LMCache atklāta kritiska neaizlāpīta kļūda: bez autentifikācijas iespējama attālināta koda izpilde

Drošības pētniecības uzņēmums JFrog 7. oktobrī publiski atklāja kritisku ievainojamību atvērtā koda projektā LMCache, kas paātrina lielo valodu modeļu serverus, tostarp vLLM. Kļūda, kas reģistrēta kā CVE-2026-105192, ļauj uzbrucējam bez pieteikšanās ar vienu tīkla ziņojumu izpildīt kodu uz kešatmiņas servera. JFrog tai piešķīris smaguma vērtējumu 9,8 no 10, kad serveris klausās maršrutējamā adresē.

Problēma skar LMCache multiprocess jeb izplatīto režīmu, kurā kešatmiņa darbojas kā atsevišķs serveris un ar darbinieku procesiem sazinās caur ZeroMQ. Šim kontaktligzdas savienojumam nav autentifikācijas. Viena ziņojuma tips tiek izpakots ar Python pickle formātu, kas var nest un izpildīt kodu; tas notiek jau argumentu dekodēšanas laikā, pirms ziņojuma tipa pārbaudes. Uz oficiālajiem konteineru attēliem process pēc noklusējuma darbojas kā root.

Ietekmētas ir versijas no 0.3.9 (2025. gada oktobris) līdz jaunākajai stabilajai 0.5.5, kā arī 0.5.6 kandidāti un izstrādes zars. Labotas versijas nav. Pēc noklusējuma multiprocess serveris klausās tikai lokālajā mašīnā un no citiem datoriem nav sasniedzams; risks rodas, kad operators ar --host iestata maršrutējamu adresi, kā tas tipiski notiek vairāku mezglu izvietošanā. LMCache piemēra Kubernetes konfigurācija serveri palaid ar klausīšanos uz visām tīkla saskarnēm. LMCache, kas darbojas tikai iekšā vienā vLLM procesā, šo portu neatver.

Pagaidām JFrog iesaka nepiešķirt multiprocess serverim maršrutējamu adresi un paturēt portu (pēc noklusējuma 5555) lokālajā mašīnā vai uzticamā klastera tīklā. Ugunsmūris samazina, kas var pieslēgties, bet neizslēdz risku, jo jebkurš hosts, kas var atvērt savienojumu, joprojām var izpildīt kodu. LMCache līdz šim nav publicējis oficiālu drošības paziņojumu; JFrog konsultācijā arī nav norādīts, kā noteikt, vai serveris jau ticis uzbrukts.

Atsevišķi 6. oktobrī GitHub lietotājs iesniedza sešus papildu LMCache drošības ziņojumus, taču tiem nav CVE, uzturētāju apstiprinājuma un labojuma. Saistīta vLLM kļūda CVE-2026-105756, kas ļāva ar nepareizu cache_salt avārijas apturēt dzinēju, jau ir labota no versijas 0.30.0 (22. septembris) un ļauj tikai atteikuma uzbrukumu, ne koda izpildi. Kļūdas būtība — neautentificētu tīkla datu nodošana pickle — līdzinās 2025. gada novembrī citos MI secināšanas ietvaros atrastajām ShadowMQ tipa problēmām.