CVE-2025-59953

Nome do Software Vulnerável e Versões Afetadas LMDeploy versões 0.9.1 até 0.10.1

Description O LMDeploy implementa um servidor RPC via AsyncRPCServer em zmq rpc.py para suportar comunicações RPC. A função call and response() utiliza pickle.loads() para desserializar mensagens recebidas sem a devida sanitização. Isso permite que um invasor remoto envie dados pickle maliciosos para o endereço RPC, resultando na execução remota de código na máquina da vítima. O servidor RPC anteriormente vinculava-se a tcp://*, expondo o serviço à rede em uma porta selecionada aleatoriamente.

Recommendations Atualize para a versão 0.10.2. Habilite a autenticação nos serviços RPC para garantir que apenas usuários confiáveis possam ingressar no cluster. Como medida de mitigação temporária, restrinja o acesso ao servidor RPC ao localhost para remover a superfície de ataque de rede remota.