Podatności SGLang

SGLang do wersji 0.5.22 z backendem Mooncake disaggregation zawiera podatność polegającą na niekontrolowanej alokacji pamięci w funkcji handle_staging_rsp(). Nieuwierzytelniony atakujący z sąsiedztwa sieciowego może wyczerpać pamięć Prefill, wysyłając komunikaty STAGING_RSP z ogromnymi wartościami chunk_idx.

SGLang do wersji 0.5.22 zawiera lukę odmowy usługi, która pozwala klientom API przerywać żądania generowania innych użytkowników w toku, podając krótki rid kontrolowany przez klienta. Atakujący mogą wysyłać strumieniowe żądania /generate z rid będącymi pojedynczymi znakami hex i rozłączać się, wyzwalając logikę dopasowania prefiksu, która kończy żądania wszystkich innych klientów.

SGLang do wersji 0.5.21 ufa wartościom mm_hashes dostarczonym przez wywołującego jako kluczowi multimodalnego cache prefiksu, co pozwala zdalnym atakującym zatruć wpisy KV w pamięci podręcznej między żądaniami. Atakujący może wysłać inny obraz pod znanym lub przewidywalnym hashem przez /generate, aby ujawnić treść obrazu z innego żądania lub uszkodzić odpowiedzi ofiar.

SGLang w wersjach od 0.5.10 do 0.5.22 zawiera podatność na wstrzyknięcie kodu w funkcji _evaluate_filter(), która pozwala zdalnym atakującym na wykonanie kodu Pythona poprzez ucieczkę z piaskownicy eval() przez re.search __globals__. Atakujący może wysłać spreparowane wyrażenie filtra do nieuwierzytelnionego punktu końcowego /dumper/configure, gdy ustawiono DUMPER_SERVER_PORT, uruchamiając kod w procesie schedulera przy następnym przebiegu forward.

SGLang do wersji 0.5.20 w trybie prefill/decode disaggregation nie waliduje zduplikowanych pól bootstrap_room w żądaniach /generate z backendem transferu Mooncake KV. Nieuwierzytelnieni atakujący mogą wysyłać równoczesne żądania z identycznymi wartościami bootstrap_room, co może spowodować awarię procesów schedulera lub zawieszenie żądań innych użytkowników do czasu timeoutu transferu.

SGLang zawiera podatność umożliwiającą zdalne wykonanie kodu, spowodowaną bezwarunkową deserializacją ładunków PickleWrapper przez dekoder wiadomości ZMQ za pomocą pickle.loads() w funkcji _maybe_unwrap_pickle, bez listy dozwolonych typów ani uwierzytelniania. Podatność utrzymuje się również na ścieżce msgpack nawet przy wyłączonym SGLANG_USE_PICKLE_IPC i staje się zdalnie wykorzystywalna, gdy włączona jest uwaga równoległa danych z ustawieniem --dist-init-addr innym niż loopback.

Środowisko uruchomieniowe generowania multimodalnego SGLang jest podatne na nieuwierzytelnione wykonanie dowolnego kodu, ponieważ orchestrator disaggregated-diffusion wiąże nieuwierzytelniony gniazdo ZeroMQ ROUTER z interfejsem sieciowym i przekazuje ostatnią ramkę odebranych wiadomości wieloczęściowych bezpośrednio do pickle.loads() przed jakąkolwiek walidacją.

SGLang pozwala na nieuwierzytelnioną deserializację pickle poprzez /update_weights_from_tensor, gdy nie skonfigurowano kluczy uwierzytelniających, a politykę SafeUnpickler można obejść, ponieważ builtins.import i builtins.getattr są rozwiązywalne, co umożliwia wykonanie kodu poprzez pickle REDUCE.

SGLang zawiera podatność zdalnego wykonania kodu (RCE) podczas próby załadowania wag modelu z repozytorium HuggingFace. W punkcie końcowym /update_weights_from_disk funkcja torch.load z parametrem weights_only=False umożliwia deserializację pickle plików .bin.

SGLang zawiera podatność zdalnego wykonania kodu (RCE) w opcjonalnym podsystemie dumper. Gdy zmienna DUMPER_SERVER_PORT jest ustawiona, możliwa jest ucieczka z piaskownicy, co umożliwia wykonanie kodu na żądaniach inferencyjnych.

SGLang zawiera podatność zdalnego wykonania kodu (RCE) bez uwierzytelniania w punkcie końcowym /load_lora_adapter_from_tensors. Podatność wynika z obejścia niekompletnej listy blokad SafeUnpicklera, co umożliwia wykonanie dowolnych poleceń poprzez spreparowane ładunki pickle zakodowane w base64.

Podatność w SGLang dotyczy podsystemu kopii zapasowej ekspertów równoległych, który udostępnia gniazdo ZeroMQ PULL na routowalnym interfejsie sieciowym bez uwierzytelniania ani zabezpieczeń deserializacji. Umożliwia to atakującemu dostarczenie złośliwego pliku pickle, prowadząc do nieuwierzytelnionego zdalnego wykonania kodu, gdy funkcja jest włączona, a usługa jest osiągalna przez sieć.

SGLang do wersji 0.5.22 z backendem disagregacji Mooncake przyjmuje nieuwierzytelnione komunikaty rejestracji dekodowania na gnieździe ZMQ PULL rangi Prefill, co umożliwia atak odmowy usługi. Atakujący z sąsiedztwa sieciowego może wysyłać wiele rejestracji z unikalnymi wartościami mooncake_session_id i dużymi ramkami zagnieżdżonych buforów, wyczerpując pamięć Prefill aż scheduler zostanie zabity przez OOM.

SGLang do wersji 0.5.22 w trybie disagregacji prefill/decode zawiera lukę server-side request forgery, która pozwala nieuwierzytelnionym atakującym wywołać wychodzące żądania poprzez pola bootstrap_host i bootstrap_port dostarczone przez klienta. Atakujący wysyłający spreparowane żądania do endpointu /generate workera Decode mogą sondować wewnętrzne hosty i porty oraz blokować współdzieloną pętlę schedulera, opóźniając inne żądania wnioskowania.

Luka w sgl-project SGLang do wersji 0.5.19 dotyczy funkcji WeightExporter.send_weights_to_remote_instance w pliku python/sglang/srt/model_executor/model_runner_components/weight_exporter.py komponentu Weight Exporter. Manipulacja argumentem group_name prowadzi do odmowy usługi, a atak można zainicjować zdalnie. Exploit został publicznie ujawniony, a pull request z poprawką oczekuje na akceptację.

W sgl-project SGLang do wersji 0.5.19 zidentyfikowano podatność w funkcji Scheduler.expert_distribution_handle w pliku python/sglang/srt/eplb/expert_distribution.py komponentu Expert-Distribution Recording Endpoint. Manipulacja prowadzi do denial of service. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystany.

W SGLang do wersji 0.5.19 wykryto podatność w funkcji Session.create_req w pliku session_controller.py (komponent Session Cleanup), prowadzącą do odmowy usługi. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W sgl-project SGLang do wersji 0.5.19 wykryto słabość w nieznanej funkcjonalności pliku python/sglang/srt/managers/io_struct.py komponentu generate Endpoint. Manipulacja argumentem session_params powoduje odmowę usługi. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

SGLang do wersji 0.5.21 zawiera podatność na atak DoS, która wyłącza ochronę przed bombą dekompresyjną Pillow, ustawiając Image.MAX_IMAGE_PIXELS na None w NanoNemotronVLImageProcessor. Zdalni atakujący mogą przesyłać małe, silnie skompresowane obrazy o ogromnych wymiarach, powodując wyczerpanie pamięci podczas dekodowania.

SGLang do wersji 0.5.21 zawiera podatność polegającą na obejściu limitu zasobów w przetwarzaniu wideo GLM-V. Zdalni atakujący mogą nadpisać limity fps, max_frames, max_tokens_per_frame i max_image_tokens w obiekcie video_url, ustawiając je na bardzo wysokie wartości. Powoduje to dekodowanie każdej klatki wysokorozdzielczego wideo w pełnym rozmiarze, co wyczerpuje pamięć roboczą i prowadzi do odmowy usługi.

SGLang do wersji 0.5.21 zawiera podatność nieograniczonej alokacji pamięci w funkcji preprocess_video w pliku qwen_vl.py, która dekoduje klatki w pełnej rozdzielczości źródłowej przed zastosowaniem limitu max_pixels. Zdalni atakujący mogą przesyłać wysokorozdzielcze wideo do /v1/chat/completions w instalacjach Qwen-VL, a równoczesne żądania wyczerpują pamięć procesu roboczego powodując odmowę usługi.

SGLang do wersji 0.5.21 zawiera podatność amplifikacji dekompresji w funkcji load_audio, która pozwala zdalnym atakującym wyczerpać pamięć poprzez przesyłanie silnie skompresowanych plików audio dekodowanych bez limitów czasu trwania lub próbek. Atakujący mogą dostarczać małe pliki ciszy w formacie FLAC przez audio_url lub audio_data, które rozszerzają się do ogromnych buforów PCM, wyczerpując pamięć i CPU procesu roboczego.

SGLang do wersji 0.5.21 zawiera podatność nieograniczonej alokacji pamięci, która pozwala nieuwierzytelnionym zdalnym atakującym wyczerpać pamięć poprzez przesyłanie zbyt dużych plików do /v1/audio/transcriptions. Atakujący mogą wysyłać równoczesne duże przesyłki multipart, które są w całości wczytywane do pamięci przed walidacją, powodując awarię procesu HTTP/tokenizera i odmowę usługi.

W sgl-project sglang do wersji 0.5.21 wykryto lukę w funkcji server_info pliku python/sglang/srt/entrypoints/http_server.py w komponencie HTTP Endpoint. Manipulacja argumentem api_key prowadzi do przesyłania wrażliwych informacji w postaci jawnej (cleartext). Atak można przeprowadzić zdalnie, jest on jednak bardzo złożony i trudny do wykorzystania. Exploit został upubliczniony, a pull request z poprawką oczekuje na akceptację.

SGLang zawiera podatność na atak DoS spowodowaną brakiem walidacji danych wejściowych dla komunikatów kontrolnych AUX_DATA ZeroMQ w workerze Decode. Umożliwia to nieuwierzytelnionemu zdalnemu atakującemu z dostępem sieciowym do gniazda PULL kontroli Decode zakończenie wątku kontroli Decode i spowodowanie odmowy usługi na docelowym serwerze.

SGLang w wersjach do 0.5.20 zawiera podatność na nieograniczoną alokację pamięci w funkcji handle_staging_req(), która nie waliduje wartości chunk_idx z ramek ZMQ STAGING_REQ w środowiskach z rozdzielonym prefill/decode. Atakujący z dostępem do wewnętrznego portu ZMQ silnika decode może wysłać ramkę z bardzo dużą wartością chunk_idx, powodując alokację pamięci aż do wyczerpania zasobów systemu i zakończenia procesu.

SGLang w wersji do 0.5.19, w trybie rozdzielenia prefill/decode z backendem transferu KV Mooncake, nie waliduje wartości bootstrap_room, co pozwala na nieograniczoną alokację stanu transferu. Nieuwierzytelniony atakujący może wywołać endpoint POST /generate silnika decode i przesłać dowolne wartości bootstrap_room, wyczerpując pamięć procesu prefill aż do zakończenia z powodu braku pamięci.

SGLang do wersji 0.5.19 w trybie rozdzielenia prefill/decode zawiera nieuwierzytelniony endpoint PUT /route w usłudze prefill bootstrap, który pozwala atakującym zatruć tablicę routingu transferu KV. Atakujący mogą podać dowolne wartości rank_ip i rank_port, aby przekierować workery decode do kontrolowanych przez siebie endpointów. Może to powodować odmowę usługi lub ujawnienie metadanych transferu KV, w tym identyfikatorów sesji i parametrów topologii tensor-parallel.

SGLang zawiera podatność na eksfiltrację wag modelu, gdy nie skonfigurowano kluczy API. SGLang udostępnia dwa endpointy, które pozwalają zdalnemu atakującemu na wywołanie rozgłaszania wag za pomocą NCCL, a następnie transfer danych, co umożliwia eksfiltrację wszystkich wag modelu.

SGLang zawiera podatność na wyciek poświadczeń w punkcie końcowym /server_info. Gdy skonfigurowany jest tylko parametr --admin-api-key, endpoint ten zwraca klucze API oraz informacje o plikach kluczy SSL.

SGLang zawiera podatność na SSRF (Server-Side Request Forgery) oraz odczyt lokalnych plików w punkcie końcowym generowania multimodalnego /v1/chat/completions. Wynika to z braku sanityzacji parametru image_url, co umożliwia dostęp do wewnętrznych metadanych, sekretów i usług.

Podatność w SGLang do wersji 0.5.11 w funkcji data_hash komponentu Cache Handler powoduje odmowę usługi (DoS) przy lokalnym ataku o wysokiej złożoności. Exploit został opublikowany.

W SGLang 0.5.10.post1 w pliku python/sglang/srt/lora/lora_manager.py w komponencie Inference HTTP Endpoint podatność na osiągalne asercje przez argument lora_path. Atak zdalny o wysokiej złożoności, exploit opublikowany.

W sgl-project SGLang do wersji 0.5.9 funkcja get_tokenizer w pliku hf_transformers_utils.py komponentu HuggingFace Transformer Handler, przy przekazaniu trust_remote_code=False, może po cichu ponownie wywołać AutoTokenizer.from_pretrained z trust_remote_code=True, jeśli transformers v5 zwróci TokenizersBackend. Może to prowadzić do wykonania dowolnego kodu Python złośliwego tokenizera.py z repozytorium modelu. Podatność dotyczy wszystkich wersji SGLang z powodu przypięcia transformers==5.3.0.