LiteLLM MCP 인증 우회가 실제 악용 목록에 올랐습니다 - AI 게이트웨이의 MCP 경로를 점검하세요

LiteLLM 프로젝트가 2026년 6월 30일 공개한 보안 권고(GHSA-7488-6r32-c95q)는 MCP Streamable HTTP 엔드포인트의 인증 문제를 다룬다. 권고는 이 결함이 인증받지 않은 공격자가 임의의 Bearer 토큰으로 인증된 MCP 세션을 맺게 할 수 있다고 설명한다. 심각도는 8.8(High)이고, 1.84.0 보다 낮은 판이 영향 범위다.

“establish an authenticated MCP session using an arbitrary Bearer token”

권고가 설명한 구조는 이렇다. MCP 인증 처리기는 상위 MCP 서버를 위한 OAuth2 통과(passthrough)를 지원했는데, LiteLLM 키 검증이 실패했을 때 그 실패를 거절로 처리하지 않고 빈 인증 객체로 대체하는 경로가 있었다. 그 결과 지어낸 Authorization 헤더를 붙인 요청이 유효한 LiteLLM 키 없이 MCP 도구에 닿을 수 있었다. 권고는 이 상태에서 설정된 MCP 도구를 열람·호출하고 MCP 로 연결된 서비스에 접근할 수 있다고 적었다.

조치는 1.84.0 이상으로 올리는 것이다. 권고는 당장 올리기 어려운 경우의 우회책으로 MCP 경로를 끄거나, 리버스 프록시·API 게이트웨이에서 `/mcp/` 와 관련 엔드포인트 접근을 막으라고 안내한다.

두 달 전에 고친 결함이 지금 목록에 오른 이유

The Hacker News 는 9월 3일 보도에서 CISA 가 CVE-2026-59822 를 포함한 일곱 건을 악용 목록에 올렸다고 전했다. 같은 보도는 Wiz 가 허니팟을 겨냥한 탐색과 모델 목록 조회 엔드포인트를 노린 활동을 관측했다고 밝혔다. 결함이 고쳐진 시점과 실제 악용이 관측된 시점 사이에는 두 달 남짓의 간격이 있다.

같은 보도는 LiteLLM 을 노린 별개의 공격 사슬도 전했다. CVE-2026-42271 과 CVE-2026-48710 을 엮어 자격증명을 훔치고, PostgreSQL 의 `LiteLLM_ProxyModelTable`·`LiteLLM_VerificationToken` 표를 겨냥하며, SSH 키를 고쳐 접근을 유지하고, XMRig 암호화폐 채굴기를 설치하는 흐름이다. 보도는 공격 대상이 LiteLLM 한 곳이 아니라 Flowise·LangChain·Langflow·ChromaDB·Ollama 같은 AI 기반 소프트웨어 전반이라고 전했다. 노린 것은 API 키, 지속 접근, 그리고 남의 계산 자원이다.

이 결함들이 겨냥하는 것은 모델 자체가 아니라 모델 앞에 놓인 게이트웨이다. AI 게이트웨이에는 여러 모델 제공사의 API 키가 모여 있고, MCP 를 붙이면 파일·데이터베이스·사내 도구까지 그 뒤에 연결된다. 인증이 한 번 뚫리면 노출 범위는 게이트웨이가 들고 있는 연결 전체가 된다.