„`html
Zusammenfassung
CVE-2026-14890 ist eine kritische Sicherheitslücke in SGLang, die unauthentifizierte Remote Code Execution (RCE) ermöglicht. Die Schwachstelle existiert im expert-parallel backup subsystem, das eine ZeroMQ PULL Socket auf einem routbaren Netzwerk-Interface ohne Authentifizierung oder Deserialisierungsschutz exponiert. Angreifer können damit Malicious-Pickle-Dateien injizieren und beliebigen Code ausführen.
Betroffene Systeme
Die Schwachstelle betrifft verschiedene Versionen von SGLang, wenn das expert-parallel backup feature aktiviert ist und das System ĂĽber das Netzwerk erreichbar bleibt. Systeme mit deaktiviertem Feature sind nicht betroffen. Eine offizielle Patch ist derzeit nicht verfĂĽgbar.
Technische Details
Das Angriffsszenario nutzt folgende Schwachstellen:
- Fehlende Authentifizierung: Die ZeroMQ PULL Socket akzeptiert Verbindungen ohne Authentifizierungsmechanismen
- Unsichere Deserialisierung: Pickle-Objekte werden ohne Validierung deserialisiert, was RCE ermöglicht
- Netzwerk-Exposition: Die Socket ist auf routbaren Interfaces gebunden und von auĂźen erreichbar
Ein Angreifer kann über das Netzwerk eine manipulierte Pickle-Datei an die Socket senden. Während der Deserialisierung wird der eingebettete Python-Code ausgeführt, was vollständige Systemkompromittierung ermöglicht.
Empfohlene Massnahmen
- Deaktivieren Sie das expert-parallel backup feature, bis ein Patch verfĂĽgbar ist
- Implementieren Sie Netzwerk-Segmentierung und Firewall-Regeln zur Isolierung von SGLang-Instanzen
- Überwachen Sie Netzwerk-Traffic auf verdächtige ZeroMQ-Aktivitäten
- Aktualisieren Sie SGLang sobald ein Security-Patch verfĂĽgbar ist
- Beschränken Sie den Zugriff auf Management-Interfaces
Bewertung
CVSS Score: 9.1 (Critical)
Angriffsvektor: Network | Authentifizierung: Keine | Komplexität: Niedrig | Auswirkung: Kritisch
Die Bewertung reflektiert das extreme Risiko: Netzwerkzugriff ohne Authentifizierung führt zu vollständiger Systemkompromittierung. Umgehende Mitigation ist erforderlich.
„`