Krytyczna luka w SGLang Multimodal Generation Runtime umożliwiająca zdalne wykonanie kodu

Co wiadomo

W środowisku uruchomieniowym SGLang Multimodal Generation Runtime wykryto krytyczną lukę pozwalającą na nieautoryzowane zdalne wykonanie kodu. Problem wynika z braku uwierzytelnienia w DiffusionServer, który przekazuje dane bezpośrednio do funkcji pickle.loads() bez wcześniejszej walidacji.

Wpływ biznesowy

Luka o wysokim poziomie zagrożenia (CVSS 9.8) może umożliwić atakującym przejęcie kontroli nad systemem poprzez wysłanie specjalnie spreparowanych komunikatów sieciowych. Operatorzy IT i właściciele infrastruktury powinni traktować tę podatność jako krytyczną, gdyż może ona prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji lub poprawek od dostawcy SGLang oraz ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję DiffusionServer na nieznane sieci, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd konfiguracji sieciowej. W przypadku braku oficjalnych łatek, należy rozważyć tymczasowe wyłączenie usługi lub segmentację sieci. DataHouse wspiera weryfikację wersji oprogramowania oraz monitorowanie logów pod kątem anomalii.

Źródła

• NVD
• Reference
• Reference