Apa yang terjadi
Mode multiproses/distribusi LMCache membuka ROUTER ZeroMQ tanpa autentikasi (port default 5555) agar pekerja dapat berbagi blok cache KV. Pesan menggunakan msgpack, dan kode ekstensi 1 diteruskan ke DeviceIPCWrapper.Deserialize yang memanggil pickle.loads sambil tetap mendekode argumen permintaan. Satu pesan ZMQ tanpa autentikasi karena itu mengeksekusi kode sebagai proses LMCache — root di image kontainer resmi — ketika transport diikat ke alamat yang dapat dirutekan seperti yang dilakukan pada deployment multi-node.
Mengapa penting
LMCache adalah tier KV-cache yang banyak tim pasang pada server inferensi vLLM; penyerang yang dapat mencapai port transport mendapatkan RCE pra-auth di host yang melayani model, dapat membaca/menulis bobot model dan cache prompt, dan berpindah ke cluster yang melayani. Ini jelas merupakan kerentanan infrastruktur pelayanan AI. Isu terkait/saudara (CVE-2026-107204) dan endpoint /run_script yang opt-in memperluas eksposur.
Vektor serangan
Satu pesan DEALER ZMQ tanpa autentikasi ke port transport yang membawa ekstensi msgpack yang dimanipulasi untuk memicu pickle.loads
Sistem yang terdampak
LMCache 0.3.9 hingga 0.5.5 (dan rilis kandidat 0.5.6) digunakan sebagai lapisan KV-cache untuk vLLM; terekspos ketika transport ZeroMQ mengikat alamat yang dapat dirutekan / manifes K8s contoh mengikat semua antarmuka
Mitigasi
Tingkatkan ke LMCache 0.5.6 (mengganti pickle dengan MessagePack bertipe berversi; manifes K8s contoh sekarang mengikat localhost, image berjalan sebagai non-root). Sampai saat itu, pertahankan transport di localhost/cluster tepercaya, firewall port 5555, dan jalankan sebagai non-root