【安全圈】大模型缓存LMCache曝严重0day：无补丁直接RCE
安全圈 2026-10-08 19:00 江苏
关键词
漏洞
💡 突发危机：安全研究团队 JFrog 披露开源 AI 缓存框架 LMCache 存在未经身份验证的远程代码执行（RCE）高危漏洞（CVSS 9.8）。攻击者仅需向目标服务发送单条特制网络报文，即可在未经认证的情况下直接夺取服务器控制权。目前官方尚未发布任何修复补丁，处于裸奔 0-day 状态。
🔍 漏洞成因：未鉴权通信遇上 Pickle 反序列化
LMCache 是当前大模型领域用于为 vLLM 等推理引擎加速的长文本 KV Cache 缓存中间件。漏洞被追踪为 CVE-2026-105192：
- 架构隐患：
在多进程模式（multiprocess mode）下，LMCache 作为独立缓存服务运行，通过 ZeroMQ 套接字与各个 LLM Worker 通信并共享缓存。
- 零认证鉴权：
该 ZeroMQ 通信接口完全未设置任何身份验证拦截机制。
- 直接 RCE 触发：
服务端在读取消息参数时，直接使用 Python 原生
pickle模块进行解包。攻击者发送一段包含恶意可执行载荷的序列化数据，服务端在校验消息类型前便自动触发执行。 - 默认 Root 权限：
更严重的是，在官方提供的 Docker 镜像中，该后台缓存进程默认以
root权限运行，攻击者得手后直接接管宿主节点。
⚠️ 受影响版本与高危暴露面
从 0.3.9 到最新的稳定版本 0.5.5、以及 0.5.6-rc 候选版和开发分支全线沦陷。
🚨 官方 K8s 配置踩雷：LMCache 官方自带的 Kubernetes 部署示例中，默认将缓存服务监听在所有网络接口（0.0.0.0）。如果运维人员将其映射至公网或路由可达的 VPC 集群，即刻处于公开被扫状态。
🛡️ 无补丁状态下的紧急防御
在官方正式修复补丁发布之前，所有部署了 LMCache 多节点集群的团队必须执行以下措施：
- 下线公网绑定：
确保 multiprocess 独立缓存节点仅监听在
127.0.0.1，严禁绑定公网 IP。 - 网络防火墙硬隔离：
跨节点集群必须在安全组或 iptables 中强制限定来源 Worker IP，任何未经报备的节点均不可触达 ZeroMQ 端口。
- 降权运行容器：
修改官方容器配置，禁用 root 运行，改为独立无特权用户。
END
阅读推荐
【安全圈】百余网站遭挂马植入伪Cloudflare：智能合约派发木马
【安全圈】Anthropic放开Claude安全限制：实测挖出12.9万漏洞引发争议
【安全圈】伪造ChatGPT与Claude广告后台：真人操盘钓鱼收割MFA令牌
【安全圈】AI垃圾报告泛滥成灾：Google暂停开源软件漏洞赏金
【安全圈】黑客骨干约旦落网：ShinyHunters核心遭捕，FBI深入撕开7000万黑产链
安全圈
←扫码关注我们
网罗圈内热点 专注网络安全
实时资讯一手掌握！
好看你就分享 有用就点个赞
支持「安全圈」就点个三连吧！
本文转载自微信公众号「安全圈」，查看原文。版权归原作者所有，如有侵权请联系删除。