[CVE] CVE-2026-34070 (CVSS 7.5 · 높음) [CWE-22]

핵심 요약

LangChain 프레임워크의 `langchain_core.prompts.loading` 함수에서 디렉터리 탐색(CWE-22) 취약점(CVE-2026-34070, CVSS 7.5)이 발견되었습니다. 이 취약점은 버전 1.2.22 미만의 LangChain을 사용하는 애플리케이션이 역직렬화된 구성 딕셔너리에 포함된 경로를 적절히 검증하지 않고 파일을 읽을 때 발생하며, 공격자가 호스트 파일 시스템의 임의 파일을 읽을 수 있게 합니다. 이는 LLM 기반 애플리케이션의 보안 취약점 관리 및 사용자 입력값 검증의 중요성을 강조하며, 민감 정보 유출 및 시스템 무결성 저해로 이어질 수 있어 IT 감사인의 면밀한 점검이 필요합니다.

💡 개선 권고안

• ✔기술적 조치LangChain 프레임워크를 버전 1.2.22 이상으로 즉시 업데이트하여 CVE-2026-34070 취약점을 해결할 것을 권고함.
• ✔기술적 조치사용자 입력값을 기반으로 파일 경로를 구성하거나 파일 시스템에 접근하는 모든 로직에 대해 강력한 입력값 유효성 검증을 적용하고, 화이트리스트 기반의 경로 제어 및 최소 권한 원칙을 적용해야 함을 권고함.
• ✔관리적 조치LLM 기반 애플리케이션 개발 시 보안 코딩 가이드라인에 디렉터리 탐색(Path Traversal) 방지 항목을 포함하고 개발자 교육을 강화할 것을 권고함.
• ✔관리적 조치정기적인 소스코드 보안 약점 분석 및 모의 해킹을 통해 LLM 기반 애플리케이션의 잠재적 취약점을 사전에 식별하고 제거하는 절차를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문