[CVE] CVE-2026-5536 (CVSS 7.3 · 높음) [CWE-20, CWE-502]

핵심 요약

FedML-AI FedML 0.8.9 버전 이하에서 gRPC 서버 구성 요소의 sendMessage 함수에 원격 역직렬화 취약점(CVE-2026-5536, CVSS 7.3)이 발견되었습니다. 이 취약점은 조작된 데이터를 sendMessage 함수에 전달하여 안전하지 않은 역직렬화(CWE-502)를 유발하며, 이는 원격 코드 실행(RCE)으로 이어질 수 있는 심각한 보안 위험을 내포합니다. 공격자는 이를 통해 시스템에 무단 접근하거나 제어권을 획득할 수 있습니다(T1210 Exploitation of Remote Services). IT 감사인은 조직 내 FedML 또는 유사한 분산 학습 프레임워크 및 gRPC 기반 서비스의 사용 현황을 파악하고, 잠재적인 원격 코드 실행 위협에 대한 보안 통제 및 패치 관리 프로세스의 적절성을 점검해야 합니다.

💡 개선 권고안

• ✔기술적 조치FedML-AI FedML 0.8.9 이하 버전을 사용하는 시스템에 대해 최신 보안 패치를 즉시 적용하거나, 공급업체에서 제공하는 상위 버전으로 업그레이드할 것을 권고함.
• ✔기술적 조치gRPC 서버 구성 요소에서 역직렬화 취약점(CWE-502)을 방지하기 위해 안전한 역직렬화 라이브러리를 사용하고, 모든 입력 값에 대한 엄격한 유효성 검증 및 무결성 검사를 강화할 것을 권고함.
• ✔기술적 조치외부에 노출된 gRPC 서비스에 대한 접근 제어 정책을 강화하고, 불필요한 포트 및 서비스를 차단하며, 네트워크 분리 및 최소 권한 원칙을 적용하여 공격 표면을 최소화할 것을 권고함.
• ✔관리적 조치소프트웨어 개발 보안 가이드라인에 역직렬화 취약점 방지 대책을 포함하고, 개발 단계에서부터 보안 코딩 표준 준수 및 정기적인 코드 검토를 시행할 것을 권고함.
• ✔관리적 조치공급업체로부터 보안 업데이트가 지연되거나 제공되지 않는 경우를 대비하여, 자체적인 취약점 분석 및 보완 대책 수립 프로세스를 강화하고, 비상 계획을 수립 및 시행할 것을 권고함.
• ✔관리적 조치정기적인 모의 해킹 및 취약점 점검을 통해 gRPC 기반 서비스의 잠재적 취약점을 식별하고 선제적으로 조치할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문