Mesin inference-serving LMDeploy — RCE tak terauthentikasi via deserialisasi pickle yang tidak aman dalam konektor peer disaggregated-serving

Dipublikasikan 2026-08-19 dengan CVSS 9.8 (Kritis), ini adalah kerentanan eksekusi kode jarak jauh tak terauthentikasi dalam komponen disaggregated-serving LMDeploy yang disebabkan oleh deserialisasi pickle dari pesan peer yang tidak terpercaya yang terjadi sebelum validasi tipe.

LMDeploy adalah mesin inference-serving LLM produksi; RCE pre-auth tak terauthentikasi dalam proses model-serving secara langsung mengancam kerahasiaan bobot model dan rahasia co-located apa pun, dan memungkinkan penyerang untuk pivot dari satu endpoint inference yang terekspos ke dalam infrastruktur ML yang lebih luas — contoh buku teks dari komponen model-serving yang tersebar luas dengan kerentanan deserialisasi kritis dan mudah senjatakan.

Coroutine handle_zmq_recv dalam lmdeploy/pytorch/disagg/conn/engine_conn.py mendeserialisasi permintaan cache-free peer-to-peer menggunakan pickle.loads() sebelum melakukan pemeriksaan tipe (isinstance terhadap DistServeCacheFreeRequest). Endpoint POST /distserve/p2p_initialize dan /distserve/p2p_connect yang tak terauthentikasi memungkinkan penyerang jarak jauh memasok alamat ZMQ di bawah kendali mereka; mesin kemudian menarik dan pickle-mendeserialisasi byte yang dikendalikan penyerang, menjalankan kode arbitrer dalam proses LLM engine. Autentikasi dinonaktifkan secara default (api_keys default ke None).

Versi LMDeploy InternLM 0.9.2 dan lebih baru sebelum 0.16.0 (dengan disaggregated serving diaktifkan)

Tingkatkan ke LMDeploy ≥0.16.0. Aktifkan autentikasi api_keys pada semua endpoint serving; jangan ekspos endpoint p2p disaggregated-serving ke jaringan yang tidak terpercaya; batasi akses jaringan ke port koneksi peer.