Ubuntu Unbound 운영자는 릴리스별 수정 패키지를 확인하세요
이번 확인에서 다루는 공개 식별자: CVE-2023-50387, CVE-2023-50868, CVE-2026-32665, CVE-2026-40691, CVE-2026-44690, CVE-2026-50252, CVE-2026-55973, CVE-2026-80225, CVE-2026-81634, CVE-2026-85501. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Ubuntu의 USN-8946-1 공식 공지는 Unbound의 서비스 거부와 캐시 오염 취약점에 대한 수정 패키지를 제공합니다. 공지 발행일은 2026년 10월 21일이며, 제공된 원문 수집 시각은 2026년 10월 25일 22:17 UTC입니다.
Unbound 서버뿐 아니라 libunbound를 사용하는 애플리케이션도 설치 패키지와 사용 경로를 확인해야 합니다. 모든 Ubuntu 설치가 영향을 받는다는 뜻은 아닙니다. 설치 여부, 릴리스, 패키지 수정 상태, 관련 기능 사용 여부를 함께 판단하세요.
이 글은 같은 사건에 추가된 공식 근거를 반영한 검토 초안입니다. 실제 게시나 시스템 변경은 수행하지 않았습니다. 다른 대응 자료는 보안 허브에서 확인할 수 있습니다.
어떤 조건에서 영향을 받나
다음 릴리스 범위는 USN이 명시한 범위입니다. 표에 포함된 릴리스라도 실제 영향 여부는 설치 패키지와 수정 상태에 따라 달라집니다. USN은 각 취약점의 정확한 최초 영향 패키지 버전을 제시하지 않습니다.
| CVE | 처리 경로와 예상 영향 | USN에 명시된 영향 릴리스 |
|---|---|---|
| CVE-2026-80225 | 특정 TCP 연결 처리 중 자원 소모로 서비스 거부 가능 | 26.04, 24.04, 22.04, 20.04 LTS |
| CVE-2026-81634 | 특정 DNS 응답 처리 중 충돌로 서비스 거부 가능 | 공지 대상 7개 LTS 릴리스, 별도 제한 없음 |
| CVE-2026-85501 | DNSSEC 검증 중 특정 DNS 응답 처리로 자원 소모 가능 | 공지 대상 7개 LTS 릴리스, 별도 제한 없음 |
| CVE-2026-50252 | 송신 네트워크 포트 처리 중 충돌로 서비스 거부 가능 | 공지 대상 7개 LTS 릴리스, 별도 제한 없음 |
| CVE-2026-40691 | 특정 DNSCrypt 패킷 처리 중 충돌로 서비스 거부 가능 | 26.04, 24.04, 22.04, 20.04, 18.04 LTS |
| CVE-2026-44690 | 특정 캐시된 DNS 응답 처리로 캐시 오염 가능 | 26.04, 24.04, 22.04, 20.04 LTS |
| CVE-2026-32665 | 특정 DNS-over-QUIC 연결 처리로 자원 소모 가능 | 26.04 LTS |
| CVE-2026-55973 | 특정 EDNS 옵션 처리 중 충돌로 서비스 거부 가능 | 26.04 LTS |
| CVE-2023-50387 | DNSSEC 메시지 검증 중 자원 소모로 서비스 거부 가능 | 이번 USN에서는 18.04, 16.04, 14.04 LTS |
| CVE-2023-50868 | NSEC3 closest encloser proof 준비 중 자원 소모 가능 | 이번 USN에서는 18.04, 16.04, 14.04 LTS |
어떤 조건에서 영향을 받나 — 계속 1
DNSCrypt·DNS-over-QUIC·DNSSEC 관련 항목은 해당 처리 경로의 사용 여부를 확인해야 합니다. 제공된 공지만으로 세부 설정별 도달 가능성이나 모든 영향 조건을 확정할 수는 없습니다. 특정 기능을 사용하지 않는다는 이유만으로 다른 취약점까지 해소됐다고 판단하지 마세요.
릴리스별 수정 패키지와 지원 조건
아래는 USN이 제시한 수정 패키지 버전입니다. 운영 중인 릴리스의 공식 저장소에서 해당 수정판 또는 이를 포함하는 후속 보안 패키지를 적용하세요.
| Ubuntu LTS | 대상 패키지 | USN 수정 버전 | 공지의 제공 조건 |
|---|---|---|---|
| 26.04 | unbound, libunbound8 | 1.24.2-1ubuntu2.4 | 일반 업데이트 |
| 24.04 | unbound, libunbound8 | 1.19.2-1ubuntu3.12 | 일반 업데이트 |
| 22.04 | unbound, libunbound8 | 1.13.1-1ubuntu5.17 | 일반 업데이트 |
| 20.04 | unbound, libunbound8 | 1.9.4-2ubuntu1.11+esm3 | Ubuntu Pro |
| 18.04 | unbound, libunbound2 | 1.6.7-1ubuntu2.6+esm6 | Ubuntu Pro |
| 16.04 | unbound, libunbound2 | 1.5.8-1ubuntu1.1+esm5 | Ubuntu Pro 및 Legacy Support 추가 기능 |
| 14.04 | unbound, libunbound2 | 1.4.22-1ubuntu4.14.04.3+esm5 | Ubuntu Pro 및 Legacy Support 추가 기능 |
릴리스별 수정 패키지와 지원 조건 — 계속 2
배포판 backport는 전체 패키지 버전으로 판단해야 합니다. Ubuntu는 기존 기반 버전에 보안 수정을 반영할 수 있으므로 1.4나 1.6 같은 상위 버전 숫자만 보고 미수정 상태라고 단정할 수 없습니다. 반대로 다른 릴리스의 버전 문자열과 단순 비교해서 안전하다고 판단해서도 안 됩니다.
Ubuntu Pro가 필요한 시스템에서 수정 후보가 보이지 않으면 지원 계약, 저장소 활성화 상태와 패키지 출처를 확인하세요. 자체 빌드나 제3자 패키지에는 이 표의 수정 여부를 그대로 적용할 수 없습니다.
대응 우선순위와 공식 완화책
USN은 일반적인 시스템 업데이트로 필요한 변경을 적용할 수 있다고 안내합니다. 이 공지의 실행 가능한 대응은 해당 릴리스의 수정 패키지 적용입니다. 제공된 USN에는 업데이트를 대체할 설정 완화책이 없습니다.
| 운영 상황 | 편집상 대응 우선순위 | 판단 근거 |
|---|---|---|
| 외부 질의를 받거나 여러 업무가 의존하는 미수정 리졸버 | 우선 처리 | 장애 발생 시 DNS 의존 업무로 영향이 확산될 수 있음 |
내부 전용 리졸버 또는 libunbound 사용 애플리케이션 | 사용 경로를 확인하고 업데이트 일정 수립 | 내부 사용만으로 취약 처리 경로가 사라지는 것은 아님 |
| 수정 패키지가 설치된 시스템 | 실행 프로세스와 업무 정상 여부 확인 | 설치 상태와 실행 중 코드의 상태를 함께 확인할 필요가 있음 |
| 대상 패키지가 없는 시스템 | 직접 대응 대상에서 제외하되 별도 설치 확인 | 컨테이너·자체 빌드·애플리케이션 포함본은 별도 확인 필요 |
대응 우선순위와 공식 완화책 — 계속 3
이 우선순위는 운영 영향에 따른 편집 판단입니다. 제공된 Ubuntu 공지에는 개별 CVE의 심각도나 실제 악용 여부가 명시되어 있지 않습니다.
KeyTrap 관련 BIND 자료를 Unbound에 적용하지 않기
추가 수집된 ISC의 CVE-2023-50387 공지는 BIND 9 자료입니다. ISC는 DNSSEC 검증 리졸버의 CPU 고갈 문제를 High, CVSS 7.5로 평가합니다. 이 등급을 Ubuntu Unbound 공지 전체에 적용할 근거는 없습니다.
ISC가 명시한 BIND 영향 범위는 9.0.0~9.16.46, 9.18.0~9.18.22, 9.19.0~9.19.20이며, 9.11.37 이전은 평가하지 않았다는 주석이 있습니다. 수정판은 9.16.48, 9.18.24, 9.19.21입니다. Supported Preview Edition의 영향 범위는 9.9.3-S1~9.16.46-S1, 9.18.11-S1~9.18.22-S1이고, 9.11.37-S1 이전은 미평가입니다. 수정판은 9.16.48-S1, 9.18.24-S1입니다. 영향 범위와 수정판 사이의 미기재 버전 상태는 추정하지 않습니다.
ISC는 DNSSEC 검증을 완전히 끄면 해당 BIND 취약점을 제거할 수 있다고 설명하면서도 이를 권장하지 않고 패치를 강하게 권고합니다. 이 안내를 Unbound의 공식 완화책으로 전용해서는 안 됩니다. ISC의 당시 공지는 알려진 실제 악용이 없다고 밝혔으나, 이를 2026년 현재 악용 부재의 증거로 볼 수는 없습니다.
업데이트 전 읽기 전용 점검표
다음 명령은 Ubuntu 릴리스, 설치 패키지, 로컬 저장소 정보와 서비스 상태를 조회하는 예시입니다. 이 검토에서는 실행하지 않았습니다.
cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' unbound libunbound8 libunbound2
apt-cache policy unbound libunbound8 libunbound2
systemctl status unbound --no-pager업데이트 전 읽기 전용 점검표 — 계속 4
- 설치되지 않은 패키지나 서비스에 대한 오류는 해당 구성 요소가 없다는 점을 확인하는 단서로 사용합니다.
apt-cache policy는 로컬 패키지 목록을 사용하므로 오래된 목록은 최신 수정 후보를 반영하지 못할 수 있습니다.- 설치 버전을 같은 릴리스의 USN 수정 버전과 비교하고 패키지 출처를 확인합니다.
- 실제 서비스 설정에서 재귀 질의 허용 범위, DNSSEC 검증, DNSCrypt 및 DNS-over-QUIC 사용 여부를 확인합니다.
libunbound의존 애플리케이션, 컨테이너와 자체 빌드가 있는지 자산 목록과 배포 기록을 대조합니다.- 업데이트 전 DNS 응답 시간, 오류율, CPU·메모리 사용량을 기존 모니터링에서 기록합니다.
업데이트 적용과 정상 업무 확인
운영 변경 절차에 따라 공식 저장소의 수정 패키지를 적용하고, 서비스나 라이브러리 사용 프로세스에 수정 코드가 반영되었는지 확인하세요. 제공된 USN은 재부팅이나 특정 재시작 명령을 별도로 명시하지 않으므로 모든 시스템에 동일한 재시작 절차가 필요하다고 단정하지 않습니다.
- 업데이트 후 설치된 전체 패키지 버전을 다시 확인합니다.
- Unbound 서비스 상태와 로그에서 시작 실패, 설정 오류, 반복 종료가 없는지 확인합니다.
- 승인된 정상 도메인으로 내부·외부 이름 해석이 기존 정책대로 동작하는지 확인합니다.
- DNSSEC를 사용하는 환경은 검증 동작이 유지되는지 기존 운영 점검으로 확인합니다.
- DNS에 의존하는 로그인, 메일, API 호출 등 대표 업무를 확인합니다.
- 업데이트 전후 응답 시간, 실패율, CPU·메모리 사용량을 비교합니다.
업데이트 적용과 정상 업무 확인 — 계속 5
이 확인은 정상 업무 검증이며 공격 재현이나 침해 판정이 아닙니다. 패치 완료와 정상 동작 여부는 운영자가 실제 결과를 기록해야 합니다.
근거 확인 범위와 남은 불확실성
Ubuntu USN-8946-1의 제공 본문은 일부 중복 구간이 있으나 영향 설명과 릴리스별 수정 패키지 표가 포함되어 있고 truncated=false입니다. 원문 수집일은 2026년 10월 25일이며, 이번 답변에서 외부 재접속은 하지 않았습니다.
추가 ISC 공지와 CVE-2023-50387 레코드, CVE-2023-50868 레코드의 수집·확인 시각은 2026년 11월 1일 03:38 UTC입니다. 두 CVE 레코드는 선택된 CNA 필드가 제공됐지만 전체 원문에는 잘림 표시가 있으므로 완전한 원문 확인으로 취급하지 않습니다. MSRC 자료는 수집 실패로 근거에서 제외했습니다.
정확한 최초 영향 패키지 버전, 개별 Ubuntu 취약점의 심각도, 현재 실제 악용 여부와 개별 시스템의 노출·침해 상태는 확인되지 않았습니다. 이 정보의 부재가 USN의 명확한 수정 패키지 적용 근거를 없애지는 않습니다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- USN은 정확한 최초 영향 패키지 버전과 개별 취약점의 심각도를 제시하지 않는다.
- 현재 실제 악용 여부와 운영 환경의 설치·노출·침해 상태는 확인되지 않았다.
- MSRC 자료는 수집 실패로 제외했으며, 두 CVE 레코드는 전체 원문 잘림 표시가 있어 완전 확인 자료가 아니다.
- 제공된 수집본만 검토했으며 외부 재접속, 테스트, 패치 적용 또는 게시를 수행하지 않았다.
- 기존 게시 URL은 제공되지 않았다. 같은 사건의 후속 검토이며 별도 사건이나 발행 완료를 의미하지 않는다.