무슨 일이 있었나
CVE-2026-108456은 Azure AI Foundry의 SSRF(CWE-918)로, 인증된 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다. CVSS 7.7 (범위 변경, 기밀 영향), 2026-10-22 게시. Microsoft는 이를 전용 호스팅 서비스로 표시하고 서비스 측에서 수정했습니다.
왜 중요한가
엔터프라이즈 GenAI 플랫폼에서 인증된 사용자의 SSRF는 내부 메타데이터/제어 엔드포인트에 도달하고 권한을 상승시키는 데 사용될 수 있습니다 — AI 서비스 경계 뒤의 모델 키, 테넌트 비밀, 내부 인프라 노출로 이어지는 경로입니다.
공격 경로
Azure AI Foundry의 서버 측 요청 위조(CWE-918)는 인증된 공격자가 네트워크를 통해 권한을 상승시킬 수 있게 합니다; 인증된 사용자는 SSRF를 악용하여 Foundry 서비스가 도달할 수 있는 내부/권한 있는 리소스에 접근할 수 있습니다.
영향받는 시스템
Microsoft Azure AI Foundry (호스팅 서비스)
완화 방안
Microsoft는 이 문제를 서비스 측(클라우드 호스팅)에서 수정했습니다. 고객 조치는 필요하지 않지만, 패치된 서비스에 있는지 확인하고; 어떤 주체가 아웃바운드 fetch 유사 작업을 트리거할 수 있는지 제한하며 SSRF 활동을 모니터링하십시오. MSRC 권고 CVE-2026-108456.