LMCache 多行程模式曝出未驗證遠端程式碼執行漏洞，影響大型模型推論快取層

2026 年 10 月 8 日，iThome 與 JFrog Security Research 同時報導，LMCache 在多行程（分散式）模式下存在未驗證的遠端程式碼執行漏洞（CVE‑2026‑105192），CVSS v3.1 基礎分數 9.8，屬於危急等級。兩家媒體均指出，此缺陷可讓未授權的攻擊者在目標系統上直接執行任意程式碼，對使用該快取層的機器學習服務構成極高風險。

漏洞概述

該缺陷由 JFrog 研究團隊（編號 JFSA‑2026‑001694382）於 2026 年 10 月 7 日公開，影響 LMCache 0.3.9 起的所有版本，直至最新的 0.5.5 正式版、0.5.6rc3 測試版以及開發分支皆未修補。漏洞根源在於 LMCache 為跨進程 KV‑cache 共享而開啟的 ZeroMQ ROUTER socket，預設監聽 TCP 5555 埠，且未啟用任何認證機制（如 CURVE、ZAP、密碼或 HMAC）。因此，只要該埠對外可達，攻擊者即可在未經驗證的情況下與服務通訊。

技術細節

在多節點部署時，使用者必須透過 `--host` 參數提供可路由的位址，ZeroMQ socket 隨即從僅綁定 localhost 變為對外可達。LMCache 以 msgpack 作為傳輸編碼，msgpack 擴充代碼 1 會映射至 `DeviceIPCWrapper.Deserialize`，該函式內部直接呼叫 Python 標準庫的 `pickle.loads`。此反序列化在伺服器仍在解析 `REGISTER_KV_CACHE` 參數階段執行，尚未進入任何請求處理器，因而允許攻擊者送入惡意 pickle 負載，在解碼時執行任意 Python 代碼。換句話說，漏洞的觸發點位於資料解碼的最早階段，未經任何安全檢查即執行反序列化邏輯。

攻擊流程

利用者只需向開放的 5555 埠發送特製的 msgpack 訊息，其中的 pickle 負載可寫入檔案（例如 `/tmp/zmq_pwn`），隨後觸發類型錯誤的日誌輸出，以證明代碼已在 LMCache 進程上下文中執行。官方容器映像預設以 root 身份啟動 LMCache，若成功利用，攻擊者即可在容器內取得 root 權限，進一步影響同一主機上的其他服務。此過程不需要先前的認證或會話，完全基於未受保護的 ZeroMQ 端口與 pickle 反序列化機制。

受影響範圍

受影響的版本包括 0.3.9、0.4.x、0.5.x 系列，且官方提供的容器映像皆未修補。iThome 亦指出，僅在 LMCache 作為獨立多行程服務時才會開啟 ZeroMQ 埠；若僅在 vLLM 進程內部使用 LMCache，則不會啟動該埠，故不會暴露此漏洞。預設情況下，ZeroMQ 只綁定 localhost，遠端攻擊者無法直接存取，除非管理員手動將 `--host` 設為可路由位址。換言之，只有在管理員主動將服務暴露於外部網路時，漏洞才會被外部威脅所利用。

緩解與建議

JFrog 建議立即將多行程服務的綁定位址限制在 localhost，並透過防火牆或叢集網路策略封鎖 TCP 5555 埠。除非取得安全修補，切勿在 `--host` 參數中使用可被外部路由的 IP。長遠來看，應重新設計傳輸層，避免使用 pickle 反序列化未驗證的網路資料，改採安全的序列化格式，並為 ZeroMQ socket 加入認證（如 CURVE 或 HMAC）。同時，建議在容器映像中以非 root 身份執行 LMCache，以降低成功利用後的權限提升風險。

後續與展望

截至 2026 年 10 月 8 日，廠商尚未發布任何修補版本或禁用不安全反序列化的更新容器映像，修復時間表仍未確定。第三方發行版是否已回移植緩解措施亦不明朗。環境若已採取預設 localhost 綁定或將容器與不受信任網路隔離，則不會受到遠端攻擊者的直接威脅；但內部人員或已被入侵的主機仍可能利用此缺陷取得容器內的最高權限。持續關注官方公告與安全社群的後續回應，並在可行時盡快部署臨時防護措施，是目前最實際的風險管理方式。