LMCache im Mehrprozessmodus offenbart nicht verifizierte Remote-Code-Ausführungslücke, die die Cache‑Schicht großer Modellinferenz betrifft

Am 8. Oktober 2026 veröffentlichten iThome und JFrog Security Research gleichzeitig einen Bericht, in dem sie enthüllen, dass das System LMCache im Mehrprozess‑ (oder verteilten) Modus eine nicht verifizierte Remote‑Code‑Ausführungslücke (CVE‑2026‑105192) aufweist. Die Schwachstelle wird nach dem Bewertungssystem CVSS Version 3.1 mit einer Basisbewertung von 9,8 eingestuft, was sie in die höchste, kritische Risikokategorie einordnet. Die Meldung betont, dass die Lücke es einem Angreifer ermöglicht, beliebigen Python‑Code auf dem betroffenen System auszuführen, ohne dass eine Authentifizierung erforderlich ist. Die Veröffentlichung erfolgte am 7. Oktober 2026, und die betroffenen Komponenten umfassen die ZeroMQ‑Transport‑Schicht, die von LMCache für die Kommunikation zwischen mehreren Prozessen verwendet wird. Dies stellt ein erhebliches Sicherheitsrisiko für Umgebungen dar, in denen LMCache in einer verteilten Architektur eingesetzt wird, insbesondere in Cloud‑ und Container‑Umgebungen, wo mehrere Knoten miteinander kommunizieren.

Schwachstellenübersicht

Die Schwachstelle wurde vom Forschungsteam von JFrog (Referenznummer JFSA‑2026‑001694382) am 7. Oktober 2026 öffentlich gemacht. Sie betrifft alle Versionen von LMCache ab Version 0.3.9 bis hin zu den neuesten stabilen Veröffentlichungen, einschließlich der offiziellen Version 0.5.5, der Testversion 0.5.6rc3 sowie aller Entwicklungszweige, die zum Zeitpunkt der Veröffentlichung noch nicht gepatcht waren. Der Kern des Problems liegt in der Art und Weise, wie LMCache für den übergreifenden Prozess‑KV‑Cache ZeroMQ‑ROUTER‑Sockets verwendet. Standardmäßig lauscht das System auf dem TCP‑Port 5555, jedoch ohne jegliche Authentifizierungsmechanismen wie CURVE, ZAP, Passwörter oder HMAC, wodurch jede Verbindung von außen potenziell akzeptiert wird. Durch das Fehlen einer Authentifizierung wird die Angriffsfläche erheblich vergrößert, da ein Angreifer, der Netzwerkzugriff auf den Port erlangt, direkt mit dem internen Cache‑Dienst interagieren kann.

Technische Details

In einer Multi‑Node‑Bereitstellung muss der Benutzer die Option `--host` angeben, um eine routbare Adresse bereitzustellen. Sobald diese Option gesetzt ist, wechselt der ZeroMQ‑Socket von einer reinen Bindung an localhost zu einer Adresse, die von außen erreichbar ist. LMCache verwendet für die Datenübertragung das Serialisierungsformat msgpack. Innerhalb von msgpack ist der Erweiterungscode 1 so definiert, dass er auf die Funktion `DeviceIPCWrapper.Deserialize` abgebildet wird. Diese Funktion ruft intern die Python‑Standardbibliothek `pickle.loads` auf, um das empfangene Objekt zu deserialisieren. Da diese Deserialisierung bereits im frühen Stadium der Verarbeitung des Befehls `REGISTER_KV_CACHE` erfolgt, bevor irgendein Anforderungs‑Handler aktiv wird, kann ein Angreifer ein manipuliertes Pickle‑Payload einschleusen, das beim Dekodieren beliebigen Python‑Code ausführt. Der kritische Punkt ist, dass die Deserialisierung ohne vorherige Validierung des Eingabedatenstroms erfolgt, wodurch die Sicherheitsmechanismen von Python umgangen werden.

Angriffsablauf

Ein Angreifer muss lediglich ein speziell präpariertes msgpack‑Nachricht an den offenen Port 5555 senden. Das enthaltene Pickle‑Payload kann so gestaltet werden, dass es beispielsweise eine Datei unter `/tmp/zmq_pwn` schreibt. Anschließend löst das System einen Typfehler‑Logeintrag aus, der als Nachweis dient, dass der Code im Kontext des LMCache‑Prozesses ausgeführt wurde. Da das offizielle Container‑Image von LMCache standardmäßig als Benutzer root gestartet wird, erlangt ein erfolgreicher Angreifer im Container sofort root‑Privilegien. Diese Privilegien ermöglichen es, weitere Aktionen auf dem Host‑System durchzuführen, etwa das Kompromittieren benachbarter Dienste oder das Erlangen von administrativem Zugriff auf das gesamte System. Der Angriff erfordert lediglich Netzwerkzugriff auf den betreffenden Port und kann automatisiert werden, um in großem Umfang mehrere Instanzen zu kompromittieren.

Betroffener Umfang

Betroffen sind alle Versionen der 0.3.9‑Serie, die 0.4‑x‑Reihe sowie die 0.5‑x‑Serie. Darüber hinaus enthalten die von JFrog bereitgestellten offiziellen Container‑Images zum Zeitpunkt der Veröffentlichung keine Patches für diese Schwachstelle. iThome weist darauf hin, dass die ZeroMQ‑Port‑Öffnung nur dann erfolgt, wenn LMCache als eigenständiger Mehrprozess‑Dienst betrieben wird. Wird LMCache hingegen ausschließlich als eingebetteter Cache innerhalb eines vLLM‑Prozesses verwendet, wird der ZeroMQ‑Port nicht gestartet und die Lücke bleibt unexponiert. In der Standardkonfiguration bindet ZeroMQ nur an localhost, sodass ein externer Angreifer ohne manuelle Änderung der `--host`‑Option keinen direkten Zugriff hat. Nur wenn ein Administrator die Option bewusst auf eine routbare IP‑Adresse setzt, wird die Angriffsfläche geöffnet. Daher ist die Gefahr insbesondere in Umgebungen relevant, in denen Administratoren die Netzwerk‑Erreichbarkeit bewusst erweitern.

Abschwächung und Empfehlungen

JFrog empfiehlt, sofort die Bindungsadresse des Mehrprozess‑Dienstes auf localhost zu beschränken und den TCP‑Port 5555 mittels Firewall‑Regeln oder Cluster‑Netzwerk‑Policies zu blockieren. Bis ein sicherer Patch verfügbar ist, sollte die Verwendung einer extern routbaren IP‑Adresse in der `--host`‑Option strikt vermieden werden. Langfristig sollte die Transport‑Schicht neu gestaltet werden, um die Verwendung von Pickle für die Deserialisierung von nicht vertrauenswürdigen Netzwerkdaten zu vermeiden. Stattdessen wird die Einführung eines sicheren Serialisierungsformats empfohlen, das keine Code‑Ausführung ermöglicht. Zusätzlich sollte für ZeroMQ‑Sockets eine Authentifizierung wie CURVE oder HMAC implementiert werden, um unautorisierte Verbindungen zu verhindern. Ein weiterer Schritt besteht darin, das Container‑Image zu aktualisieren, sobald ein offizieller Patch veröffentlicht wird, und die Sicherheitsrichtlinien für Container‑Deployments zu überprüfen.

Nachverfolgung und Ausblick

Bis zum 8. Oktober 2026 hat der Hersteller noch keinen Patch veröffentlicht und auch keine aktualisierten Container‑Images bereitgestellt, die die unsichere Deserialisierung deaktivieren. Der Zeitplan für ein offizielles Update bleibt unklar, ebenso wie die Frage, ob Drittanbieter‑Distributionen bereits eigene Gegenmaßnahmen integriert haben. Systeme, die die Standard‑localhost‑Bindung beibehalten oder die Container von untrusted Netzwerken isolieren, sind derzeit nicht unmittelbar durch externe Angreifer gefährdet. Allerdings können interne Nutzer oder bereits kompromittierte Hosts die Schwachstelle ausnutzen, um innerhalb des Containers höchste Rechte zu erlangen. Administratoren sollten daher sowohl Netzwerk‑ als auch Zugriffs‑Kontrollen überprüfen und gegebenenfalls zusätzliche Monitoring‑Mechanismen einsetzen, um verdächtige Aktivitäten zu erkennen.