무슨 일이 있었나
NVIDIA NeMo Agent Toolkit이 서비스 표면(CWE-306)에 인증이 누락되어 있습니다. 원격 공격자는 유효한 자격 증명 없이 툴킷에 접근할 수 있으며, 성공적인 익스플로잇은 원격 코드 실행, 권한 상승, 데이터 변조, 서비스 거부, 정보 공개로 이어질 수 있습니다. 동반된 SQL 인젝션 문제(CVE-2026-65151, CVSS 8.4)가 동일한 툴킷에 영향을 미칩니다. 2026-10-27에 CVSS 10.0으로 게시되었습니다.
왜 중요한가
이것은 에이전틱 AI 인프라입니다: 툴킷은 LLM 에이전트와 그들의 툴 루프를 프로비저닝하고 제어합니다. 인증 누락은 인증되지 않은 공격자가 데이터를 읽는 것뿐만 아니라 에이전트 런타임을 구동하거나 하이재킹할 수 있음을 의미하며, 에이전트 플랫폼의 컨텍스트에서 코드를 실행하고 에이전트가 접촉하는 워크로드로 피벗할 수 있습니다.
공격 경로
NeMo Agent Toolkit 서비스 엔드포인트에 대한 인증되지 않은 접근; 인증 누락(CWE-306) 결함으로 인해 공격자가 자격 증명 없이 에이전트 관리/실행 표면에 도달할 수 있으며, 코드 실행, 권한 상승, 데이터 변조, 또는 에이전트 런타임의 DoS가 발생할 수 있습니다.
영향받는 시스템
NVIDIA NeMo Agent Toolkit (advisory 2026/5912); 동반된 SQL 인젝션 결함 CVE-2026-65151 (CVSS 8.4)도 이에 영향을 미칩니다
완화 방안
NVIDIA 제품 보안 게시판 2026/5912 패치를 적용하십시오. 폐기 예정에 유의하십시오: NeMo Agent Toolkit에서 마이그레이션을 계획하고(2026년 말 EOL), 보상 통제로서 툴킷 서비스의 네트워크 노출을 제한하십시오(신뢰할 수 있는 인터페이스에 인증/바인딩).