AWS용 Loom, 모든 미인증 요청에 슈퍼 관리자 권한 부여 — CVE-2026-103956

2026년 10월 2일, AWS는 보안 게시판 2026-124-AWS를 발표하여 CVE-2026-103956을 Loom for AWS에서 AI 에이전트를 구축, 배포 및 관리하기 위한 AWS Labs 오픈소스 플랫폼인 Amazon Bedrock AgentCore Runtime에서 공개했습니다. 아이덴티티 공급자가 구성되지 않은 배포 환경에서, 백엔드의 인증 의존성은 들어오는 모든 요청에 고정된 슈퍼 관리자 아이덴티티를 부여했습니다 — Authorization 헤더를 전혀 포함하지 않은 요청까지도 포함해서. 백엔드에 접근할 수 있는 원격 클라이언트는 도구 서버를 등록하고, 저장된 통합 자격 증명을 읽고, 관리 대상 에이전트 역할에 연결된 IAM 역할 정책을 다시 작성할 수 있었습니다. 즉, 인증이 전혀 없는 상태에서 에이전트 제어 플레인을 완전히 관리할 수 있는 권한을 갖는 것입니다. NVD는 이 취약점에 CVSS 3.1과 CVSS 4.0 모두에서 10.0, 심각(Critical) 등급을 부여했습니다. 이 발견의 공로는 조율된 취약점 공개 절차를 통해 활동한 Kenneth Cox에게 돌아갔습니다. 이 권고문은 해당 취약점으로 무엇이 가능한지를 설명할 뿐, 누군가 그것을 실제로 어떻게 이용했는지는 설명하지 않습니다.

인증 의존성이 실제로 하고 있던 일

결함은 백엔드의 인증 종속성에 있었습니다. GitHub 보안 권고 GHSA-vgmj-998f-r8mp에 따르면, 백엔드의 인증 종속성에 있는 코드 경로 — Loom 백엔드의 get_current_user 함수 — 는 Amazon Cognito 사용자 풀도, 활성 외부 자격 증명 공급자도 존재하지 않을 때마다 하드코딩된 관리자 ID, 즉 g-admins-super 그룹의 슈퍼 관리자 계정을 반환했습니다. 호출자가 토큰을 제시했는지는 확인하지 않았습니다. 거부로 넘어가지도 않았습니다. 그런데도 관리자 ID를 반환했습니다.

AWS 게시판은 그 결과를 같은 방식으로 설명합니다: 이 결함으로 인해 모든 네트워크 클라이언트가 에이전트 제어 플레인에 대한 완전한 관리 권한을 얻을 수 있었습니다. CVE-2026-103956은 CWE-306(중요 기능에 대한 인증 누락) 및 CWE-1188(리소스의 안전하지 않은 기본 초기화)에 매핑됩니다. NVD의 CVSS 3.1 벡터는 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — 네트워크 도달 가능, 낮은 복잡도, 권한 없음, 사용자 상호작용 없음, 범위 변경됨, 기밀성, 무결성 및 가용성에 대한 전체 영향.

중요한 프레이밍이자 CVSS 10.0이 작은 오픈소스 프로젝트에 매겨진 이유를 설명하는 부분은, IdP 없는 배포가 별난 일이 아니라는 점이다. 아직 Cognito가 연결되지 않은 새 Loom 설치가 정확히 그런 상태이고, 아이덴티티 공급자 구성이 한 번도 설정된 적이 없거나 더 이상 해석되지 않는 배포도 마찬가지다. 이 권고문은 이를 운영자가 초래해야 했던 잘못된 구성이 아니라 흔한 상태로 취급한다.

인증되지 않은 클라이언트가 접근할 수 있는 대상

• 에이전트 등록 및 도구 서버: 클라이언트가 에이전트가 호출하도록 허용된 도구 서버를 등록하거나 변경할 수 있다는 것은, 도구 호출 아키텍처에서 티켓을 읽는 에이전트와 무언가를 실행하는 에이전트 사이의 차이를 의미한다.

• 저장된 통합 자격 증명: 플랫폼은 자사의 에이전트와 도구 서버가 연결하는 외부 시스템의 자격 증명을 저장하며, 공지에 따르면 이 자격 증명들은 읽을 수 있는 상태였습니다.

• 관리형 에이전트 역할의 IAM 역할 정책: 이 권고는 Loom이 자사 에이전트를 위해 관리하는 역할에 연결된 IAM 역할 정책을 다시 작성하는 방법을 설명하며, 이는 오케스트레이션 계층에 대한 통제를 AWS 계정 내에서 에이전트가 수행할 수 있는 작업에 대한 통제로 전환하는 단계입니다.

• 플랫폼이 관리하는 그 밖의 모든 것: 에이전트, 메모리, 권한 부여자 및 보안 구성, 설정 — 그리고 배포에서 실행되는 모든 에이전트를 호출하는 것.

그 네 가지 항목은 전체 관리자 권한이 어디까지 미치는지에 대해 해당 권고문 자체가 제시한 목록이며, 재구성한 것이 아니다. 그것들 중 어느 것도 익스플로잇에 사용되었다고 주장되지 않는다.

설정됨 및 설정되지 않음

확인됨. 해당 취약점은 존재했으며 합의된 1차 출처에 문서화되어 있습니다: 2026년 10월 2일자 AWS 보안 공지 2026-124-AWS, 같은 날 게시된 GitHub 권고 GHSA-vgmj-998f-r8mp, 그리고 NVD의 CVE-2026-103956 기록입니다. 영향을 받는 버전(1.6.1 이전), CVSS 점수, CWE 매핑, 수정 버전 및 크레딧은 이들 출처에서 일관됩니다. 이 사건의 아카이브 기록은 신뢰도 A로 등급이 매겨졌고, 이의 제기가 없으며, real_harm은 false로 표시됩니다.

기록 자체의 필드는 해당 공개를 2026년 10월 2일로, 일 단위 정밀도로 명시하며, 공개된 개념 증명 주장을 미검증으로 설명한다. 게시물과 권고문 중 어느 것도 공격의 증거를 담고 있지 않다. CVE-2026-103956에 대한 NVD의 공개 기록은 CISA의 알려진 익스플로잇 목록에서 이 CVE가 비어 있는 것으로 나열하고, 아카이브 기록은 real_harm을 false로 담고 있다. 즉, 인증되지 않은 네트워크 클라이언트가 사용할 수 있는 결함이지만, 출처 어디에도 누군가 실제로 그렇게 했다는 증거는 없다.

이 또한 구분해 볼 가치가 있다. CVSS 10.0은 그 결함이 무엇을 허용할 수 있는지를 측정하는 것이지, 실제로 무엇을 저질렀는지를 측정하는 것이 아니다. 악용된 사례도, 기록된 피해도 없는 10.0은 위기를 모면한 것에 가까우며, 아카이브는 그것을 그렇게 분류한다.

수정 사항, 그리고 이름이 붙기 전 두 달의 공백

AWS는 Loom 1.6.1에서 이 문제를 수정했으며, 해당 버전은 2026년 8월 4일에 릴리스되었습니다. 그 날짜는 중요합니다. 이 릴리스는 공지보다 약 두 달 앞서 나왔고, CVE 번호도 이미 공개되어 있었습니다. v1.6.1 릴리스 노트는 CVE를 언급하지 않은 채 변경 사항을 설명합니다. 이제 인증 우회를 하려면 명시적 옵트인과 루프백 클라이언트가 반드시 필요하며, 그렇지 않으면 401 응답과 함께 안전하게 차단됩니다. 따라서 이 취약점의 심각도와 지정 번호는 트래커를 추적하는 Loom 사용자에게만 보였을 뿐, 릴리스 노트만 읽는 사람에게는 보이지 않았습니다. 같은 릴리스에서는 OAuth 디스커버리 요청에 대한 SSRF 강화도 추가되었습니다.

이미 노출된 배포의 경우, AWS의 업그레이드 전 지침은 백엔드가 루프백 외부에서 접근 가능해지기 전에 Amazon Cognito 사용자 풀 또는 활성 외부 자격 증명 공급자를 완전히 구성해 두고, LOOM_ALLOW_UNAUTHENTICATED_LOCAL_DEV가 로컬 개발 환경 외부에서 설정 해제되어 있는지 확인하며, 그동안 백엔드에 대한 네트워크 또는 보안 그룹 접근을 제한하는 것입니다. 이 공지에서는 네트워크 제한이 의도치 않은 접근 가능성을 낮춰 주지만 업그레이드 없이는 이 문제를 해소하지는 못하며, 포크와 파생 코드도 패치해야 한다는 점을 분명히 밝히고 있습니다.

같은 공지, 다른 결함

이 레코드의 요약은 2026-124-AWS가 이 CVE에만 국한된 것이 아니라고 언급합니다. 같은 날 두 건의 Loom 문제가 추가로 공개되었으며, 수정된 버전은 Loom 1.7.0: CVE-2026-103957은 OAuth2 검색 처리에서의 SSRF로, OAuth2 클라이언트 비밀 또는 다른 사용자의 액세스 토큰을 공격자가 제어하는 엔드포인트로 전송할 수 있으며(CVSS 3.1 6.2, CVSS 4.0 8.2), CVE-2026-103958은 도구 서버 및 원격 에이전트 연결 처리에서의 SSRF로, 컨테이너의 자격 증명 제공 엔드포인트를 포함한 임의의 내부 주소에 도달하여 응답을 읽을 수 있습니다(CVSS 3.1 7.6, CVSS 4.0 8.3). 두 취약점 모두 mcp:write 또는 a2a:write 범위를 가진 인증된 사용자가 필요했습니다. 이 공지에는 또한 CVE-2026-104019, 즉 Studio Space 시작 유효성 검사 스크립트의 OS 명령 주입도 다루고 있습니다. 이 스크립트는 다음에 의해 사용되는 Amazon SageMaker Unified Studio, CVSS 3.1에서 9.0 치명적으로 평가되었으며, AWS는 다음 Space 재시작 시 적용되는 전역 정제 변경으로 서버 측에서 수정했다고 말합니다.

업그레이드 후, AWS는 운영자에게 MCP 및 A2A 통합을 위한 OAuth2 클라이언트 시크릿을 교체하고, 영향을 받은 기간 동안 활성 상태였던 토큰을 폐기하고 재발급하며, — 컨테이너 역할 자격 증명에 접근한 경우 — IAM 역할의 세션 자격 증명을 교체하고 CloudTrail을 검토하도록 요청합니다.

이 기록이 아카이브에 있는 이유

CVE-2026-103956은 사고가 아니라 취약점으로 등록되었다: 발견된 것이며, 반드시 악용된 것은 아니고, INFRA 및 CRED, GLOBAL, 높은 심각도, 높은 신뢰도다. 레코드 세트에서 이 취약점의 가치는 에이전트 제어 평면 전체 범주에 대한 경계 사례라는 점에 있다. Loom의 역할은 아이덴티티, 통합 자격 증명과 함께 도구 서버 등록, 그리고 에이전트가 무엇을 건드릴 수 있는지 결정하는 IAM 정책을 보관하는 것이다 — 에이전트 플랫폼을 그것이 위치한 클라우드 계정에 연결하는 계층이다. 그 계층에서 누락된 검사는 에이전트를 저하시키는 것이 아니라, 자산 전체를 넘겨버린다. 아카이브에 있는 형제 레코드인, Amazon Bedrock AgentCore에 대한 2026년 10월 8일 AgentCorruption 공개는 동일한 계층에 다른 경로, 즉 외부에 공개된 하나의 에이전트로부터 이어진 SSRF 체인을 통해 도달했음을 설명한다.

아카이브에는 보유한 모든 문서화된 에이전트 사건이 수록되어 있으며, 이 기록을 포함해 각 사건마다 고유한 출처, 심각도, 신뢰도 등급, 이견 표시 플래그가 있습니다. 이 글은 그 집합에 속한 단일 기록에 관한 것이며, 전체 필드별 분류는 바로 그 기록에 담겨 있습니다.

이것은 다른 이들이 조사하고 보고했으며, 여기서는 그들에게 출처를 밝혀 인용한 하나의 기록이다. Loom 자체의 계층 — 아이덴티티, 도구 서버 등록, 그리고 에이전트가 무엇을 건드릴 수 있는지 결정하는 IAM 정책 — 은 AI 사고 아카이브의 형제 항목들도 도달하는 계층이며, 그 각각의 기록은 자체 출처, 심각도, 신뢰 등급, 분쟁 플래그를 함께 갖는다.