LMCache multi‑procesmodus onthult onbeveiligde remote code execution‑kwetsbaarheid, beïnvloedt grote‑model inferentie‑cachelaag

Op 8 oktober 2026 rapporteerden zowel iThome als JFrog Security Research gelijktijdig dat LMCache in de multi‑proces (gedistribueerde) modus een onbeveiligde remote code execution‑kwetsbaarheid bevat (CVE‑2026‑105192). De kwetsbaarheid heeft een CVSS v3.1 basis score van 9,8, wat overeenkomt met een kritieke ernst. Deze beoordeling houdt rekening met de mogelijkheid voor een aanvaller om willekeurige code uit te voeren op de server, de impact op de vertrouwelijkheid, integriteit en beschikbaarheid van systemen, en de relatief gemakkelijke uitbuiting wanneer de ZeroMQ‑poort 5555 extern toegankelijk is. De melding benadrukt dat de kwetsbaarheid zich uitstrekt over alle ondersteunde versies van LMCache vanaf versie 0.3.9 tot en met de meest recente releases, en dat er op het moment van publicatie nog geen officiële patches beschikbaar waren.

Kwetsbaarheidsoverzicht

De kwetsbaarheid werd door het JFrog‑onderzoeksteam (referentienummer JFSA‑2026‑001694382) openbaar gemaakt op 7 oktober 2026. Het betreft alle LMCache‑versies vanaf 0.3.9, inclusief de stabiele release 0.5.5, de test‑release 0.5.6rc3 en de huidige ontwikkel‑branch, die tot op heden niet zijn gepatcht. De oorzaak ligt in het feit dat LMCache een ZeroMQ ROUTER‑socket opent voor inter‑process‑key‑value‑cache‑deling, standaard luisterend op TCP‑poort 5555, zonder enige vorm van authenticatie zoals CURVE, ZAP, wachtwoord of HMAC. Hierdoor kan elke externe entiteit die toegang heeft tot die poort verbinding maken en data verzenden die later door de server wordt verwerkt zonder verificatie.

Technische details

In een multi‑node‑implementatie moet de gebruiker het `--host`‑argument gebruiken om een routable adres op te geven; zodra dit gebeurt, verandert de ZeroMQ‑socket van een binding die alleen localhost accepteert naar een socket die vanaf elke netwerkinterface bereikbaar is. LMCache maakt gebruik van msgpack als transport‑codering. De msgpack‑extensiecode 1 wordt gemapt naar de functie `DeviceIPCWrapper.Deserialize`, die intern direct de Python‑standaardbibliotheekfunctie `pickle.loads` aanroept. Deze deserialisatie vindt plaats terwijl de server nog bezig is met het verwerken van het `REGISTER_KV_CACHE`‑parameter, vóórdat een request‑handler wordt aangeroepen. Hierdoor kan een aanvaller een kwaadaardige pickle‑payload injecteren die, tijdens het deserialisatieproces, willekeurige Python‑code uitvoert met dezelfde privileges als het LMCache‑proces.

Aanvalsproces

Een aanvaller hoeft alleen een speciaal geconstrueerd msgpack‑bericht naar de geopende poort 5555 te sturen. Het bericht bevat een pickle‑payload die bijvoorbeeld een bestand kan schrijven naar `/tmp/zmq_pwn`. Na het schrijven van het bestand wordt een type‑fout gelogd, wat dient als bewijs dat de code in de context van het LMCache‑proces is uitgevoerd. De officiële container‑image start LMCache standaard als root‑gebruiker; als de exploit slaagt, verkrijgt de aanvaller root‑rechten binnen de container en kan hij vervolgens de rest van de host beïnvloeden, bijvoorbeeld door andere services te compromitteren of persistente toegang te verkrijgen.

Bereik van de impact

De getroffen versies omvatten de 0.3.9‑release, de 0.4.x‑reeks en de 0.5.x‑reeks. Alle officiële container‑images die door de leverancier worden aangeboden, bevatten de kwetsbaarheid omdat ze niet zijn gepatcht. iThome merkt op dat de ZeroMQ‑poort alleen wordt geopend wanneer LMCache als een zelfstandige multi‑processervice wordt uitgevoerd; wanneer LMCache alleen als een interne cache binnen een vLLM‑proces wordt gebruikt, wordt de poort niet gestart en blijft de kwetsbaarheid onbenut. Standaard bindt ZeroMQ alleen aan localhost, waardoor een externe aanvaller geen directe toegang heeft tenzij een beheerder handmatig het `--host`‑argument instelt op een routable IP‑adres.

Mitigatie en aanbevelingen

JFrog raadt aan om de bind‑address van de multi‑processervice onmiddellijk te beperken tot localhost en om via een firewall of cluster‑netwerk‑policy de TCP‑poort 5555 te blokkeren. Het wordt sterk aanbevolen om, totdat een veilige patch beschikbaar is, geen routable IP‑adressen te gebruiken in het `--host`‑argument. Op de lange termijn moet de transportlaag worden herontworpen om het gebruik van pickle‑deserialisatie van onbevestigde netwerkdata te vermijden; in plaats daarvan moet een veiligere serialisatie‑formaat worden gekozen, zoals JSON of protobuf, en moet authenticatie (bijvoorbeeld CURVE of HMAC) worden toegevoegd aan de ZeroMQ‑socket om ongeautoriseerde toegang te voorkomen.

Vervolg en vooruitzichten

Tot en met 8 oktober 2026 heeft de leverancier nog geen gepatchte versie of een bijgewerkte container‑image uitgebracht die de onveilige deserialisatie uitschakelt; de tijdlijn voor een fix blijft onduidelijk. Het is eveneens onduidelijk of derde‑partij distributies al mitigaties hebben teruggeport. Omgevingen die de standaard localhost‑binding behouden of die de container isoleren van onbetrouwbare netwerken, lopen geen direct risico op externe exploitatie; echter, interne medewerkers of reeds gecompromitteerde hosts kunnen nog steeds de kwetsbaarheid benutten om de hoogste rechten binnen de container te verkrijgen. Organisaties wordt aangeraden om de aanbevelingen van JFrog op te volgen en de netwerkinfrastructuur zodanig te configureren dat ongeautoriseerde toegang tot poort 5555 wordt voorkomen.