В открытом программном обеспечении LMCache, предназначенном для ускорения работы серверов больших языковых моделей (LLM), обнаружена критическая уязвимость, позволяющая злоумышленникам выполнять код на сервере кэша без необходимости авторизации. На текущий момент не существует исправленной версии для устранения этой проблемы.

Уязвимость затрагивает мультипроцессорный режим LMCache, в котором кэш работает как отдельный сервер, к которому обращаются рабочие процессы LLM через библиотеку обмена сообщениями ZeroMQ. Это создает потенциальную возможность для атак, так как злоумышленник может отправить специально сформированные сообщения, чтобы получить доступ к системным ресурсам.

Атака может быть осуществлена с помощью единственного сетевого запроса, что делает данную уязвимость особенно опасной. Поскольку LMCache активно используется в различных приложениях, связанных с обработкой и генерацией текста, риск ее эксплуатации возрастает.

На данный момент разработчики LMCache работают над созданием обновления, однако сроки выпуска исправлений остаются неопределенными. Пользователям рекомендуется немедленно провести аудит своих систем и ограничить доступ к серверам, использующим LMCache, чтобы минимизировать риски.

Эксперты по кибербезопасности подчеркивают важность применения мер предосторожности и актуализации программного обеспечения, особенно в условиях быстро меняющейся угрозы со стороны злоумышленников. Следует внимательно следить за обновлениями и рекомендациями от разработчиков программного обеспечения для защиты своих систем.

Источник новости:
The Hacker News

Читать полностью