注目★★★★★GitHub Advisory
LMDeploy 0.16.0未満にPickle経由RCE、即更新を
30秒で把握
- 1LMDeploy 0.9.2〜0.15.xでDistServe経由の認証なしRCE
- 2任意ZeroMQ接続先と悪意あるPickleでサービング権限のコード実行
- 30.16.0でJSON化とPydantic検証を導入、DistServe利用者は更新
要約
LMDeploy 0.9.2以上0.16.0未満で、DistServeのZeroMQ通信を介したRemote Code Executionが可能になる脆弱性CVE-2025-66455が確認された。攻撃者はPOST /distserve/p2p_connectに任意のZeroMQ接続先を指定し、recv_pyobj()が処理する悪意あるPickleを送信できる。APIキー未設定の環境では認証なしで、LMDeployサービングプロセスの権限による任意コード実行が成立する。LMDeploy 0.16.0でPickleをJSONに置き換え、Pydantic検証を追加して修正された。影響するのはPyTorchバックエンドでPD-disaggregation/DistServeを有効にした構成で、通常のデプロイは対象外となる。
あなたへの影響
DistServeを使う日本の運用チームは、近日中にLMDeployを0.16.0以降へ更新し、更新までHTTP・ZeroMQ制御プレーンを信頼済みネットワークに限定してAPIキーを設定してください。
推奨：Pickleの型検証はデシリアライズ時のコード実行を防げないため、ネットワーク制限だけで安全にはなりません。