LMCache'de tespit edilen kritik bir güvenlik açığı, saldırganların kimlik doğrulaması olmadan uzaktan kod çalıştırmasına olanak tanıyor. JFrog tarafından 7 Ekim'de açıklanan ve CVE-2026-105192 olarak izlenen açık için henüz yayımlanmış bir yama bulunmuyor. Açık, LMCache'in çoklu işlem modunda çalışan önbellek sunucusunu hedef alıyor ve sunucu yönlendirilebilir bir adrese bağlandığında tek bir ağ mesajıyla sistemde kod çalıştırılabiliyor.
LMCache, vLLM gibi büyük dil modeli sunucularını hızlandırmak için kullanılan açık kaynaklı bir yazılım olarak biliniyor. Güvenlik açığı, önbelleğin bağımsız bir sunucu olarak çalıştığı ve büyük dil modeli çalışanlarının ZeroMQ mesajlaşma kütüphanesi üzerinden bu sunucuya ulaştığı çoklu işlem modunda ortaya çıkıyor. Bu modda sunucuya gönderilen özel olarak hazırlanmış bir mesaj, LMCache işleminin çalıştığı kullanıcı yetkileriyle komut çalıştırabiliyor. Projenin resmi konteyner imajlarında bu işlemin root olarak çalıştığı JFrog tarafından belirtiliyor.
Sunucu, mesajın argümanlarını okurken bu pickle verisini, mesaj türüne ilişkin herhangi bir kontrol yapmadan çözüyor. Bu nedenle saldırgan tarafından hazırlanan bir mesaj, tür kontrolünden önce işleme alınıyor ve içindeki kod doğrudan çalıştırılıyor. Kod, LMCache sürecinin sahip olduğu ayrıcalıklarla yürütülüyor. Bu durum, ağ erişimi olan herhangi bir kişinin sunucuda komut çalıştırabilmesi anlamına geliyor.
Araştırmacılar, bu temel hatanın, kimliği doğrulanmamış bir ağ soketinden gelen verinin doğrudan pickle'a aktarılması olduğunu vurguluyor. Aynı hata, Kasım 2025'te diğer yapay zeka çıkarım çerçevelerinde de tespit edilmiş ve ShadowMQ adı verilen bir grup açıkta toplanmıştı. LMCache kodunun bu projelerle ortak bir kaynağı paylaşıp paylaşmadığı ise henüz netleşmiş değil.
Bir sunucunun dışarıdan erişilebilir olup olmadığı tek bir ayara bağlı. Varsayılan yapılandırmada çoklu işlem sunucusu yalnızca yerel makinede dinleme yapıyor, bu nedenle başka bir ana makineden ulaşılamıyor. Sunucu, operatör tarafından yönlendirilebilir bir adresle başlatıldığında ise ağ üzerinden erişilebilir hale geliyor. Bu durum, özellikle önbelleğin makineler arasında paylaşıldığı çok düğümlü dağıtımlarda görülüyor.
LMCache'in kendi örnek Kubernetes dağıtımı da sunucuyu bu şekilde başlatıyor ve tüm ağ arayüzlerinde dinleme yapacak şekilde yapılandırıyor. Buna karşılık, tek bir vLLM süreci içinde çalışan LMCache kopyası hiçbir port açmıyor ve bu açıktan etkilenmiyor. JFrog'un verdiği 10 üzerinden 9,8'lik kritik şiddet puanı da yalnızca yönlendirilebilir bir adrese bağlı sunucular için geçerli.
Yama yayımlanana kadar JFrog, operatörlere çoklu işlem sunucusuna yönlendirilebilir bir adres atamamalarını öneriyor. Portun yerel makinede tutulması veya yalnızca güvenilir bir küme ağı içinde erişilebilir olması tavsiye ediliyor. Port erişimini sınırlayan bir güvenlik duvarının riski azalttığı ancak tamamen ortadan kaldırmadığı belirtiliyor. Çünkü bağlantı kurabilen herhangi bir ana makine hala kod çalıştırabiliyor.
Bu öneri, özellikle örnek dağıtım dosyalarını doğrudan kullanan veya çok düğümlü kurulumlar için sunucuyu tüm arayüzlerde açan operatörler için önem taşıyor. Varsayılan yerel dinleme ayarında kalan sistemler ise ağ üzerinden gelen bu tür bir saldırıya maruz kalmıyor.
Bu bildirimlerden biri, 0.5.5 sürümünde tüm ağ arayüzlerinde dinleyen bir yönetici HTTP sunucusuna işaret ediyor. Bu varsayılan davranışın 0.5.6 sürüm adaylarında değiştirildiği ve sunucunun artık yalnızca yerel ana makinede dinlediği belirtiliyor.
Öte yandan vLLM'deki ilgili bir açık zaten düzeltildi. 22 Eylül'de yayımlanan 0.30.0 sürümünden önce, hatalı bir cache_salt değeri taşıyan tek bir istek, LMCache çoklu işlem bağlayıcısını kullanan dağıtımlarda motorun çökmesine neden olabiliyordu. CVE-2026-105756 olarak izlenen bu hizmet dışı bırakma açığı 6,5 puanla derecelendirildi ve kod çalıştırmaya izin vermiyor.
LMCache, vLLM gibi büyük dil modeli sunucularını hızlandırmak için kullanılan açık kaynaklı bir yazılım olarak biliniyor. Güvenlik açığı, önbelleğin bağımsız bir sunucu olarak çalıştığı ve büyük dil modeli çalışanlarının ZeroMQ mesajlaşma kütüphanesi üzerinden bu sunucuya ulaştığı çoklu işlem modunda ortaya çıkıyor. Bu modda sunucuya gönderilen özel olarak hazırlanmış bir mesaj, LMCache işleminin çalıştığı kullanıcı yetkileriyle komut çalıştırabiliyor. Projenin resmi konteyner imajlarında bu işlemin root olarak çalıştığı JFrog tarafından belirtiliyor.
Açık Nasıl Çalışıyor: ZeroMQ ve Pickle Riski
Sorunun merkezinde, çoklu işlem sunucusunun çalışan süreçlerin kayıt olması ve önbelleğe alınmış verileri paylaşması için açtığı ZeroMQ soketi yer alıyor. Bu sokette herhangi bir kimlik doğrulaması bulunmuyor. Sunucu, çalışanlardan gelen belirli bir mesaj türünü Python'a özgü pickle formatıyla çözümlüyor. Pickle, veri çözülürken kod taşıyabilen ve çalıştırabilen bir format olarak biliniyor.Sunucu, mesajın argümanlarını okurken bu pickle verisini, mesaj türüne ilişkin herhangi bir kontrol yapmadan çözüyor. Bu nedenle saldırgan tarafından hazırlanan bir mesaj, tür kontrolünden önce işleme alınıyor ve içindeki kod doğrudan çalıştırılıyor. Kod, LMCache sürecinin sahip olduğu ayrıcalıklarla yürütülüyor. Bu durum, ağ erişimi olan herhangi bir kişinin sunucuda komut çalıştırabilmesi anlamına geliyor.
Araştırmacılar, bu temel hatanın, kimliği doğrulanmamış bir ağ soketinden gelen verinin doğrudan pickle'a aktarılması olduğunu vurguluyor. Aynı hata, Kasım 2025'te diğer yapay zeka çıkarım çerçevelerinde de tespit edilmiş ve ShadowMQ adı verilen bir grup açıkta toplanmıştı. LMCache kodunun bu projelerle ortak bir kaynağı paylaşıp paylaşmadığı ise henüz netleşmiş değil.
Hangi Sürümler Etkileniyor ve Kimler Risk Altında
CVE-2026-105192, LMCache'in 0.3.9 sürümünden başlayarak 0.5.5'e kadar olan tüm sürümlerini etkiliyor. 0.3.9 sürümü Ekim 2025'te yayımlanmıştı ve 0.5.5 mevcut en son kararlı sürüm olarak öne çıkıyor. Açık ayrıca 0.5.6 sürüm adaylarında ve geliştirme dalında da bulunuyor. Şu ana kadar düzeltilmiş bir sürüm yayımlanmadı.Bir sunucunun dışarıdan erişilebilir olup olmadığı tek bir ayara bağlı. Varsayılan yapılandırmada çoklu işlem sunucusu yalnızca yerel makinede dinleme yapıyor, bu nedenle başka bir ana makineden ulaşılamıyor. Sunucu, operatör tarafından yönlendirilebilir bir adresle başlatıldığında ise ağ üzerinden erişilebilir hale geliyor. Bu durum, özellikle önbelleğin makineler arasında paylaşıldığı çok düğümlü dağıtımlarda görülüyor.
LMCache'in kendi örnek Kubernetes dağıtımı da sunucuyu bu şekilde başlatıyor ve tüm ağ arayüzlerinde dinleme yapacak şekilde yapılandırıyor. Buna karşılık, tek bir vLLM süreci içinde çalışan LMCache kopyası hiçbir port açmıyor ve bu açıktan etkilenmiyor. JFrog'un verdiği 10 üzerinden 9,8'lik kritik şiddet puanı da yalnızca yönlendirilebilir bir adrese bağlı sunucular için geçerli.
JFrog'un Uyarısı ve Alınabilecek Önlemler
Açığı JFrog güvenlik araştırma ekibinden Yuval Moravchick buldu. JFrog, 7 Ekim'deki açıklamasında açığın kritik seviyede olduğunu duyurdu. LMCache tarafında ise bu açığa ilişkin yayımlanmış bir güvenlik danışma metni bulunmuyor. JFrog'un danışma metni de operatörlerin bir sunucunun daha önce saldırıya uğrayıp uğramadığını anlamasına yardımcı olacak bir yöntem sunmuyor.Yama yayımlanana kadar JFrog, operatörlere çoklu işlem sunucusuna yönlendirilebilir bir adres atamamalarını öneriyor. Portun yerel makinede tutulması veya yalnızca güvenilir bir küme ağı içinde erişilebilir olması tavsiye ediliyor. Port erişimini sınırlayan bir güvenlik duvarının riski azalttığı ancak tamamen ortadan kaldırmadığı belirtiliyor. Çünkü bağlantı kurabilen herhangi bir ana makine hala kod çalıştırabiliyor.
Bu öneri, özellikle örnek dağıtım dosyalarını doğrudan kullanan veya çok düğümlü kurulumlar için sunucuyu tüm arayüzlerde açan operatörler için önem taşıyor. Varsayılan yerel dinleme ayarında kalan sistemler ise ağ üzerinden gelen bu tür bir saldırıya maruz kalmıyor.
Diğer Bildirimler ve vLLM'deki İlgili Düzeltme
CVE-2026-105192'nin açıklanmasından bir gün önce, 6 Ekim'de bir GitHub kullanıcısı LMCache için altı ek güvenlik bildirimi daha açtı. Bu bildirimlerde farklı kiracılara ait önbelleğe alınmış verilere yetkisiz erişim ve oturum açmadan komut yürüten çeşitli ağ hizmetleri iddia ediliyor. Bildirimlerin tamamı tek bir hesaptan geldi, kavram kanıtlama iddialarına dayanıyor ve henüz CVE numarası, bakımcılardan doğrulama veya düzeltme bulunmuyor.Bu bildirimlerden biri, 0.5.5 sürümünde tüm ağ arayüzlerinde dinleyen bir yönetici HTTP sunucusuna işaret ediyor. Bu varsayılan davranışın 0.5.6 sürüm adaylarında değiştirildiği ve sunucunun artık yalnızca yerel ana makinede dinlediği belirtiliyor.
Öte yandan vLLM'deki ilgili bir açık zaten düzeltildi. 22 Eylül'de yayımlanan 0.30.0 sürümünden önce, hatalı bir cache_salt değeri taşıyan tek bir istek, LMCache çoklu işlem bağlayıcısını kullanan dağıtımlarda motorun çökmesine neden olabiliyordu. CVE-2026-105756 olarak izlenen bu hizmet dışı bırakma açığı 6,5 puanla derecelendirildi ve kod çalıştırmaya izin vermiyor.
Yazılım ve Uygulamalar
Yazılım ve Uygulamalar
Yazılım ve Uygulamalar
Yorumlar (0)
Yorum yapmak için giriş yapmalısınız.