何が起きたか
CVSS 9.8 (Critical) で2026年8月19日に公開されたこの脆弱性は、LMDeploy の disaggregated-serving コンポーネントにおける認証なしのリモートコード実行脆弱性であり、型検証の前に信頼できないピアメッセージの pickle 逆シリアル化が発生することが原因です。
なぜ重要か
LMDeploy は本番環境対応の LLM inference-serving engine であり、モデル提供プロセスにおける認証なしの事前認証 RCE はモデル重みとコロケーションされたすべてのシークレットの機密性を直接脅かし、攻撃者が単一の公開されたinference エンドポイントからより広いML インフラストラクチャへピボットすることを可能にします。これは広くデプロイされているモデル提供コンポーネントに備わった重大で容易に悪用可能な逆シリアル化の欠陥の典型例です。
攻撃経路
lmdeploy/pytorch/disagg/conn/engine_conn.py の handle_zmq_recv コルーチンは、型チェック（DistServeCacheFreeRequest に対する isinstance）を実行する前に pickle.loads() を使用してピアツーピアキャッシュフリーリクエストを逆シリアル化します。認証なしの POST /distserve/p2p_initialize および /distserve/p2p_connect エンドポイントにより、リモート攻撃者は自身が制御する ZMQ アドレスを供給することができます。その後、エンジンは攻撃者制御下のバイトをプルして pickle 逆シリアル化し、LLM エンジンプロセスで任意のコードを実行します。認証はデフォルトで無効化されています（api_keys のデフォルト値は None）。
影響を受けるシステム
InternLM LMDeploy バージョン 0.9.2 以降で 0.16.0 未満（disaggregated serving が有効の場合）
緩和策
LMDeploy ≥0.16.0 にアップグレードしてください。すべての提供エンドポイントで api_keys 認証を有効化し、disaggregated-serving p2p エンドポイントを信頼できないネットワークに公開しないようにしてください。ピア接続ポートへのネットワークアクセスを制限してください。