llama.cpp Pocket-TTS에서 CVE-2026-116096 취약점이 보고됐다.

• llama.cpp의 Pocket-TTS 관련 코드에서 경계 밖 쓰기 취약점이 보고됐다.
• 공격에는 로컬 접근이 필요하다고 하나, 공개 익스플로잇 존재가 언급됐다.
• Pocket-TTS 사용 여부를 식별한 뒤 버전·패치 적용 상태와 배포 환경의 접근 통제를 점검할 필요가 있다.

발췌된 NVD 설명은 ggml-org llama.cpp의 `tools/mtmd/models/pockettts-gen.cpp` 파일 내 `list_pockettts_state_slots` 함수가 영향을 받는다고 밝힌다. `mmproj` 인자 조작이 out-of-bounds write, 즉 할당된 메모리 경계를 벗어난 쓰기로 이어질 수 있다는 내용이다.

경계 밖 쓰기 취약점은 프로그램 충돌뿐 아니라 메모리 손상과 그에 따른 보안 문제로 연결될 수 있는 유형이다. 다만 발췌에는 실제 공격 성공 시 가능한 영향 범위, 영향받는 이전 버전의 정확한 범위, 운영체제별 조건 등은 상세히 제시되지 않았다.

로컬 LLM 환경에서 llama.cpp와 Pocket-TTS를 사용하거나 이를 포함한 애플리케이션을 배포하는 조직은 자산 목록과 실제 포함 구성요소를 우선 확인할 필요가 있다. 특히 공유 개발 환경, 다중 사용자 서버, 사용자가 모델·프로젝션 파일 또는 실행 인자를 통제할 수 있는 서비스에서는 로컬 접근 전제의 의미를 운영 환경에 맞춰 재평가할 필요가 있다.

발췌는 b11796으로 업그레이드하고 특정 패치를 적용하는 방안을 제시한다. 다만 배포판별 패키지 버전, 다운스트림 포크의 반영 여부, 서비스 중단 영향은 원문 보안 권고와 공급망 정보를 통해 확인할 필요가 있다.

본문은 수집한 기사의 제목과 발췌를 바탕으로 AI가 정리한 해설입니다. 수치·날짜·조문 등 세부 사실은 원문에서 확인하세요.