LMCache Proqram Təminatında Kritik Boşluq: LLM Serverləri Təhlükə Altında

Kritik LMCache Boşluğu LLM Serverlərini Təhlükə Altına Qoyur

Böyük dil modelləri (LLM) serverlərinin, o cümlədən vLLM kimi sistemlərin performansını sürətləndirmək üçün istifadə edilən açıq mənbəli LMCache proqram təminatında kritik bir zəiflik aşkar edilib. Bu boşluq, hücumçulara keş serverdə autentifikasiya olmadan uzaqdan kod icra etmək (RCE) imkanı verir və hazırda bu zəifliyi aradan qaldıran heç bir yamalanmış versiya mövcud deyil.

Aşkar edilmiş kritik boşluq, LMCache-in “multiprocess” rejimində müşahidə olunur. Bu rejimdə keş, ayrıca bir server kimi fəaliyyət göstərir və LLM işçiləri ona ZeroMQ mesajlaşma kitabxanası vasitəsilə bağlanır. Boşluq, məhz bu multiprocess rejimində LMCache-in daxili funksionallığından qaynaqlanır.

Autentifikasiya tələb etmədən RCE imkanı, bu boşluğu xüsusilə təhlükəli edir. Bu o deməkdir ki, kənar bir hücumçu heç bir etimadnaməyə sahib olmadan sistemə daxil ola və zərərli kodları işə sala bilər. Nəticədə, keş serverinin tam nəzarətə götürülməsi, LLM proseslərinin manipulyasiyası və hətta şəbəkə daxilində digər sistemlərə yanal hərəkətlər üçün bir yol açıla bilər.

LMCache-in LLM infrastrukturlarında geniş istifadə edildiyi nəzərə alınarsa, bu yamalanmamış zəiflik ciddi təhlükəsizlik riskləri yaradır. Bu boşluqdan istifadə edə biləcək hər hansı bir Exploit, geniş miqyaslı hücumların həyata keçirilməsinə səbəb ola bilər. İstifadəçilərə, LMCache-in bu rejimdə istifadəsinə yenidən baxmaq və potensial riskləri azaltmaq üçün əlavə təhlükəsizlik tədbirləri görmək tövsiyə olunur, baxmayaraq ki, əsaslı həll üçün rəsmi yamama gözlənilir.