무슨 일이 있었나
CVE-2026-115886 (CWE-470 안전하지 않은 리플렉션 / CWE-918 SSRF)은 MLflow의 scorer 및 GenAI-evaluate 엔드포인트의 역직렬화-to-SSRF 결함으로, 2026-10-23에 게시되었습니다. 취약한 역직렬화는 트래킹 저장소 조회나 작업 제출 전에 발생하며, 공격자는 LiteLLM 폴백을 유도하여 공격자 제어 헤더와 본문으로 내부 호스트에 아웃바운드 요청을 보낼 수 있습니다.
왜 중요한가
MLflow는 MLOps 및 GenAI 파이프라인에서 트래킹/모델 레지스트리 계층으로 널리 배포됩니다. 영향을 받는 엔드포인트가 인증되지 않은 직렬화 입력을 허용하고 내부 서비스(클라우드 메타데이터 엔드포인트, 내부 모델/에이전트 백엔드 포함)에 대한 SSRF로 유도될 수 있기 때문에, 외부 공격자에게 AI 배포의 내부 네트워크로 진입점을 제공합니다 — ML 플랫폼에서 주변 인프라로의 고전적 남용 경로입니다.
공격 경로
인증되지 않은 공격자가 직렬화된 타사 scorer 데이터를 scorer/GenAI-evaluate 엔드포인트에 POST합니다. Scorer.model_validate_json은 모듈 경로 허용 목록을 통해 클래스를 해석하지만 선택된 클래스나 그 생성자 인자를 제한하지 않습니다. trulens/trulens-providers-litellm이 설치된 경우, 공격자는 mlflow.genai.scorers.trulens를 선택하고, 모델 URI를 MLflow의 네이티브 제공자 레지스트리 밖으로 지정하여 실행이 LiteLLM 폴백으로 이어지게 하고, api_base/api_key 값을 제공하여 서버가 공격자가 선택한 호스트나 내부 호스트에 공격자 제어 헤더와 본문으로 아웃바운드 요청을 보내게 할 수 있습니다.
영향받는 시스템
MLflow >= 3.12.0rc0, < 3.17.0
완화 방안
MLflow 3.17.0으로 업그레이드하세요 (수정 커밋 bac30b4; 권고 GHSA-2wqp-q3c6-ccj5). 임시 해결책: scorer 엔드포인트가 노출된 경우 선택적 trulens/trulens-providers-litellm 패키지를 설치하지 말고, /ajax-api/.../scorer/invoke를 인증 없이 노출하지 마세요.