[CVE] CVE-2026-46716

주의: 이 글은 AI 자동 작성되었습니다. 반드시 재검증해야 합니다. 내용의 오류가 있을 경우 댓글 작성 부탁드립니다.

핵심 요약

CVE-2026-46716은 Nezha Monitoring의 권한 경계가 무너지는 문제입니다. 취약한 버전 범위는 1.4.0부터 2.0.8 이전까지이며, RoleMember 권한의 사용자가 예약 작업(scheduled cron task)을 만들 때 Cover=CronCoverAll, Servers=[], 임의의 Command를 조합할 수 있습니다.

문제의 핵심은 스케줄러가 매 틱마다 해당 명령을 전역 ServerShared 맵에 있는 모든 서버로 밀어 넣는 동작에 있습니다. 그 결과 공격자는 자신이 소유하지 않은 다른 테넌트의 서버, 심지어 관리자 서버까지도 실행 대상에 포함시키는 흐름을 만들 수 있습니다. 실행 결과는 공격자 소유의 NotificationGroup과 웹훅으로 전달될 수 있어, 원격 명령 실행과 정보 유출이 결합된 형태로 악용될 수 있습니다.

공식 설명 기준으로는 버전 2.0.8에서 패치되었습니다.

기술 배경

Nezha Monitoring은 서버와 웹사이트를 모니터링하고 운영 작업을 수행하는 경량 자가호스팅 도구입니다. 이런 계열의 제품은 일반적으로 다음과 같은 구성 요소를 가집니다.

대시보드에서 작업을 생성·관리하는 관리 평면 여러 에이전트(agent)가 설치된 서버 집합 예약 작업이나 알림 기능을 통해 명령 실행 결과를 수집하는 경로

이번 이슈는 예약 작업이 어떤 서버에 배포되어야 하는지 결정하는 로직과, 실제로 에이전트가 작업을 실행하는 대상 선정이 일치하지 않으면서 발생합니다. 사용자가 Servers=[]로 비워 둔 상태에서도 Cover=CronCoverAll이 결합되면, 작업이 글로벌 서버 집합으로 확장되어 전달되는 구조가 문제의 중심입니다.

또한 결과가 NotificationGroup을 통해 전달되는 구조는 단순히 명령을 실행하는 데서 끝나지 않고, 실행 출력이 공격자 통제 하의 외부 채널로 유출될 수 있음을 의미합니다. 따라서 이 취약점은 권한 상승이나 단일 서버 오남용 수준을 넘어, 다중 테넌트 환경의 경계 붕괴로 해석하는 편이 적절합니다.

공격자 관점에서 볼 부분

공격자 입장에서 가장 매력적인 지점은 낮은 권한의 RoleMember만으로도 예약 작업을 만들 수 있다는 점입니다. 즉, 관리자 권한이 없어도 스케줄러의 실행 경로를 악용해 다른 서버들에 명령을 흘려보낼 수 있습니다.

이 유형의 취약점은 보통 다음과 같은 이유로 위험도가 커집니다.

테넌트 분리가 전제된 환경에서 다른 사용자의 서버에 간접적으로 접근 가능 관리자 서버를 포함한 전역 대상에 명령이 전달될 가능성 에이전트가 명령을 실행한 결과가 공격자에게 되돌아오는 구조 정기 실행이므로 단발성보다 반복적 악용이 쉬움

특히 결과가 공격자 통제 웹훅으로 전달된다는 점은 운영 환경에서 매우 민감합니다. 명령 실행 자체가 목적이 아니더라도, 서버 정보, 환경 변수, 오류 메시지, 시스템 응답 등 유의미한 데이터가 유출될 수 있기 때문입니다. 또한 반복 실행 구조는 탐지 이전에 지속적인 데이터 수집이나 장애 유발로 이어질 수 있습니다.

영향 범위

공식 설명에 따르면 영향받는 버전은 1.4.0부터 2.0.8 이전까지입니다.

영향이 미칠 수 있는 대상은 Nezha Monitoring을 사용하는 환경 전반이지만, 특히 다음과 같은 구성이 더 민감합니다.

다중 테넌트 형태로 운영되는 인스턴스 여러 서버를 한 대시보드에서 관리하는 환경 NotificationGroup과 외부 웹훅을 적극적으로 사용하는 운영 구성 RoleMember 계정이 예약 작업 생성 권한을 갖는 구성

영향은 기밀성, 무결성, 가용성 모두에 걸쳐 큽니다. CVSS 3.1 기준 9.9점, Critical로 평가되어 있으며 벡터는 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H입니다. 이는 네트워크를 통해 낮은 권한으로도 악용 가능하고, 영향 범위가 시스템 경계를 넘어 확장되며, 결과적으로 높은 수준의 기밀성·무결성·가용성 손상을 초래할 수 있음을 뜻합니다.

대응 및 패치

공식 설명상 이 문제는 버전 2.0.8에서 패치되었습니다. 따라서 가장 직접적인 대응은 해당 버전 이상으로 업데이트하는 것입니다.

운영 측면에서는 예약 작업 생성 권한과 서버 대상 지정 로직을 다시 점검해야 합니다. 특히 RoleMember가 어떤 조건에서 크론 작업을 만들 수 있는지, 그리고 Cover와 Servers 조합이 실제로 어떤 서버 집합으로 확장되는지 확인하는 것이 중요합니다. 또한 외부 웹훅으로 전달되는 알림 경로는 민감 정보가 포함되지 않도록 최소화하는 편이 안전합니다.

즉시 업그레이드가 어렵다면, 해당 기능의 사용을 제한하고 예약 작업 생성 주체를 엄격히 분리하는 임시 통제가 필요합니다. 다만 이 부분은 제품의 구체적 설정에 따라 달라질 수 있으므로, 실제 적용 가능 여부는 확인 필요입니다.