Jiajia Liu

Routinator stores a newly-retrieved TA certificate via HTTPS in cache without validation, potentially overwriting a known good TA certificate even if validation fails.

When Routinator encounters an RRDP notification file with gaps in the delta entries, it is still accepted and parsed, potentially leading to missing data. If it encounters too many delta entries it may run out of memory.

O SGLang com o backend de desagregação Mooncake permite a negação de serviço ao aceitar mensagens de registro de decodificação não autenticadas no socket ZMQ PULL do rank Prefill. Atacantes adjacentes à rede podem esgotar a memória do Prefill, levando ao encerramento do agendador por OOM-killed (Out-Of-Memory killed, um processo onde o sistema operacional encerra um processo para liberar memória), enviando inúmeros registros contendo frames de buffer aninhados grandes e valores `mooncake session id` exclusivos.

Existe uma falha de bypass de autorização que permite que detentores da chave de API do data-plane acessem rotas de gerenciamento de Alta Disponibilidade (HA) da malha. Isso ocorre porque os endpoints `/ha/*` ignoram as verificações de função de Administrador do control-plane. Um invasor pode ler a topologia do cluster, gravar configurações propagadas, alterar limites globais de taxa e utilizar o endpoint `POST /ha/shutdown` para dissolver silenciosamente a coordenação de HA.

Um problema de alocação de memória não controlada existe no backend de desagregação Mooncake, dentro da função `handle staging rsp()`. Atacantes adjacentes à rede não autenticados podem esgotar a memória de Prefill ao obter o endereço de rank através do endpoint '/route' e enviar mensagens STAGING RSP com valores de `chunk idx` excessivamente grandes sob novos IDs de sala. Esta ação pode levar ao encerramento do agendador por OOM-killed, que se refere a um estado de falta de memória (Out-Of-Memory) onde o sistema operacional encerra o processo para recuperar memória.

No modo de desagregação prefill/decode, existe um problema de server-side request forgery que permite que atacantes não autenticados desencadeiem solicitações externas. Ao enviar solicitações manipuladas para o endpoint '/generate' do Decode worker, os atacantes podem usar os campos `bootstrap host` e `bootstrap port` para sondar hosts e portas internos. Esta ação pode bloquear o loop do agendador compartilhado, resultando em atrasos para outras solicitações de inferência.

Um problema de negação de serviço existe onde clientes de API podem abortar solicitações de geração em andamento pertencentes a outros usuários. Isso ocorre quando um invasor envia solicitações de streaming para o endpoint '/generate' usando um `rid` (identificador de solicitação) curto e controlado pelo cliente. Ao usar valores de `rid` de um único caractere hexadecimal e depois desconectar, o invasor aciona a lógica de aborto por correspondência de prefixo que encerra todas as outras solicitações de clientes ativos.

Um problema de injeção de código existe na função ` evaluate filter()`. Atacantes remotos podem executar código Python ao escapar do sandbox `eval()` usando `re.search globals `. Isso é possível enviando uma expressão de filtro manipulada para o endpoint não autenticado '/dumper/configure' quando a variável `DUMPER SERVER PORT` está configurada, resultando na execução de código no processo do agendador na próxima passagem direta.

O software confia em valores `mm hashes` fornecidos pelo chamador como a chave de cache de prefixo multimodal. Isso permite que atacantes remotos envenenem entradas de cache KV (Chave-Valor) entre requisições. Ao enviar uma imagem diferente sob um hash conhecido ou previsto através do endpoint '/generate', um atacante pode expor o conteúdo da imagem de outra requisição ou corromper as respostas recebidas pelas vítimas.

Um invasor não autenticado pode causar a negação de serviço enviando uma solicitação para o endpoint '/generate' contendo o campo `pd kv trans params`. Isso desencadeia uma falha na função `pickle.loads` dentro de `InferSamplingParams`, que interrompe a thread de inferência. Embora o endpoint '/health' permaneça operacional, todas as solicitações subsequentes ficarão travadas até que o sistema seja reiniciado.

Existe um problema de alocação de memória ilimitada que permite que atacantes remotos não autenticados causem a negação de serviço. Ao fazer o upload de arquivos excessivamente grandes para o endpoint '/v1/audio/transcriptions', os atacantes podem enviar uploads multipart grandes e simultâneos que são lidos inteiramente na memória antes da validação, resultando no travamento do worker HTTP/tokenizer.

Um problema de amplificação de descompressão existe na função `load audio()`. Atacantes remotos podem causar a negação de serviço enviando arquivos de áudio altamente compactados, como pequenos arquivos de silêncio codificados em FLAC, que são decodificados sem limites de duração ou de amostra. Esse processo expande os arquivos em buffers PCM (Pulse Code Modulation) massivos, esgotando a memória do worker e os recursos da CPU. O ataque pode ser executado por meio das entradas `audio url` ou `audio data`.

Um bypass de orçamento de recursos permite que atacantes remotos ignorem os limites de processamento de vídeo do GLM-V. Ao fornecer valores específicos no objeto `video url`, os atacantes podem manipular as variáveis `fps`, `max frames`, `max tokens per frame` e `max image tokens`. Isso faz com que a função `glm4v.py` decodifique cada quadro de vídeo de alta resolução em tamanho total, resultando no esgotamento da memória do worker e na negação de serviço.

Existe um problema de negação de serviço onde o `NanoNemotronVLImageProcessor` desativa a proteção contra bombas de descompressão do Pillow em todo o processo ao definir `Image.MAX IMAGE PIXELS` como `None`. Isso permite que invasores remotos enviem imagens pequenas e altamente compactadas com dimensões enormes para o carregador de imagens genérico, esgotando a memória do worker durante o processo de decodificação. Uma bomba de descompressão é um arquivo de imagem ou arquivo compactado malicioso projetado para travar um sistema ao expandir para um tamanho enorme quando descompactado.

Um problema de alocação de memória ilimitada existe na função `preprocess video` dentro de `qwen vl.py`. O sistema decodifica quadros de vídeo na resolução total da fonte antes de aplicar os limites de `max pixels`. Atacantes remotos podem explorar isso enviando vídeos de alta resolução para o endpoint '/v1/chat/completions' em implantações do Qwen-VL. Solicitações simultâneas desse tipo podem esgotar a memória do worker, causando a negação de serviço.

O coordenador multiprocessado carece de autenticação, permitindo que atacantes remotos não autenticados acessem a API de controle de frota HTTP, que escuta em todas as interfaces por padrão. Atacantes podem usar o endpoint '/instances' para registrar ou desregistrar instâncias, o endpoint '/quota' para sobrescrever cotas e o endpoint '/events' para injetar eventos. Além disso, podem enumerar '/directory/keys' para divulgar metadados de posicionamento e interromper o cache.

O servidor HTTP em modo multiprocessado carece de autenticação, permitindo que atacantes remotos não autenticados acessem endpoints de gerenciamento que ouvem em todas as interfaces por padrão. Isso permite que atacantes leiam credenciais de ambiente através do endpoint 'GET /env' e configurações através do endpoint 'GET /config'. Além disso, atacantes podem limpar caches, excluir objetos de cache e modificar cotas de locatários para excluir dados em cache de outros locatários.

O serviço de monitoramento de frontend contém um problema de server-side request forgery (SSRF). Atacantes não autenticados podem ignorar a lista de permissões do proxy registrando hosts arbitrários através do endpoint 'POST /api/proxies'. Subsequentemente, os endpoints '/proxy' ou '/proxy2' podem ser usados para acessar hosts internos, ler respostas, adulterar nós ou interromper o heartbeat.

Um problema de execução remota de código não autenticada existe onde invasores remotos podem executar código Python enviando scripts para o endpoint '/run script'. Ao utilizar o objeto de aplicativo FastAPI injetado, os invasores podem recuperar builtins reais para ignorar a função ` import ` protegida, permitindo a importação do módulo `os` e a execução de comandos do sistema operacional com os privilégios do processo LMCache.

Uma falha de autorização ausente permite que atacantes não autenticados injetem réplicas LOCAL DISK concluídas por meio do RPC `NotifyOffloadSuccess`. Ao montar um segmento de disco local com um UUID de cliente escolhido, um atacante pode anexar réplicas que apontam para endpoints sob seu controle. Isso possibilita a entrega de leituras de camada de disco envenenadas e a simulação de existência de chaves falsas.