무슨 일이 있었나
IBM의 Docling 문서-구조화 데이터 라이브러리(GenAI/RAG 파이프라인에서 많이 사용)에는 10월 5일 권고 배치가 있었습니다. 핵심(105744): Tectonic 엔진을 선택한 호출자는 TeX 파일 프리미티브(\openin/\openout)를 제한하지 않고 신뢰할 수 없는 TikZ를 렌더링하여 임의 로컬 파일 읽기/쓰기 및 shell-escape가 활성화된 경우 OS 명령 실행을 제공합니다. 동일한 배치에는 내부 서비스에 도달하는 이미지 리소스 로더의 DNS-리바인딩/파서-불일치 SSRF(105743)와 외부 플러그인이 비활성화된 경우에도 등록된 모든 엔트리-포인트 모듈을 가져오는 플러그인 팩토리 — 손상된 설치 패키지를 통한 가져오기-시간 코드 실행 벡터(105745)가 포함되어 있습니다.
왜 중요한가
Docling은 많은 RAG/GenAI 문서 파이프라인에서 표준 전처리 계층이며 신뢰할 수 없는 업로드 문서를 일상적으로 수집합니다. 공격자 제공 문서(LaTeX/TikZ, ODF, HTML)는 변환 호스트에서 파일을 읽기/쓰거나 내부/클라우드-메타데이터 엔드포인트에 도달할 수 있으며, 오염된 설치 패키지는 Docling 시작 시 실행될 수 있습니다 — 다운스트림 모델에 공급되는 문서 저장소를 손상시킵니다.
공격 경로
TeX 파일 프리미티브, 리바인딩 호스트 이름 또는 파일/파서-불일치 페이로드가 포함된 조작된 TikZ(.tex) 또는 HTML/ODF 문서를 업로드합니다. 또는 가져오기 시 실행되는 Docling 엔트리-포인트를 등록하는 패키지를 설치합니다.
영향받는 시스템
Docling / docling-slim 2.94.0–2.132.0 (CVE-2026-105744 Tectonic; 또한 2.91.0–2.132.0 SSRF 105743, 2.27.0–2.131.0 플러그인 가져오기 105745, 파일-URL 105750, xlink:href 경로 105751, tar 멤버 105747, JSON 검증 105748, 헤더 전달 105742, KServe 엔드포인트 105746 포함)
완화 방안
Docling 2.132.0(105744/105743) / 2.131.0(105745)으로 업그레이드합니다. 필요하지 않은 경우 원격 가져오기 및 Tectonic/shell-escape 옵션을 비활성화하고 문서 변환 프로세스를 샌드박스 처리합니다.