Podatności LMCache

LMCache do wersji 0.5.5 zawiera podatność typu server-side request forgery w usłudze monitorowania frontendu, która pozwala nieuwierzytelnionym atakującym obejść listę dozwolonych proxy poprzez rejestrowanie dowolnych hostów. Atakujący mogą dodawać wpisy przez POST /api/proxies, a następnie używać /proxy lub /proxy2 do osiągnięcia wewnętrznych hostów, odczytu odpowiedzi i manipulacji węzłami lub zatrzymania heartbeatu.

LMCache do wersji 0.5.5 zawiera podatność braku uwierzytelniania w koordynatorze wieloprocesowym, która pozwala zdalnym nieuwierzytelnionym atakującym uzyskać dostęp do API kontroli floty HTTP nasłuchującego domyślnie na wszystkich interfejsach. Atakujący mogą rejestrować lub wyrejestrowywać instancje przez /instances, nadpisywać limity przez /quota, wstrzykiwać zdarzenia przez /events i wyliczać /directory/keys, aby zakłócić buforowanie i ujawnić metadane umiejscowienia.

LMCache do wersji 0.5.5 zawiera podatność braku uwierzytelnienia w serwerze HTTP działającym w trybie wieloprocesowym. Zdalny, nieuwierzytelniony atakujący może uzyskać dostęp do punktów zarządzania nasłuchujących na wszystkich interfejsach. Może odczytać zmienne środowiskowe (GET /env), konfigurację (GET /config), czyścić cache, usuwać obiekty cache i modyfikować limity dzierżawców, co może prowadzić do wykluczenia danych innych dzierżawców.

LMCache do wersji 0.5.5 zawiera podatność zdalnego wykonania kodu bez uwierzytelnienia. Zdalny atakujący może wysyłać skrypty do punktu /run_script i wykonywać kod Pythona. Może odzyskać prawdziwe wbudowane funkcje przez obiekt aplikacji FastAPI, omijając zabezpieczony __import__, aby zaimportować os i wykonywać polecenia systemu operacyjnego jako proces LMCache.

LMCache w trybie wieloprocesowym (rozproszonym) otwiera nieuwierzytelniony gniazdo ZeroMQ ROUTER, umożliwiając rejestrację workerów i udostępnianie bloków pamięci podręcznej KV. Wiadomości na tym gnieździe są w formacie msgpack, a kod rozszerzenia 1 jest przekazywany do DeviceIPCWrapper.Deserialize, który wywołuje pickle.loads, zanim serwer zakończy dekodowanie argumentów żądania i uruchomi handler. Pojedyncza nieuwierzytelniona wiadomość ZMQ DEALER na porcie transportowym (domyślnie 5555) wykonuje kod jako użytkownik procesu LMCache. Oficjalne obrazy kontenerów uruchamiają ten proces jako root. Transport wiąże się z localhost, chyba że operator ustawi adres routowalny za pomocą --host, co umożliwia połączenia w wielu węzłach.

Podatność w LMCache do wersji 0.4.6. Funkcja hex_hash_to_int16 w pliku lmcache/integration/vllm/utils.py (komponent KV Cache Handler) używa słabego hasha. Atak wymaga dostępu lokalnego i wysokiej złożoności. Exploit jest publicznie dostępny.