[방어] 분석 — CVE-2026-27135

• 심각도 high · CVSS 7.5 · EPSS 0.00775 · 악용난이도 moderate

공격자는 nghttp2 라이브러리를 사용하는 애플리케이션에 HTTP/2 연결을 수립한 뒤, 세션 종료를 유발하는 특정 조건(또는 API 호출)을 생성합니다. 세션이 종료된 상태임에도 라이브러리가 잔여 데이터를 계속 읽어들이는 설계 결함을 이용해, 의도적으로 조작된 malformed frame을 전송합니다. 이때 내부 상태 검증 누락으로 인해 FRAME_SIZE_ERROR가 발생하며, 최종적으로 assertion failure를 일으켜 프로세스를 강제 종료(Crash)시킵니다.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 보여주듯, 인증이나 사용자 상호작용 없이 네트워크를 통해 원격에서 공격이 가능한 구조로 공격 난이도가 매우 낮습니다. 공격 표면은 HTTP/2 프로토콜을 사용하는 엔드포인트이며, 특히 nghttp2 라이브러리를 사용하는 웹 서버나 프록시의 세션 종료 처리 과정이 주요 타겟입니다. 공격자는 세션 종료 API(nghttp2_session_terminate_session)가 호출된 시점에 정교하게 조작된 Malformed Frame을 전송하여 내부 상태 검증 누락을 유도하고, 최종적으로 Assertion Failure를 일으켜 서비스 거부(DoS)를 유발할 수 있습니다. EPSS 수치가 0.00775로 낮고 KEV에 등재되지 않은 점은 현재 대규모 자동화 공격이 관측되지 않았음을 의미하지만, 이는 이론적 심각도와 별개로 실제 환경에서 트리거 조건만 맞으면 즉시 악용될 수 있는 잠재적 위협입니다. 결과적으로 낮은 진입 장벽과 프로토콜 레벨의 취약점 특성상, HTTP/2 트래픽이 노출된 모든 접점이 공격 경로가 될 가능성이 큽니다.

• 가용성 상실 (DoS): 취약한 라이브러리를 사용하는 서버 프로세스가 Assertion Failure로 인해 즉각 종료됩니다.
• 서비스 중단: HTTP/2 통신을 처리하는 프록시, 웹 서버 및 API 게이트웨이의 가동 중단으로 이어집니다.

• 유형 연계: 프로토콜 파싱 단계에서의 상태 머신(State Machine) 불일치로 인한 Crash 패턴입니다.
• 체이닝 가능성: 단독으로는 DoS만 유발하지만, 오케스트레이션 환경에서 자동 재시작 메커니즘이 작동할 경우 반복적인 요청을 통해 지속적인 서비스 불가 상태를 유지하는 'Persistent DoS' 형태로 활용될 수 있습니다.

본 취약점은 패킷 레벨의 비정상 프레임과 애플리케이션 레벨의 Crash 로그가 핵심 지표입니다.

1. 로그 및 지표

• Application Log: assertion failed, SIGABRT 또는 nghttp2 관련 세그멘테이션 폴트 로그 확인.
• Network Traffic: HTTP/2 세션 종료 신호 이후에 전송되는 비정상적인 크기의 프레임(Malformed Frame).

2. 탐지 규칙 예시 (SIEM/IDS)

• Rule 1 (Crash 패턴): 프로세스 종료 이벤트와 nghttp2 라이브러리 로드 상태를 결합하여 탐지.
  • SELECT timestamp, host FROM logs WHERE event_id = 'process_crash' AND fault_address LIKE '%nghttp2%'
• Rule 2 (비정상 프레임 시그니처): HTTP/2 FRAME_SIZE_ERROR 유발 패턴 탐지 (추정: 세션 종료 후 대량의 무작위 데이터 전송).
  • IF (session_state == 'TERMINATING') AND (incoming_frame_size > MAX_ALLOWED_FRAME_SIZE) THEN ALERT
• Rule 3 (반복적 Crash): 단일 IP에서 짧은 시간 내에 다수의 HTTP/2 연결 종료 및 프로세스 재시작 발생.
  • COUNT(process_restart) BY source_ip GROUP BY 1m HAVING count > threshold

3. 오탐 튜닝 및 시나리오

• 오탐: 네트워크 불안정으로 인한 비정상적인 패킷 유입이나, 정상적인 클라이언트의 프로토콜 구현 오류로 인한 FRAME_SIZE_ERROR.
• 튜닝: 단순 에러 로그보다는 Assertion failure로 인한 프로세스 '종료' 이벤트와 결합하여 탐지 우선순위를 높여야 합니다.

다중 소스 데이터의 일관성이 확인되었으며, EPSS 0.00775(moderate) 수치는 실제 악용 가능성이 낮으나 CVSS 7.5의 심각도를 고려해 이번 주 내(scheduled) 대응을 권고합니다.

1. 즉시 (긴급 차단)

• 조치: WAF 또는 L7 로드밸런서에서 HTTP/2 프로토콜 검사(Protocol Validation)를 강화하여 비정상적인 프레임 크기나 구조의 패킷을 드랍 처리합니다.
• 난이도: 낮음 / 운영 영향: 매우 낮음 / 검증: WAF 차단 로그 확인 / 우선순위: 최우선

2. 단기 (완화)

• 조치: nghttp2를 사용하는 서비스의 프로세스 모니터링 및 자동 재시작(Auto-healing) 설정을 점검하여 DoS 발생 시 가동 시간을 최소화합니다.
• 난이도: 낮음 / 운영 영향: 없음 / 검증: Crash 후 복구 시간 측정 / 우선순위: 중간

3. 근본 (해결)

• 조치: nghttp2 라이브러리를 v1.68.1 이상으로 업데이트합니다. 해당 버전에서 내부 상태 검증 로직이 추가되어 Assertion failure가 방지됩니다.
• 난이도: 보통(빌드/배포 필요) / 운영 영향: 낮음(재시작 필요) / 검증: nghttp2 버전 확인 및 PoC 시나리오 테스트 / 우선순위: 높음

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00775 · exploit=moderate · in_scope=None