MLflow 추적 서버의 비인증 SSRF 취약점(CVE-2026-115886)은 인증 없이 접근 가능한 서버에서 제3자 스코어러(third-party scorer)의 kwargs 인자를 악용해 발생합니다. 공격은 scorer invoke, register, GenAI evaluate 엔드포인트로 이루어집니다.
CVE-2026-115886: GenAI 평가 엔드포인트 기반 SSRF
최근 MLflow 추적 서버에서 서버 측 요청 위조(SSRF) 취약점이 발견됐고 CVE-2026-115886으로 등록됐습니다. MLflow 공식 GitHub 보안 권고인 GHSA-2wqp-q3c6-ccj5와 연결되어 관리되고 있습니다.
취약점 발생 메커니즘 및 공격 경로
이 취약점의 핵심은 GenAI 모델 평가 과정에서 쓰이는 구성 요소의 입력 값 검증 미흡입니다. 공격자가 시스템에 접근하는 경로와 조건은 다음과 같습니다.
- 전제 조건: 대상 MLflow 서버가 인증 없이 접근 가능한(unauthenticated) 상태여야 합니다.
- 악용 지점: 제3자 스코어러(third-party scorer)가 사용하는
kwargs인자가 공격 벡터로 쓰입니다. - 취약 엔드포인트: 공격자는 다음 특정 엔드포인트로 SSRF를 유도합니다.
scorer invokeregisterGenAI evaluate
이런 구조적 결함 때문에 공격자는 서버 권한으로 내부 네트워크의 다른 자원에 요청을 보내거나, 보안 설정이 미흡한 내부 API에 접근할 수 있게 됩니다.
위험성 및 현재 상태
이 취약점에는 익스플로잇(Exploit) 항목이 포함된 공개 PoC(Proof of Concept)가 존재하는 것으로 확인됩니다. 다만 제시된 근거 범위 안에서는 실제 야생(In-the-wild)에서 이 취약점이 악용된 사례는 확인되지 않았습니다.
CVE-2026-64849: 웹훅 테스트 기능 기반 SSRF 및 자격 증명 탈취
MLflow에는 CVE-2026-115886 외에도 심각한 SSRF 취약점인 CVE-2026-64849가 보고돼 있습니다. 이 취약점은 GenAI 평가 기능이 아니라 웹훅 테스트 기능의 결함을 노립니다.
공격 벡터 및 영향
CVE-2026-64849는 POST /api/2.0/mlflow/webhooks/{id}/test 엔드포인트에서 발생합니다. 표준 MLflow 배포 환경에서는 이 엔드포인트가 기본적으로 인증 없이 열려 있어 공격에 노출되기 쉽습니다.
공격자는 이 취약점으로 클라우드 메타데이터 엔드포인트(Cloud Metadata Endpoints)에 접근하고, 클라우드 제공자의 자격 증명을 탈취하는 치명적인 결과를 낳을 수 있습니다.
대응 이력 및 심각도
이 취약점은 2026년 8월 19일 미국 사이버보안 및 인프라 보안국(CISA)의 알려진 악용 취약점(KEV) 카탈로그에 추가됐을 만큼 위험성이 높게 평가됐습니다.
버전별 대응 방안 및 패치 가이드
MLflow를 운영하는 보안 담당자와 시스템 엔지니어라면 사용 중인 MLflow 버전을 즉시 확인하고 취약점이 해결된 최신 버전으로 업데이트하는 것이 먼저입니다. 각 취약점별 영향 버전과 수정 버전은 다음과 같습니다.
| CVE ID | 영향 받는 버전 | 수정 버전 | 주요 취약 지점 |
|---|---|---|---|
| CVE-2026-115886 | 명시되지 않음 (3.17.0 미만) | 3.17.0 | 제3자 스코어러 kwargs 인자 |
| CVE-2026-64849 | 3.15.0 이전 모든 버전 | 3.15.0 | 웹훅 테스트 엔드포인트 |
시스템 엔지니어를 위한 보안 권고 사항
- 즉시 업데이트: CVE-2026-115886에 대응하려면 MLflow 버전을 3.17.0으로 업데이트하십시오. CVE-2026-64849에 대응하려면 최소 3.15.0 이상 버전이 필요합니다.
- 인증 체계 강화: 두 취약점 모두 ‘인증 없는 접근’을 전제로 합니다. MLflow 서버를 공인 네트워크에 직접 노출하지 말고, 강력한 인증 메커니즘(API Key, OAuth 등)을 도입해 비인증 접근을 차단하십시오.
- 네트워크 격리: 서버를 클라우드 환경에서 운영 중이라면 IMDS(Instance Metadata Service) 접근을 제한해 자격 증명 탈취 가능성을 원천적으로 차단하는 설정을 권장합니다.
- 엔드포인트 모니터링:
scorer invoke,register,GenAI evaluate와 웹훅 테스트 관련 API 호출 로그를 분석해 비정상적인 요청 패턴이 있는지 상시 모니터링하십시오.