Lỗ hổng nghiêm trọng trong LMCache cho phép thực thi mã từ xa không cần xác thực

• Mối đe dọa: Lỗ hổng nghiêm trọng CVE-2026-105192 trong LMCache cho phép thực thi mã từ xa (RCE) không cần xác thực.

• Cơ chế lỗi: Việc sử dụng thư viện pickle để giải mã dữ liệu từ socket mạng không được bảo mật dẫn đến khả năng chiếm quyền điều khiển.

• Phạm vi ảnh hưởng: Các phiên bản từ 0.3.9 đến 0.5.5 và các bản phát hành thử nghiệm (RC).

• Khuyến nghị: Hạn chế quyền truy cập mạng, không gán địa chỉ routable cho server đa tiến trình và cô lập trong mạng nội bộ tin cậy.

Các nhà nghiên cứu bảo mật vừa công bố thông tin về một lỗ hổng bảo mật nghiêm trọng trong LMCache, một phần mềm mã nguồn mở được thiết kế để tối ưu hóa tốc độ cho các máy chủ mô hình ngôn ngữ lớn (LLM) như vLLM. Lỗ hổng này cho phép kẻ tấn công thực thi mã tùy ý trên máy chủ cache mà không cần bất kỳ hình thức xác thực nào, tạo ra rủi ro cực kỳ lớn cho các hệ thống hạ tầng AI.

Hình 1: Kiến trúc LMCache và vị trí lỗ hổng trong chế độ đa tiến trình (multiprocess mode).

Lỗ hổng nằm trong chế độ đa tiến trình của LMCache, nơi bộ nhớ đệm hoạt động như một máy chủ độc lập mà các worker LLM kết nối thông qua thư viện nhắn tin ZeroMQ. Một thông điệp mạng được gửi đến máy chủ này có thể kích hoạt các lệnh thực thi dưới quyền của tiến trình LMCache đang chạy.

Phân tích kỹ thuật lỗ hổng CVE-2026-105192

Theo báo cáo từ các chuyên gia an ninh mạng, lỗ hổng này được định danh là CVE-2026-105192 với điểm số CVSS 9.8 (Critical). Máy chủ chỉ có thể bị tấn công từ xa khi người vận hành cấu hình nó lắng nghe trên một địa chỉ có thể định tuyến (routable address) thay vì chỉ lắng nghe trên localhost như mặc định.

Socket ZeroMQ mà máy chủ đa tiến trình mở ra để các tiến trình worker đăng ký và chia sẻ dữ liệu cache hoàn toàn thiếu cơ chế xác thực. Một loại thông điệp được giải mã bằng pickle, một định dạng của Python có khả năng chứa mã độc và thực thi ngay khi dữ liệu được giải mã. Máy chủ thực hiện giải mã trước khi kiểm tra loại thông điệp, dẫn đến việc kẻ tấn công có thể gửi thông điệp được chế tạo đặc biệt để thực thi mã tùy ý.

Tác động và phạm vi ảnh hưởng

Mã thực thi sẽ chạy với đặc quyền của tiến trình LMCache. Trong các hình ảnh container chính thức của dự án, tiến trình này thường chạy dưới quyền root, điều này đồng nghĩa với việc kẻ tấn công có thể chiếm toàn quyền kiểm soát máy chủ. Lỗ hổng ảnh hưởng đến các phiên bản từ 0.3.9 (phát hành tháng 10/2025) đến 0.5.5, bao gồm cả các bản 0.5.6-rc.

Các báo cáo liên quan và lỗ hổng vLLM

Ngoài CVE-2026-105192, một người dùng GitHub đã báo cáo thêm 6 lỗ hổng khác liên quan đến việc truy cập trái phép dữ liệu cache của các tenant khác nhau. Đồng thời, một lỗ hổng liên quan trong vLLM đã được vá, định danh là CVE-2026-105756, cho phép tấn công từ chối dịch vụ (DoS) bằng cách gửi giá trị cache_salt sai lệch.

⚠️ Cảnh báo quan trọng: Hiện tại chưa có bản vá chính thức cho CVE-2026-105192. Người vận hành cần ngay lập tức cấu hình lại máy chủ LMCache để chỉ lắng nghe trên localhost hoặc trong mạng nội bộ được bảo vệ nghiêm ngặt bằng Firewall. Việc sử dụng các giải pháp như CISA khuyến nghị về Zero Trust là cần thiết để giảm thiểu bề mặt tấn công.

Các nhà nghiên cứu nhấn mạnh rằng sai lầm cốt lõi là việc truyền dữ liệu từ socket mạng không xác thực vào pickle, tương tự như nhóm lỗ hổng ShadowMQ đã được phát hiện trước đó. Người dùng nên theo dõi sát sao các thông báo từ dự án để cập nhật bản vá ngay khi có sẵn.