[분석가] 분석 — CVE-2026-27135

• 심각도 high · CVSS 7.5 · EPSS 0.00775 · 악용난이도 moderate

공격자는 HTTP/2 세션 종료 단계에서 내부 상태 검증 미비점을 악용합니다. nghttp2_session_terminate_session 또는 nghttp2_session_terminate_session2 API 호출 이후에도 라이브러리가 데이터를 계속 읽어들이는 허점을 이용해, 정교하게 조작된 malformed frame을 전송함으로써 FRAME_SIZE_ERROR를 유발하고 최종적으로 assertion failure를 일으켜 프로세스를 강제 종료시킵니다.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터를 가지며, 인증되지 않은 외부 공격자가 네트워크를 통해 특수하게 조작된 HTTP/2 프레임을 전송함으로써 원격으로 트리거할 수 있어 진입 장벽이 매우 낮습니다. 공격 표면은 nghttp2 라이브러리를 사용하여 HTTP/2 프로토콜을 처리하는 모든 엔드포인트이며, 특히 세션 종료 API(nghttp2_session_terminate_session 등) 호출 이후 상태 검증 없이 유입되는 malformed frame이 직접적인 트리거 조건이 됩니다. 이론적으로는 원격에서 서비스 거부(DoS)를 유발할 수 있는 구조이나, EPSS 수치가 0.00775로 낮고 KEV에 등재되지 않은 점은 현재 실제 야생(in-the-wild)에서의 대규모 악용 사례가 미관측되었음을 시사합니다. 따라서 공격 난이도는 매우 낮으나, 실제 악용 가능성은 특정 라이브러리 버전과 애플리케이션의 세션 관리 로직이 맞물려야 하는 조건부 특성으로 인해 Moderate 수준으로 판단됩니다. 결과적으로 공격자는 정교한 페이로드보다는 프로토콜 규격의 허점을 이용해 Assertion failure를 유도하는 방식을 취할 것으로 분석됩니다.

• 기술적 위험: 본 취약점은 가용성(Availability)에 직접적인 영향을 미치는 Denial-of-Service(DoS) 유형입니다. 공격 성공 시 대상 애플리케이션의 Crash가 발생하며, 이는 서비스 중단으로 이어집니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)에 따라 인증 없이 네트워크를 통해 원격에서 낮은 난이도로 실행 가능합니다.
• 비즈니스 리스크: nghttp2는 광범위하게 사용되는 C 기반 HTTP/2 구현체이므로, 이를 사용하는 웹 서버나 프록시의 가용성이 훼손될 경우 서비스 불능 상태에 빠질 수 있습니다. 이는 비즈니스 연속성 저해 및 사용자 신뢰도 하락으로 연결됩니다.
• 노출 규모: nghttp2 v1.68.1 미만 버전을 사용하는 모든 시스템이 영향 범위에 포함됩니다.

특정 CVE와의 연계는 확인되지 않았으나, HTTP/2 프로토콜의 프레임 처리 로직에서 발생하는 상태 관리 오류(State Machine Error) 패턴의 취약점으로 분류할 수 있습니다. 추정: 다른 DoS 취약점과 체이닝될 경우 서비스 복구 시간을 지연시키는 효과를 낼 수 있습니다.

• 애플리케이션 로그: assertion failure 또는 FRAME_SIZE_ERROR와 관련된 Crash dump 및 에러 로그 모니터링.
• 네트워크 패턴: 세션 종료 요청 이후 비정상적으로 큰 사이즈의 프레임이나 규격에 맞지 않는 malformed frame이 유입되는 트래픽 패턴 분석.

• 근본 해결: nghttp2 라이브러리를 v1.68.1 이상으로 업데이트하여 누락된 내부 상태 검증 로직을 적용하십시오.
• 즉시 조치: 패치가 불가능한 경우, 추정: Edge 단(WAF/Load Balancer)에서 HTTP/2(ALPN "h2") 트래픽을 일시적으로 제한하거나 비정상 프레임을 필터링하는 설정을 검토하십시오. (단, 공식적인 workaround는 제공되지 않음)

분석 근거: 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며(신뢰도 1.0), 실측 EPSS 값(0.00775, 백분위 0.52199)과 CVSS 7.5를 종합하여 악용 가능성을 moderate로 평가했습니다. KEV 미등재 및 낮은 EPSS 수치를 근거로 우선순위를 scheduled(이번 주 내 대응)로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00775 · exploit=moderate · in_scope=None