RufRoot: CVSS 10.0 만점을 받은 Ruflo의 치명적 취약점

2026년 7월 29일 Noma Security가 “RufRoot”에 대한 기술 보고서를 공개했다. CVE-2026-59726으로 등록된 취약점으로(출처: Noma Security, 2026/07/29), 대상은 ruvnet이 개발한 오픈소스 AI 에이전트 오케스트레이션 플랫폼 Ruflo다. National Vulnerability Database(NVD)는 이 결함에 10점 만점에 10.0이라는 최고 점수를 매겼고, CVSS 3.1 벡터는 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H이다(출처: NVD, CVE-2026-59726). Model Context Protocol(MCP)은 에이전트가 외부 도구를 호출하는 표준이며, MCP Bridge는 키와 대화, 기억이 모이는 집결점 역할을 한다.

인증 없는 HTTP POST 요청 하나로 tools/call 메서드를 통해 terminal_execute 도구를 호출할 수 있었고, 그 결과 node 사용자(UID 1000) 권한으로 브리지 컨테이너 안에 셸을 얻을 수 있었다(출처: NVD, GHSA-c4hm-4h84-2cf3). 이 브리지는 Express.js 서버로 3001 포트에서 HTTP로 233개의 도구를 노출하고 있었다. 셸 명령 실행, 데이터베이스 작업, 에이전트 수명주기 관리가 여기에 포함된다(출처: Noma Security, 확인: The Hacker News, 2026/07/29). 문서로 확인된 결과는 세 가지다. 프로세스 환경변수에서 모델 제공사의 API 키를 읽어내는 것, 저장된 사용자 대화에 접근하는 것, 그리고 학습 저장소 “AgentDB”에 악성 패턴을 심는 것이다(출처: NVD, GHSA-c4hm-4h84-2cf3). Noma Security 연구진은 이 브리지를 “Ruflo의 중추신경계”라고 부르며, 모든 도구 호출과 기억 작업이 이곳을 지난다고 강조한다(인용: Noma Security).

메인테이너에게 신고가 접수된 것은 2026년 6월 30일이고, 수정본(PR #2521, 버전 3.16.3)은 24시간 안에 배포됐다(출처: Noma Security, 2026/07/29; The Hacker News, 2026/07/29). 3.16.3은 브리지를 루프백 인터페이스에 묶고, 상수 시간 비교를 쓰는 베어러 토큰 인증을 도입하고, 서버 측 터미널 실행을 기본으로 비활성화하고, MongoDB에 인증을 추가하고, 컨테이너를 읽기 전용으로 강제하며, CI에 회귀 테스트를 넣었다(출처: GHSA-c4hm-4h84-2cf3). 공식 권고문이 제시한 즉시 조치는 네 가지다. 노출된 포트를 방화벽으로 차단할 것, AI 제공사의 자격 증명을 교체할 것, 데이터베이스가 조작됐는지 확인할 것, 학습 저장소에서 오염된 항목을 제거할 것(출처: GHSA-c4hm-4h84-2cf3).

실제 악용이나 침해 사례는 보고되지 않았다(출처: 공식 권고문; The Hacker News). 확산 규모 수치 — GitHub 스타 6만 6000~6만 7000개, 다운로드 약 1000만 건, 활성 사용자 100만 명 — 는 연구진의 발표에서 나온 것이지 독립적인 감사 결과가 아니므로 미검증으로 봐야 한다. 반면 인터넷에서 실제로 접근 가능한 인스턴스가 몇 개인지는 어떤 자료도 밝히지 않았다. 노출된 설치 수를 집계한 발표는 한 번도 나온 적이 없다. 또한 AgentDB 오염은 기술적으로 가능하다는 사실이 입증됐을 뿐, 실제 사용자에게 피해가 확인된 것은 아니다. 이 취약점은 언어 모델 자체가 견고하더라도 오케스트레이션 인프라의 기본 설정이 가장 약한 지점이 될 수 있음을 보여준다. — Pixie