Mingkai Yu

يسمح SGLang المزود بـ Mooncake disaggregation backend بحرمان الخدمة عندما يقبل رسائل تسجيل فك التشفير غير المصرح بها على مقبس ZMQ PULL الخاص بـ Prefill rank. يمكن للمهاجمين المتواجدين على نفس الشبكة استنفاد ذاكرة Prefill، مما يؤدي إلى إنهاء المجدول بسبب OOM-killed (عملية يقوم فيها نظام التشغيل بإنهاء عملية لتحرير الذاكرة)، وذلك عن طريق إرسال العديد من التسجيلات التي تحتوي على إطارات nested-buffer كبيرة وقيم `mooncake session id` فريدة.

في وضع فصل التعبئة المسبقة/فك التشفير (prefill/decode disaggregation mode)، توجد ثغرة تزوير طلبات من جانب الخادم تسمح للمهاجمين غير المصرح لهم بإرسال طلبات خارجية. من خلال إرسال طلبات مصممة خصيصًا إلى نقطة النهاية '/generate' الخاصة بـ Decode worker، يمكن للمهاجمين استخدام حقلي `bootstrap host` و `bootstrap port` لفحص المضيفات والمنافذ الداخلية. يمكن أن يؤدي هذا الإجراء إلى حظر حلقة المجدول المشتركة، مما يتسبب في تأخير طلبات الاستنتاج الأخرى.

توجد مشكلة في تخصيص الذاكرة غير المنضبط في نظام Mooncake disaggregation backend ضمن الدالة `handle staging rsp()`. يمكن للمهاجمين غير المصرح لهم والمتواجدين على نفس الشبكة استنفاد ذاكرة Prefill عن طريق الحصول على عنوان الرتبة (rank address) من نقطة النهاية '/route' وإرسال رسائل STAGING RSP تحتوي على قيم `chunk idx` ضخمة تحت معرفات غرف جديدة. يؤدي هذا الإجراء إلى إنهاء المجدول بسبب حالة OOM-killed، وهي حالة نفاد الذاكرة (Out-Of-Memory) حيث يقوم نظام التشغيل بإنهاء العملية لاستعادة الذاكرة.

توجد مشكلة في حجب الخدمة تتيح لعملاء واجهة برمجة التطبيقات (API) إلغاء طلبات التوليد الجارية والمملوكة لمستخدمين آخرين. يحدث هذا عندما يقوم المهاجم بإرسال طلبات تدفق (streaming) إلى نقطة النهاية '/generate' باستخدام `rid` (معرف الطلب) قصير يتحكم فيه العميل. من خلال استخدام قيم `rid` مكونة من حرف سداسي عشري واحد ثم قطع الاتصال، يقوم المهاجم بتفعيل منطق الإلغاء القائم على مطابقة البادئة، مما يؤدي إلى إنهاء جميع طلبات العملاء النشطين الآخرين.

يوجد خلل في تجاوز الصلاحيات يسمح لحاملي مفتاح واجهة برمجة تطبيقات مستوى البيانات (data-plane API key) بالوصول إلى مسارات إدارة التوافر العالي (HA) للشبكة. يحدث هذا لأن نقاط النهاية `/ha/*` تتجاوز فحوصات دور المسؤول في مستوى التحكم (control-plane). يمكن للمهاجم قراءة طبولوجيا العنقود، وكتابة التكوينات المنتشرة، وتغيير حدود المعدل العالمية، واستدعاء نقطة النهاية `POST /ha/shutdown` لفك تنسيق التوافر العالي بصمت.

يثق البرنامج في قيم `mm hashes` التي يوفرها المستدعي كمفتاح لتخزين بادئة الوسائط المتعددة مؤقتًا. يسمح هذا للمهاجمين عن بُعد بتسميم إدخالات KV (مفتاح-قيمة) المخزنة مؤقتًا عبر الطلبات. من خلال إرسال صورة مختلفة تحت هاش معروف أو متوقع عبر نقطة النهاية '/generate'، يمكن للمهاجم الكشف عن محتوى صورة طلب آخر أو إفساد الاستجابات التي يتلقاها الضحايا.

يمكن لمهاجم غير مصرح له التسبب في حالة رفض الخدمة عن طريق إرسال طلب إلى نقطة النهاية '/generate' يحتوي على الحقل `pd kv trans params`. يؤدي ذلك إلى فشل في دالة `pickle.loads` داخل `InferSamplingParams` مما يتسبب في تعطل خيط الاستنتاج. وبينما تظل نقطة النهاية '/health' تعمل، فإن جميع الطلبات اللاحقة ستتوقف عن الاستجابة حتى يتم إعادة تشغيل النظام.

يفتقر خادم HTTP في وضع تعدد العمليات (multiprocess mode) إلى المصادقة، مما يسمح للمهاجمين عن بُعد غير المصرح لهم بالوصول إلى نقاط نهاية الإدارة التي تستمع إلى جميع الواجهات افتراضيًا. يتيح ذلك للمهاجمين قراءة بيانات اعتماد البيئة عبر نقطة النهاية 'GET /env' والتكوينات عبر نقطة النهاية 'GET /config'. بالإضافة إلى ذلك، يمكن للمهاجمين مسح ذاكرة التخزين المؤقت، وحذف كائنات التخزين المؤقت، وتعديل حصص المستأجرين لطرد البيانات المخزنة مؤقتًا للمستأجرين الآخرين.

An unauthenticated remote code execution issue exists where remote attackers can execute Python code by sending scripts to the '/run script' endpoint. By leveraging the injected FastAPI app object, attackers can recover real builtins to bypass the guarded ` import ` function, allowing them to import the `os` module and execute operating system commands with the privileges of the LMCache process.

تحتوي خدمة مراقبة الواجهة الأمامية على مشكلة تزوير الطلبات من جانب الخادم (SSRF). يمكن للمهاجمين غير المصرح لهم تجاوز قائمة السماح للوكيل عن طريق تسجيل مضيفين عشوائيين من خلال نقطة النهاية 'POST /api/proxies'. لاحقاً، يمكن استخدام نقاط النهاية '/proxy' أو '/proxy2' للوصول إلى المضيفين الداخليين، وقراءة الاستجابات، أو التلاعب بالعقد أو إيقاف نبضات القلب (heartbeat).

يفتقر المنسق متعدد العمليات إلى المصادقة، مما يسمح للمهاجمين عن بُعد غير المصرح لهم بالوصول إلى واجهة برمجة تطبيقات التحكم في الأسطول HTTP، والتي تستمع إلى جميع الواجهات افتراضيًا. يمكن للمهاجمين استخدام نقطة النهاية '/instances' لتسجيل أو إلغاء تسجيل المثيلات، ونقطة النهاية '/quota' لتجاوز الحصص، ونقطة النهاية '/events' لحقن الأحداث. بالإضافة إلى ذلك، يمكنهم تعداد '/directory/keys' للكشف عن بيانات وضع البيانات وتعطيل التخزين المؤقت.

A missing authentication issue allows unauthenticated attackers to force-delete objects via the `coro rpc` port. By sending forged requests with the `force` flag set, attackers can bypass lease checks and utilize the `Remove()`, `RemoveByRegex()`, `RemoveAll()`, and `BatchRemove()` functions to wipe keys matching any regex or clear the entire store, resulting in cache loss and request failures.

The Store REST service binds to 0.0.0.0 without authentication on any route. This allows unauthenticated attackers to access the following API endpoints: '/api/get', '/api/put', '/api/remove all', and '/api/mount'. Through these endpoints, an attacker can read cached KV (Key-Value) data, inject or delete objects, and mount segments described by the attacker.

A missing authorization issue allows unauthenticated attackers to manipulate replication tasks via the `coro rpc` port. By using victim client UUIDs obtained through the `QueryTask()` function, attackers can invoke `CreateCopyTask()`, `CreateMoveTask()`, `FetchTasks()`, and `MarkTaskToComplete()` to hijack task queues and falsely record replication activities.

A missing authorization issue allows unauthenticated attackers to inject completed LOCAL DISK replicas via the `NotifyOffloadSuccess` RPC. By mounting a local disk segment with a self-chosen client UUID, an attacker can attach replicas that point to endpoints under their control. This enables the delivery of poisoned disk-tier reads and the simulation of fake key existence.

A missing authorization issue allows unauthenticated attackers to erase disk replicas of any object. By accessing the `coro rpc` master port, an attacker can trigger the `EvictDiskReplica()` and `BatchEvictDiskReplica()` functions to evict DISK replicas across all tenants. This can result in the permanent deletion of objects if the disk replica was the only remaining copy.

An out-of-bounds read occurs in the `readString()` function within include/common.h. This allows unauthenticated attackers to crash the service, such as an SGLang inference server, by connecting to the handshake port and sending a zero-length handshake frame consisting of eight bytes.

The HTTP metadata server contains a missing authentication flaw in the '/metadata' endpoint. This allows unauthenticated attackers to read, overwrite, and delete transfer engine metadata keys. Exploitation can lead to the poisoning of segment descriptors, such as `tcp data port`, or the re-creation of `rpc meta` entries to redirect KV cache transfers to listeners controlled by the attacker. Additionally, this issue can be used to exhaust server memory.

An untrusted pointer dereference exists in the `readHeader` function of `ServerSession`. This allows unauthenticated attackers to read and write arbitrary process memory via the TCP transport data port. By sending a crafted `SessionHeader` containing arbitrary `addr` and `size` values using READ or WRITE opcodes, an attacker can disclose KV cache contents, prompts, and secrets, or corrupt memory to achieve code execution.

An unauthenticated attacker can cause memory exhaustion by sending repeated notify frames, each up to 1 MB, to the handshake RPC port. This process fills the uncapped `notifys` vector within the `TransferMetadata::receivePeerNotify()` function, leading to unlimited process memory growth until the out-of-memory killer terminates the engine.