Phân tích lỗ hổng CVE-2026-105192: RCE nghiêm trọng trong LMCache

• Lỗ hổng nghiêm trọng: CVE-2026-105192 với điểm CVSS 9.8 cho phép thực thi mã từ xa (RCE) không cần xác thực.
• Cơ chế tấn công: Lạm dụng việc giải mã dữ liệu không an toàn thông qua hàm pickle.loads trong giao thức ZeroMQ.
• Phạm vi ảnh hưởng: Các phiên bản LMCache từ 0.3.9 trở đi, đặc biệt nguy hiểm trong các triển khai phân tán (distributed mode).
• Khuyến nghị: Hạn chế quyền truy cập mạng, không để lộ cổng 5555 ra môi trường công cộng và chờ đợi bản vá chính thức.

Một mã khai thác (Proof-of-Concept - PoC) vừa được công bố cho lỗ hổng bảo mật nghiêm trọng trong LMCache, cho phép kẻ tấn công thực thi mã từ xa (RCE) mà không cần xác thực trên các hệ thống triển khai phân tán. Lỗ hổng này, được định danh là CVE-2026-105192, sở hữu điểm số CVSS 9.8, phản ánh mức độ nguy hiểm cực cao đối với các hạ tầng AI và suy luận mô hình ngôn ngữ lớn (LLM) đang sử dụng LMCache.

Phân tích kỹ thuật lỗ hổng CVE-2026-105192

Lỗ hổng được phát hiện bởi Yuval Moravchick từ đội ngũ nghiên cứu bảo mật của JFrog. Vấn đề nằm ở chế độ đa tiến trình (multiprocess mode), hay còn gọi là chế độ phân tán (distributed mode) của LMCache. Trong cấu hình này, dịch vụ sử dụng ZeroMQ (ZMQ) để cho phép nhiều tiến trình worker đăng ký và chia sẻ các khối cache khóa-giá trị. Rủi ro trở nên đặc biệt nghiêm trọng khi quản trị viên cấu hình dịch vụ lắng nghe trên một địa chỉ mạng có thể định tuyến (routable network address) để phục vụ nhu cầu đa nút (multi-node).

Theo các nhà nghiên cứu, dịch vụ ZMQ trong LMCache chấp nhận các thông điệp mà không thực hiện bất kỳ cơ chế xác thực nào. Hệ thống không sử dụng ZeroMQ CURVE, ZAP authentication, mật khẩu hay xác thực ở cấp độ thông điệp. Điều này đồng nghĩa với việc bất kỳ ai có khả năng kết nối tới cổng dịch vụ đều có thể gửi dữ liệu tùy ý. Dịch vụ sử dụng MessagePack để giải mã dữ liệu, và trong quá trình này, hàm DeviceIPCWrapper.Deserialize đã gọi trực tiếp pickle.loads của Python – một hàm cực kỳ nguy hiểm khi xử lý dữ liệu từ nguồn không tin cậy.

Chi tiết về cơ chế khai thác

Dữ liệu Python pickle có khả năng chứa các chỉ thị thực thi mã trong quá trình giải mã. Kẻ tấn công có thể gửi một thông điệp ZMQ được chế tạo đặc biệt chứa đối tượng pickle độc hại. LMCache sẽ xử lý đối tượng này trước khi thực hiện bất kỳ bước kiểm tra tính hợp lệ nào, dẫn đến việc mã độc được thực thi với quyền hạn của tiến trình LMCache.

# Ví dụ về việc kiểm tra cổng dịch vụ bị lộ trên hệ thống mục tiêu (Cổng mặc định 5555) 

Nếu LMCache được chạy trong các container chính thức, tiến trình thường chạy với quyền root. Điều này có nghĩa là một cuộc tấn công thành công có thể mang lại cho kẻ xâm nhập quyền kiểm soát toàn bộ container bị ảnh hưởng. Các phiên bản bị ảnh hưởng bao gồm từ 0.3.9 đến 0.5.5, cũng như các phiên bản ứng viên 0.5.6rc3 và nhánh phát triển tính đến ngày 7 tháng 10.

Khuyến nghị phòng thủ và giảm thiểu rủi ro

Trong khi chờ đợi bản vá chính thức từ nhà phát triển, các tổ chức cần thực hiện ngay các biện pháp giảm thiểu rủi ro để bảo vệ hạ tầng. Việc quan trọng nhất là không để lộ dịch vụ đa tiến trình ra môi trường mạng công cộng. Nếu có thể, hãy giữ dịch vụ này trên localhost hoặc giới hạn quyền truy cập thông qua tường lửa và phân đoạn mạng (network segmentation).

⚠️ Cảnh báo quan trọng: Các quản trị viên hệ thống cần rà soát ngay lập tức các listener ZMQ đang mở. Nếu phát hiện cổng 5555 đang lắng nghe trên địa chỉ 0.0.0.0, hãy lập tức cấu hình lại hoặc chặn truy cập từ các dải mạng không tin cậy để ngăn chặn nguy cơ bị chiếm quyền điều khiển.

Về lâu dài, giải pháp triệt để đòi hỏi việc loại bỏ pickle.loads khỏi quy trình xử lý dữ liệu mạng không xác thực. Thay vào đó, nhà phát triển nên thay thế bằng các định dạng dữ liệu an toàn hơn và triển khai cơ chế xác thực vận chuyển mạnh mẽ như ZeroMQ CURVE. Tham khảo thêm thông tin chi tiết tại Cơ sở dữ liệu lỗ hổng quốc gia (NVD) để cập nhật các thông báo bảo mật mới nhất.