セキュリティ企業Orca Securityが、AI推論サーバ向けLLM配信フレームワーク「SGLang」に複数の深刻な脆弱性を発見した。中でもCVE-2026-3059とCVE-2026-3060はCVSSスコア9.8、認証不要でリモートコード実行(RCE)が可能という最悪クラスの内容だ。SGLangはxAIのGrokやMicrosoft AzureのDeepSeek R1配信などに使われ、世界で40万基超のGPU上で稼働しているとされる。
何が問題か #
原因はPythonのpickleモジュールの安全でない使い方だ。SGLangのマルチモーダル生成・分散配信(disaggregated serving)機能では、ZeroMQのブローカーが既定で全ネットワークインターフェース(tcp://*)にバインドされ、認証なしで待ち受ける。受信したデータは検証されないままpickle.loads()に渡され、そのまま実行される。攻撃者はネットワーク越しにパケットを1つ送るだけで任意コードを実行できる。
追加でCVE-2026-3989(クラッシュダンプ再生ツールが悪意あるpklファイルを読み込むと実行、CVSS 7.8)、CVE-2026-14890(expert-parallelバックアップ機構のZeroMQソケットが外部IPに無認証バインド)も確認された。いずれも根は同じで、信頼できない入力をpickleでデシリアライズするという、20年以上前から知られる古典的な危険パターンだ。
対策は自衛のみ #
CERT/CCを通じた協調開示が行われたが、記事執筆時点でSGLangの開発元からパッチは提供されていない。運用者は該当機能をインターネットに公開しない、該当ポートをファイアウォールで内部限定にする、不要ならexpert-parallelバックアップやマルチモーダル配信機能自体を無効化するといった緩和策で自衛するしかない。
急成長するAI推論基盤の裏側で、こうした基本的な「安全でないデシリアライゼーション」対策が後回しにされている実態を示す事例と言える。
COMMENTS 0
No comments yet — be the first to leave one.