SGLang v0.5.18 Pickle Deserialization RCE Analysis

脆弱性概要 SGLang 允许操作员禁用直接的 Pickle 传输以用于内部消息传递。然而，禁用直接 Pickle 传输仅改变了信封（envelope）格式，并未移除解码器。这导致即使禁用了直接 Pickle 传输，接收端仍可使用 Pickle 解码器处理消息，从而可能引发代码执行漏洞。 影响范围 SGLang 版本：v0.5.18 配置条件： - 数据并行注意力机制（Data-parallel attention） - 非回环分发地址（Non-loopback distribution address） - 网络路径可到达接收端口 修复方案 当前状态：未提供明确的修复方案。 建议措施： - 确保在禁用直接 Pickle 传输的同时，也禁用或替换 Pickle 解码器。 - 对内部消息实施更严格的类型检查和验证，防止恶意构造的消息被解码并执行。 POC 代码 关键发现 1. 信封变更：禁用直接 Pickle 传输后，消息格式从直接的 Pickle 变为 MessagePack，但内部仍保留了 Pickle 解码器。 2. 检查滞后：MessagePack 解码器仅检查外层记录是否属于可接受类型，而应用分发器检查重建结果是否为消息。这两项检查均无法阻止在 Pickle 重建过程中运行的回调。 3. 可访问的接收器：通过特定配置（数据并行注意力、非回环分发地址、网络路径），外部机器可以访问内部接收器，从而利用该漏洞。 4. 实验验证：在三次启动测试中，每次发送构造的消息均成功写入了标记，证明了漏洞的存在。 结论 禁用直接 Pickle 传输并未完全移除 Pickle 解码器，导致潜在的安全风险。需要进一步修复以确保内部消息的安全性。

目標達成 すべての支援者に感謝 — 100%達成しました！

SGLang v0.5.18 Pickle Deserialization RCE Analysis

目標達成すべての支援者に感謝 — 100%達成しました！