무슨 일이 있었나
NeMo Agent Toolkit(권고 2026/5912, 2026-10-27 게시)에는 SQL 주입 결함이 포함되어 있어, 조작된 입력이 쿼리를 변경하여 데이터 변조, DoS 및 정보 공개를 허용할 수 있습니다. 이는 이미 공개된 인증 누락 결함(CVE-2026-65145)과 동일한 권고에 포함된 별개의 CVE입니다.
왜 중요한가
에이전트 상태, 대화 기록 또는 도구 출력을 데이터베이스에 저장하는 AI 에이전트 툴킷은 SQL 주입을 통해 해당 저장소가 변조되거나 유출될 수 있어 에이전트 동작을 손상시키고 민감한 데이터를 누출할 수 있습니다.
공격 경로
공격자는 NeMo Agent Toolkit 서비스 표면의 매개변수화된 데이터베이스 쿼리에 도달하여 SQL을 주입함으로써 데이터 변조, 서비스 거부 및 정보 공개를 가능하게 합니다 (CVSS 8.4, AV:L).
영향받는 시스템
NVIDIA NeMo Agent Toolkit 1.4 ~ 1.6
완화 방안
2026/5912 권고 수정 사항/패치된 툴킷 릴리스를 적용하세요 (https://github.com/NVIDIA/product-security/tree/main/2026/5912).