무슨 일이 있었나
Wiz (Google)은 2026-10-14에 LiteLLM에 대한 일련의 발견 사항을 게시했습니다: CVE-2026-59822는 인증되지 않은 MCP 인증 우회입니다 (NVD 확인: CVSS 8.2 v3.1 / 8.8 v4.0, CWE-287/306, KEV 추가 및 SSVC 악용=활성); CVE-2026-59821은 권한 있는 사용자가 테스트 샌드박스 없이 실행되는 커스텀 코드 가드레일 프로덕션 경로를 통해 커스텀 Python을 제출할 수 있게 합니다 (CVSS 7.2). Wiz는 또한 인증이 설정되지 않은 경우 누구에게나 PROXY_ADMIN을 부여하는 기본 구성과 클라우드 자격 증명을 유출할 수 있는 패스스루 엔드포인트 URL 검증 격차를 지적했습니다. 스캔된 공개 인스턴스의 9.6%가 노출되었습니다.
왜 중요한가
AI 게이트웨이는 조직이 사용하는 모든 모델과 애플리케이션 간의 병목 지점입니다. 침해 시 모든 API 키, 프롬프트, 모델 트래픽 및 프로세스가 보유한 IAM 범위의 클라우드 자격 증명이 노출됩니다. 확인된 실제 악용(KEV)과 기본 단일 키 또는 무인증 배포로 인해 이 기간 내 최우선 AI 인프라 수정 사항입니다: 인증되지 않은 진입 후 모델 서빙 인프라에서 루트 수준 코드 실행이 이어집니다. >= 1.84.0으로 패치하고, 기본 키를 교체하고, 인증을 명시적으로 구성하십시오.
공격 경로
원격 무인증: MCP Streamable HTTP 엔드포인트가 위조된 Authorization 헤더를 수락하여 OAuth2 패스스루 폴백을 트리거하고, 실패한 LiteLLM 키 검증을 빈 UserAPIKeyAuth 객체로 대체하여 유효한 키 없이 요청이 MCP 도구에 도달하게 합니다. 인증된 후(또는 인증이 구성되지 않은 경우 기본 PROXY_ADMIN을 통해), 커스텀 코드 가드레일 생성/업데이트 경로는 테스트 엔드포인트 샌드박싱을 적용하지 않으므로 공격자가 제공한 Python이 프록시 프로세스에서 실행됩니다 — Wiz는 호스트에서 루트 수준 RCE를 보고합니다.
영향받는 시스템
BerriAI LiteLLM < 1.84.0 (CVE-2026-59822); < 1.82.0-stable (CVE-2026-59821 커스텀 코드 가드레일)
완화 방안
LiteLLM을 >= 1.84.0(인증 우회) 및 >= 1.82.0-stable(가드레일 샌드박스)로 업그레이드하십시오. sk-1234 기본 키를 교체하고, 노출된 인스턴스에서 인증을 강제하고, UI/API를 신뢰할 수 있는 네트워크로 제한하십시오. CISA BOD 26-04의 CVE-2026-59822 마감일은 2026-09-16이었습니다 — 지금 적용하십시오. 공급업체 GHSA-7488-6r32-c95q / GHSA-72m8-9m7m-h278.