LMCache のマルチプロセスモードで検証されていないリモートコード実行脆弱性が明らかに、巨大モデル推論キャッシュ層に影響

2026年10月8日、iThome と JFrog Security Research が同時に報じたところ、LMCache のマルチプロセス（分散）モードにおいて、検証されていないリモートコード実行脆弱性（CVE‑2026‑105192）が存在し、CVSS v3.1 の基本スコアは 9.8 で、危険度はクリティカルに分類されます。

脆弱性の概要

この欠陥は JFrog の研究チーム（番号 JFSA‑2026‑001694382）により 2026年10月7日に公開され、LMCache 0.3.9 以降のすべてのバージョンに影響し、最新の 0.5.5 正式版、0.5.6rc3 テスト版、および開発ブランチでも未修正です。脆弱性の根本原因は、LMCache がプロセス間 KV キャッシュ共有のために ZeroMQ ROUTER ソケットを開いており、デフォルトで TCP ポート 5555 をリッスンし、CURVE、ZAP、パスワード、HMAC などの認証機構が一切有効化されていないことにあります。

技術的詳細

マルチノード展開時、ユーザーは `--host` パラメータでルーティング可能なアドレスを指定する必要があり、ZeroMQ ソケットは localhost のみバインドされていた状態から外部からアクセス可能になります。LMCache は msgpack を転送エンコードとして使用し、msgpack の拡張コード 1 は `DeviceIPCWrapper.Deserialize` にマッピングされます。この関数は内部で Python 標準ライブラリの `pickle.loads` を直接呼び出します。この逆シリアライズはサーバーが `REGISTER_KV_CACHE` パラメータの解析段階で実行され、まだ任意のリクエストハンドラに入っていないため、攻撃者が悪意のある pickle ペイロードを送信すると、デコード時に任意の Python コードが実行されます。

攻撃フロー

利用者は開放された 5555 ポートに特製の msgpack メッセージを送信するだけで、pickle ペイロードはファイル（例：`/tmp/zmq_pwn`）に書き込むことができ、その後型エラーのログ出力をトリガーして、コードが LMCache プロセスのコンテキストで実行されたことを証明します。公式のコンテナイメージはデフォルトで root 権限で LMCache を起動しており、攻撃が成功すれば攻撃者はコンテナ内で root 権限を取得し、同一ホスト上の他のサービスにも影響を及ぼす可能性があります。

影響範囲

影響を受けるバージョンは 0.3.9、0.4.x、0.5.x 系列で、公式が提供するコンテナイメージはすべて未修正です。iThome は、LMCache が独立したマルチプロセスサービスとして実行される場合にのみ ZeroMQ ポートが開かれ、vLLM プロセス内部で LMCache を使用する場合はポートが起動せず、この脆弱性は露出しないと指摘しています。デフォルトでは ZeroMQ は localhost のみバインドされており、リモート攻撃者は直接アクセスできません。管理者が `--host` をルーティング可能なアドレスに手動で設定しない限り、外部からのアクセスはできません。

緩和策と推奨事項

JFrog は、マルチプロセスサービスのバインドアドレスを即座に localhost に制限し、ファイアウォールやクラスターのネットワークポリシーで TCP 5555 ポートをブロックすることを推奨しています。安全なパッチが入手できるまで、`--host` パラメータに外部からルーティング可能な IP を使用しないでください。長期的には、転送層を再設計し、pickle を用いた未検証ネットワークデータの逆シリアライズを回避し、安全なシリアライズ形式を採用し、ZeroMQ ソケットに認証（CURVE や HMAC など）を導入すべきです。

今後の展開と見通し

2026年10月8日現在、ベンダーはまだ修正バージョンや安全でない逆シリアライズを無効化した更新コンテナイメージをリリースしておらず、修正のタイムラインは未定です。サードパーティのディストリビューションが緩和策を移植済みかどうかも不明です。環境がデフォルトの localhost バインドを採用しているか、コンテナを信頼できないネットワークから隔離している場合、リモート攻撃者からの直接的な脅威はありませんが、内部の関係者や既に侵害されたホストはこの脆弱性を利用してコンテナ内の最高権限を取得する可能性があります。