CVE-2026-102634

SGLang zawiera podatność umożliwiającą zdalne wykonanie kodu, spowodowaną bezwarunkową deserializacją ładunków PickleWrapper przez dekoder wiadomości ZMQ za pomocą pickle.loads() w funkcji _maybe_unwrap_pickle, bez listy dozwolonych typów ani uwierzytelniania. Podatność utrzymuje się również na ścieżce msgpack nawet przy wyłączonym SGLANG_USE_PICKLE_IPC i staje się zdalnie wykorzystywalna, gdy włączona jest uwaga równoległa danych z ustawieniem --dist-init-addr innym niż loopback.

Środowisko uruchomieniowe generowania multimodalnego SGLang jest podatne na nieuwierzytelnione wykonanie dowolnego kodu, ponieważ orchestrator disaggregated-diffusion wiąże nieuwierzytelniony gniazdo ZeroMQ ROUTER z interfejsem sieciowym i przekazuje ostatnią ramkę odebranych wiadomości wieloczęściowych bezpośrednio do pickle.loads() przed jakąkolwiek walidacją.

SGLang pozwala na nieuwierzytelnioną deserializację pickle poprzez /update_weights_from_tensor, gdy nie skonfigurowano kluczy uwierzytelniających, a politykę SafeUnpickler można obejść, ponieważ builtins.import i builtins.getattr są rozwiązywalne, co umożliwia wykonanie kodu poprzez pickle REDUCE.

SGLang zawiera podatność zdalnego wykonania kodu (RCE) podczas próby załadowania wag modelu z repozytorium HuggingFace. W punkcie końcowym /update_weights_from_disk funkcja torch.load z parametrem weights_only=False umożliwia deserializację pickle plików .bin.

SGLang zawiera podatność zdalnego wykonania kodu (RCE) w opcjonalnym podsystemie dumper. Gdy zmienna DUMPER_SERVER_PORT jest ustawiona, możliwa jest ucieczka z piaskownicy, co umożliwia wykonanie kodu na żądaniach inferencyjnych.

SGLang zawiera podatność zdalnego wykonania kodu (RCE) bez uwierzytelniania w punkcie końcowym /load_lora_adapter_from_tensors. Podatność wynika z obejścia niekompletnej listy blokad SafeUnpicklera, co umożliwia wykonanie dowolnych poleceń poprzez spreparowane ładunki pickle zakodowane w base64.

Podatność w SGLang dotyczy podsystemu kopii zapasowej ekspertów równoległych, który udostępnia gniazdo ZeroMQ PULL na routowalnym interfejsie sieciowym bez uwierzytelniania ani zabezpieczeń deserializacji. Umożliwia to atakującemu dostarczenie złośliwego pliku pickle, prowadząc do nieuwierzytelnionego zdalnego wykonania kodu, gdy funkcja jest włączona, a usługa jest osiągalna przez sieć.

W sgl-project sglang do wersji 0.5.21 wykryto lukę w funkcji server_info pliku python/sglang/srt/entrypoints/http_server.py w komponencie HTTP Endpoint. Manipulacja argumentem api_key prowadzi do przesyłania wrażliwych informacji w postaci jawnej (cleartext). Atak można przeprowadzić zdalnie, jest on jednak bardzo złożony i trudny do wykorzystania. Exploit został upubliczniony, a pull request z poprawką oczekuje na akceptację.

SGLang zawiera podatność na atak DoS spowodowaną brakiem walidacji danych wejściowych dla komunikatów kontrolnych AUX_DATA ZeroMQ w workerze Decode. Umożliwia to nieuwierzytelnionemu zdalnemu atakującemu z dostępem sieciowym do gniazda PULL kontroli Decode zakończenie wątku kontroli Decode i spowodowanie odmowy usługi na docelowym serwerze.

SGLang w wersjach do 0.5.20 zawiera podatność na nieograniczoną alokację pamięci w funkcji handle_staging_req(), która nie waliduje wartości chunk_idx z ramek ZMQ STAGING_REQ w środowiskach z rozdzielonym prefill/decode. Atakujący z dostępem do wewnętrznego portu ZMQ silnika decode może wysłać ramkę z bardzo dużą wartością chunk_idx, powodując alokację pamięci aż do wyczerpania zasobów systemu i zakończenia procesu.