LMCache: JFrog divulgue une RCE critique 9,8 non corrigée
TL;DR
- JFrog's working PoC confirms one crafted ZMQ DEALER message to port 5555 achieves root code execution with zero prior authentication or credentials.
- All LMCache releases from 0.3.9 through 0.5.5 (latest PyPI), plus 0.5.6rc3 and the dev branch, are vulnerable with no fixed version published as of October 8.
- Default LMCache container images run the process as root, collapsing exploitation complexity to a single network-reachable packet from any reachable host.
JFrog a divulgué le 7 octobre une vulnérabilité critique dans LMCache, logiciel open source qui accélère les serveurs d'inférence LLM comme vLLM. Notée CVE-2026-105192 avec un score CVSS de 9,8 sur 10, elle n'a pour l'instant aucun correctif.
La faille loge dans le mode multiprocess, où le cache tourne en serveur autonome que les workers LLM joignent via la bibliothèque ZeroMQ. Un seul message réseau suffit à exécuter des commandes avec les droits du processus LMCache. "One type of message is unpacked with pickle, a Python format that can carry code and run it as the data is decoded," rapporte The Hacker News : le dépaquetage précède la validation du type, et un message forgé déclenche l'exécution.
Sont concernées les versions 0.3.9, publiée en octobre 2025, jusqu'à 0.5.5, la dernière stable, ainsi que les release candidates 0.5.6 et la branche de développement. Par défaut, le serveur n'écoute qu'en localhost, garde-fou qui saute dès qu'un opérateur l'expose. Or "LMCache's own example Kubernetes deployment starts the server that way, listening on every network interface", écrit le média, ce qui transforme le bug local en RCE routable.
La découverte est attribuée à Yuval Moravchick, de l'équipe de recherche sécurité de JFrog. En attendant un correctif, JFrog conseille de ne pas assigner d'adresse routable au serveur multiprocess et de limiter le port au localhost ou à un réseau de cluster de confiance.
La veille de la publication du CVE, un utilisateur GitHub avait déjà ouvert six autres signalements de sécurité sur LMCache.
Ce qu'en disent les autres médias
-
JFrog Security Research Lire →
First-party advisory from the discoverer: full step-by-step PoC, exact vulnerable code path (msgpack extension code 1 triggers pickle.loads before any handler), and interim mitigations; explicitly confirms v0.5.6rc3 and dev branch also unpatched.
A single unauthenticated ZMQ DEALER message to the transport port therefore executes code as the user the LMCache process runs as.
-
Cyber Security News Lire →
Adds explicit confirmation that default container deployments run LMCache as root, raising the effective blast radius to full host compromise; verifies the 0.3.9 to 0.5.5 unpatched range as of disclosure date.
The vulnerable service uses MessagePack (msgpack) to decode data sent over the ZMQ connection
-
Forkast Lire →
Situates the flaw within a 'trust-through-defaults' architectural pattern, drawing parallels to Cisco NX-API and HPE ClearPass; frames AI inference infrastructure as a new attack surface repeating decade-old enterprise networking mistakes.
A single, unauthenticated ZeroMQ DEALER message to port 5555 executes arbitrary code with the privileges of the LMCache process.
Article original publié par thehackernews.com
Lire l'article original →Titre original : JFrog divulgue CVE-2026-105192, RCE non authentifiée critique 9,8 dans LMCache, aucun correctif disponible