이 실패해 릴리스별 수정 상태를 확인할 수 없다.
• 패치 외 공식 완화 절차, 실제 악용 여부, 운영 환경의 설치·침해·패치 반영 상태는 확인되지 않았다.