무슨 일이 있었나
VulnCheck이(가) SGLang의 디버그 덤퍼 필터 평가에서 CWE-95 코드 주입을 공개했습니다(2026-10-16). 덤퍼 서버가 활성화된 경우 엔드포인트는 인증되지 않으며, 주입된 Python은 HTTP 핸들러가 아닌 스케줄러 프로세스(포워드 패스를 제공하는 모델을 소유한 프로세스)에서 폭발하므로 페이로드는 서빙 엔진의 전체 권한으로 실행됩니다. CISA SSVC는 exploitation=poc, technicalImpact=total로 표시합니다(NVD REST 확인).
왜 중요한가
이는 널리 배포된 LLM 추론 엔진의 제어 평면 내에서의 인증 없는 원격 코드 실행입니다. 손상된 스케줄러는 모델 가중치, API 키, 테넌트 요청 데이터를 읽고, 생성 출력을 변조하거나, 지속성을 위해 서빙 프로세스를 하이재킹할 수 있습니다 — LLM 서빙 클러스터를 공격자의 거점으로 전환합니다. 지연 폭발 설계(다음 포워드 패스에서 실행)는 또한 악용을 추적하기 어렵게 만듭니다.
공격 경로
/dumper/configure 엔드포인트에 도달할 수 있는 인증되지 않은 공격자는 조작된 필터 표현식을 제출합니다. _evaluate_filter()는 eval()로 평가합니다. 표현식은 re.search.__globals__를 통해 __builtins__에 도달하여 이스케이프하고, 모델 추론을 구동하는 스케줄러 프로세스 내부의 다음 포워드 패스에서 임의의 Python을 실행합니다. 덤퍼 서버는 DUMPER_SERVER_PORT가 설정된 경우에만 활성화됩니다(따라서 CVSS 공격 복잡성 높음 / 8.1 v3.1, 9.2 v4.0).
영향받는 시스템
SGLang 0.5.10 ~ 0.5.22 (python/sglang/srt/debug_utils/dumper.py)
완화 방안
명시적으로 필요하지 않은 한 디버그 덤퍼를 비활성화하고 /dumper/configure를 네트워크에 노출하지 마십시오. DUMPER_SERVER_PORT를 설정한 배포를 감사하십시오. 패치 상태에 대한 업스트림 이슈 #44188 및 GHSA-vfgj-p7f7-r3v8을 추적하십시오(확인 시점 기준 게시된 패치 없음). VulnCheck 권고: https://www.vulncheck.com/advisories/sglang-0.5.10-through-0.5.22-code-injection-via-debug-dumper-filter