[단독분석] 분석 — CVE-2026-27654

• 심각도 high · CVSS 8.2 · EPSS 0.25066 · 악용난이도 easy

• 원격 네트워크에서 인증 없이 HTTP DAV의 MOVE 혹은 COPY 메서드를 이용해 특수히 구성된 프리픽스‑location과 alias 지시문을 포함한 요청을 전송합니다.
• 해당 요청이 ngx_http_dav_module 내부 버퍼를 오버플로우시키면 NGINX 워커 프로세스가 비정상 종료하거나, 문서 루트 밖의 파일 경로명을 조작할 수 있습니다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N 은 네트워크를 통한 원격 공격이 인증·사용자 상호작용 없이 가능하고, 필요한 기술 수준이 낮음(난이도 easy)을 의미합니다. 실제 악용 조건은 NGINX 설정에 WebDAV 모듈이 활성화되고 MOVE 또는 COPY 메서드가 허용된 상태이며, prefix location과 alias 지시어가 함께 사용될 때 버퍼 오버플로우가 발생

• 기술적 위험
  • 워커 프로세스 비정상 종료 → 서비스 가용성 저하(DoS).
  • 파일명 조작으로 웹 컨텐츠 무단 수정 가능(무결성 손상)하지만, 워커가 낮은 권한으로 실행되므로 시스템 전체 장악은 제한됩니다.
• 비즈니스 리스크
  • 서비스 중단에 따른 SLA 위반 및 매출 손실.
  • 외부에 공개된 웹 페이지 변조 시 신뢰도 하락·규제(예: 개인정보 보호) 위반 가능성.
• 영향 범위
  • NGINX Open Source와 F5 NGINX Plus 전 제품군(다중 소스에서 일관성이 확인됨)에서 해당 모듈이 활성화된 경우 적용됩니다[교차검증].
  • 동일 취약점이 8개의 파생 제품에 존재하므로 공급망 차원에서 광범위한 노출 위험이 있습니다[품질 신호].

• 메모리‑오버플로우 기반의 다른 NGINX 모듈 취약점(CWE‑119)과 연계해 추가 권한 상승을 시도할 수 있으나, 현재 보고된 CVE에서는 워커 권한 제한으로 직접적인 체이닝 위험은 낮습니다.

• 로그: nginx 오류 로그에 “worker process exiting on signal 11” 또는 비정상 종료 메시지가 반복적으로 기록되는 경우.
• 네트워크: IDS/IPS에서 MOVE|COPY 메서드와 비정규적인 URI(프리픽스‑location + alias) 조합을 포함한 HTTP 요청 패턴을 감시합니다. 예시 시그니처: alert http any any -> $HOME_NET any (msg:"NGINX DAV Buffer Overflow"; flow:to_server,established; content:"MOVE "; http_method; pcre:"/\/.+\/.+/U"; classtype:web-application-attack; sid:202627654; rev:1;).
• 프로세스: 워커 프로세스의 비정상 종료 후 생성되는 core dump 파일을 분석합니다.

• 즉시 조치
  • dav_methods 지시문을 비활성화하거나, MOVE·COPY 메서드를 차단하는 WAF 규칙을 적용합니다.
  • 프리픽스‑location에 alias를 사용하고 있는 설정을 검토하고, 필요 시 정규식 기반 location으로 전환합니다.
• 근본 해결
  • NGINX 및 F5 NGINX Plus의 최신 보안 패치를 적용합니다(패치가 배포된 경우).
  • 취약 모듈 사용이 불필요하면 완전히 제거하고, 구성 파일에 dav_methods off;를 명시적으로 설정합니다.
• 추가 방어
  • 워커 프로세스의 비정상 종료 알림을 모니터링 시스템에 연동하고, 발생 시 자동 재시작 및 로그 수집을 강화합니다.
  • EPSS 0.25066(높은 실측 악용 가능성)과 CVSS 8.2를 근거로 이번 주 내 우선순위 높은 작업으로 스케줄링합니다[우선순위 결정].

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.2 · non-KEV · EPSS=0.25066 · exploit=easy · in_scope=None