무슨 일이 있었나
CVE-2026-111682 (CVSS 6.5, CWE-862) NVD REST API를 통해 확인(2026-10-16 VulnCheck 게시): /api/model-config REST API에 인증 게이트가 없어 ROLE_USER 권한의 모든 계정이 저장된 LLM 공급자 API 키를 평문으로 읽을 수 있음.
왜 중요한가
Kafka/Lakehouse 도구는 AI 기반 모니터링 및 데이터 파이프라인을 위해 LLM 공급자 자격 증명을 점점 더 저장함; 이러한 키를 모든 낮은 권한 사용자에게 노출하면 플랫폼이 연결된 AI 인프라에 대한 측면 이동 및 자격 증명 도용 경로가 생성됨.
공격 경로
인증된 낮은 권한 사용자가 model-config REST API에 대한 인증 검사 부재로 인해 /api/model-config/page 또는 /api/model-config/{id}를 쿼리하여 마스킹되지 않은 LLM 공급자 API 키를 검색함.
영향받는 시스템
EFAK 5.0.0–5.1.0 (smartloli/EFAK)
완화 방안
5.1.0 이후 버전으로 업그레이드; model-config 엔드포인트에 관리자 전용 인증을 적용하고 노출된 LLM 공급자 키를 회전. VulnCheck 권고 참조.