SGLang v0.5.18 反序列化漏洞分析

漏洞概述 SGLang 允许操作员禁用直接 Pickle 传输以用于内部消息。然而，禁用直接 Pickle 传输仅改变了信封格式，并未移除解码器。这导致即使禁用了直接 Pickle 传输，接收端仍然可以使用 Pickle 解码器处理消息，从而可能引发代码执行漏洞。 影响范围 SGLang 版本：v0.5.18 配置条件： - 数据并行注意力（Data-parallel attention） - 非回环分发地址（Non-loopback distribution address） - 网络路径可达接收器端口 修复方案 当前状态：未提供明确的修复方案。 建议措施： - 确保在禁用直接 Pickle 传输的同时，也禁用或替换 Pickle 解码器。 - 对内部消息进行更严格的类型检查和验证，防止恶意构造的消息被解码执行。 POC 代码 关键发现 1. 信封变化：禁用直接 Pickle 传输后，消息格式从直接 Pickle 变为 MessagePack，但内部仍保留了 Pickle 解码器。 2. 检查滞后：MessagePack 解码器检查外层记录是否属于接受类型，而应用分发器检查重建结果是否为消息。这两个检查均无法阻止在 Pickle 重建期间运行的回调。 3. 可达接收器：通过特定配置（数据并行注意力、非回环分发地址、网络路径），外部机器可以访问内部接收器，从而利用该漏洞。 4. 实验验证：在三次启动中，每次发送构造的消息都成功写入了标记，证明了漏洞的存在。 结论 禁用直接 Pickle 传输并未完全移除 Pickle 解码器，导致潜在的安全风险。需要进一步修复以确保内部消息的安全性。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

SGLang v0.5.18 反序列化漏洞分析

目标达成感谢每一位支持者 — 我们达成了 100% 目标！