V open-source softwaru LMCache, který zrychluje servery velkých jazykových modelů (LLM), například vLLM, byla odhalena kritická zranitelnost. Útočník přes ni může na cache serveru spustit vlastní kód bez jakéhokoli přihlášení. Opravená verze zatím neexistuje.
Chybu zveřejnila 7. října společnost JFrog a ohodnotila ji skóre 9,8 z 10. Zranitelnost s označením CVE-2026-105192 se týká LMCache od verze 0.3.9 z října 2025 až po aktuální stabilní verzi 0.5.5. Vyskytuje se i v kandidátských verzích 0.5.6 a ve vývojové větvi. Objevil ji Yuval Moravchick z bezpečnostního týmu JFrogu.
Kde je problém
Zranitelnost se nachází v takzvaném multiprocesovém režimu, kdy cache běží jako samostatný server a pracovní procesy LLM se k němu připojují přes knihovnu pro zasílání zpráv ZeroMQ. Socket, přes který se procesy registrují a sdílejí data, nemá žádné ověřování. Jeden typ zpráv se navíc rozbaluje pomocí formátu pickle jazyka Python, který dokáže nést kód a spustit ho už při dekódování dat. Server zprávu rozbalí ještě předtím, než zkontroluje její typ, takže upravená zpráva stačí ke spuštění útočníkova kódu. Ten pak běží s oprávněními procesu LLMCache, který na oficiálních kontejnerových obrazech podle JFrogu běží jako root.
Zda je server ohrožený, záleží na jediném nastavení. Ve výchozím stavu naslouchá jen na lokálním počítači a z jiného stroje není dostupný. Zranitelným se stává ve chvíli, kdy ho správce spustí s adresou dostupnou ze sítě, jak se to dělá u nasazení sdílejících cache mezi více stroji. Právě takto server spouští i ukázkové nasazení pro Kubernetes, které LMCache sám poskytuje, a naslouchá v něm na všech síťových rozhraních. Kopie LMCache běžící uvnitř jednoho procesu vLLM port vůbec neotevírá.
Doporučení a související hlášení
Dokud oprava nevyjde, doporučuje JFrog nepřidělovat multiprocesovému serveru směrovatelnou adresu a ponechat jeho port na lokálním stroji nebo v důvěryhodné síti clusteru. Firewall riziko sníží, ale neodstraní, protože kód může spustit jakýkoli stroj, který se k portu dokáže připojit. LMCache k chybě zatím nevydal bezpečnostní upozornění a JFrog nenabízí způsob, jak zjistit, zda už byl server napaden.
Den před zveřejněním chyby otevřel jeden uživatel GitHubu šest dalších bezpečnostních hlášení k LMCache. Týkají se údajného přístupu k datům různých zákazníků bez ověření a síťových služeb, které spouštějí příkazy bez přihlášení. Hlášení zatím nemají CVE, potvrzení od správců ani opravu. Související chyba ve vLLM už opravena je. Ve verzích starších než 0.30.0 mohl jediný požadavek s chybnou hodnotou cache_salt shodit engine. Jde o zranitelnost odepření služby CVE-2026-105756 se skóre 6,5, která spuštění kódu neumožňuje. Základní chyba, tedy předávání dat z neověřeného síťového socketu formátu pickle, je stejná jako u skupiny zranitelností ShadowMQ, které výzkumníci našli v listopadu 2025 v dalších frameworcích pro AI inferenci.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
