LMDeploy의 SSRF 취약점이 공개 12시간 만에 실제 공격에 악용됐다
외부 URL 처리 시 내부 IP 검증 미비로 인해 공격자가 내부망 스캔 및 클라우드 메타데이터 탈취에 성공했다.
무슨 일이 있었나
2026년 LMDeploy의 비전-LLM 엔드포인트에서 SSRF 취약점(CVE-2026-33626)이 발견되었다. lmdeploy/vl/utils.py의 load_image() 함수가 외부 URL을 내부/사설 IP 검증 없이 처리하면서, 공격자가 내부망 스캔·클라우드 메타데이터 서비스 접근·서비스 열거를 수행할 수 있었다. 같은 기간 Next.js(CVE-2026-44578)와 Kyverno(CVE-2026-4789)에서도 유사한 SSRF 공격이 발생했다.
왜 터졌나
근본 원인은 세 가지다. 첫째, 외부 URL을 처리하는 모든 입력값에 대해 내부 IP 대역(192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12) 및 로컬호스트(127.0.0.1, localhost) 검증이 누락되었다. 둘째, 클라우드 메타데이터 서비스 기본 경로(169.254.169.254)에 대한 별도의 차단 로직이 없었다. 셋째, 파일 확장자 검증만 수행하고 URL 스킴(HTTP/HTTPS) 외 gopher, dict 등 위험한 프로토콜 차단이 미비했다.
왜 남 일이 아닌가
AI 기반 웹서비스는 LLM 추론 엔진·이미지 처리 모듈 등에서 외부 URL을 자주 사용한다. 특히 오픈소스 라이브러리 의존도가 높은 중소 규모 서비스는 취약점 패치 지연 시 공격에 노출되기 쉽다. 클라우드 환경에서 메타데이터 서비스는 인스턴스 제어권을 완전히 탈취할 수 있는 고위험 자산이므로, 모든 입력값 검증 단계에서 IP 화이트리스트 기반 차단이 필수적이다.
개선 방안
1. requests.get() 사용 시 urllib.parse.urlparse()로 호스트 추출 후 내부 IP 대역 차단
from urllib.parse import urlparse
import ipaddress
def is_internal_ip(url):
parsed = urlparse(url)
except ValueError:
2. 클라우드 메타데이터 서비스 IP(169.254.169.254) 및 메타데이터 경로(/latest/meta-data) 차단
3. URL 스킴 검증 강화:
urlparse().scheme in ['http','https'] 확인4. 파일 확장자 검증 전 반드시 URL 유효성 검사 수행
5.
python-magic 라이브러리로 실제 파일 형식 확인6. WAF 규칙 추가: SSRF 시그니처 기반 탐지
7. 외부 이미지 처리 시 프록시 서버를 경유하도록 아키텍처 변경
30초 자가진단
- 외부 URL을 처리하는 모든 엔드포인트에 IP 검증 로직이 있는가?
- 클라우드 메타데이터 서비스 IP 대역을 차단 목록에 포함했는가?
- URL 스킴 검증 시 gopher/dict 등 비표준 프로토콜을 차단하는가?
- 파일 확장자 검증과 URL 유효성 검증 순서를 올바르게 설정했는가?
- 프록시 서버를 통해 외부 이미지 다운로드를 제한하는가?
AI로 빠르게 개발한 웹서비스도 SSRF 위험에서 자유롭지 않다. codescan.kr에서 URL 입력만으로 시크릿 노출·SSRF·열린 포트·디렉토리 노출 등 21개 항목을 30초 안에 점검할 수 있다. 이번 사고와 직접 관련된 SSRF 취약점 항목도 포함되어 있다.