Vulnerabilidad crítica en LMCache permite ejecución remota de código en servidores LLM

Una vulnerabilidad de seguridad de categoría crítica ha sido identificada en LMCache, un software de código abierto utilizado para acelerar el funcionamiento de servidores que alojan modelos de lenguaje grandes (LLM), como vLLM. Este defecto permite a un atacante ejecutar código de forma remota en el servidor de caché sin requerir autenticación previa.

Según un informe de The Hacker News, la falla reside específicamente en el modo multiproceso de LMCache. En esta configuración, el componente de caché opera como un servidor independiente, comunicándose con los procesos de los LLM mediante la biblioteca de mensajería ZeroMQ. La naturaleza de esta vulnerabilidad posibilita que un actor malicioso tome control del servidor afectado sin credenciales.

Hasta la fecha de la información, no existe una versión corregida de LMCache disponible que aborde esta vulnerabilidad, lo que deja expuestos a los sistemas que la implementan en su configuración de modo multiproceso. La criticidad de la falla radica en su capacidad para permitir la ejecución de código remota y sin autenticación, afectando directamente a la infraestructura subyacente de los servicios basados en LLM que dependen de esta herramienta.