CVE-2026-103040: Kritisk RCE-fejl i LightLLM profilering
Ubeskyttet profileringstjeneste i LightLLM tillader vilkårlig kodekørsel uden login. Deaktivér flaget –enable_profiling eller afskærm netværksadgang nu.
Hvad er det?
CVE-2026-103040 er en sårbarhed i LightLLM, et open source-værktøj til at afvikle store sprogmodeller (LLM’er) på egne servere. Når tjenesten startes med flaget –enable_profiling, åbner den en RPyC-server, en fjernkaldstjeneste til Python, uden krav om login. Serveren bruger pickle, et Python-format til at gemme og genskabe objekter, til at læse kommandoer fra en kø. Pickle-deserialisering betyder, at data fra en afsender ukritisk omdannes til kørende kode. En angriber kan sende et forberedt objekt til køen og få serveren til at udføre vilkårlige kommandoer.
Hvem rammer det?
Sårbarheden rammer alle installationer af LightLLM til og med version 1.2.0, hvor tjenesten er startet med parameteren –enable_profiling. Det gælder virksomheder og organisationer, der selv drifter LLM-inferens, for eksempel til interne AI-chatbots, dokumentanalyse eller kundeserviceautomatisering, og som har aktiveret profilering til ydelsesmåling. Er serveren tilgængelig fra internettet eller fra et bredt internt netværk, er risikoen størst.
Hvad kan ske?
En angriber, der kan nå RPyC-porten på netværket, kan uden login få serveren til at køre vilkårlig kode med de rettigheder, tjenesten har. I praksis betyder det fuld kontrol over den server, der afvikler LLM’en: mulighed for at stjæle modeldata, adgangsnøgler og eventuelle følsomme data i konteksten, installere bagdøre eller bruge serveren som springbræt videre ind i netværket. For en dansk virksomhed, der har koblet LLM-serveren til interne systemer eller databaser, kan det medføre datatab og driftsstop.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, kræver ingen brugerhandling og kan udføres over netværket med lav kompleksitet. Fortrolighed, integritet og tilgængelighed rammes alle i fuldt omfang. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen, men sårbarheden er let at udnytte for en angriber, der kender detaljerne, og bør derfor behandles som et akut problem, hvor profilering er aktiveret.
Hvad gør jeg nu?
Gør følgende for at lukke hullet og begrænse eksponeringen:
- Stop LightLLM-tjenester, der kører med flaget –enable_profiling, eller genstart dem uden dette flag.
- Bloker adgang til RPyC-porten fra internettet og fra netværkssegmenter, der ikke skal kunne nå tjenesten, via firewallregler.
- Gennemgå logfiler for uventede forbindelser til profileringsporten for at afdække, om nogen allerede har forsøgt at udnytte sårbarheden.
- Opdatér til en version af LightLLM, når projektet udgiver en rettelse, der fjerner eller sikrer den ubeskyttede pickle-deserialisering.
- Isoler LLM-serveren i et separat netværkssegment uden direkte adgang til følsomme interne systemer.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, om profileringstjenesten er eksponeret, eller hvis I finder tegn på uautoriseret adgang.
Deaktivér profilering i dag
Vi anbefaler, at I straks stopper eller isolerer enhver LightLLM-instans, der kører med profileringsflaget, da sårbarheden ikke kræver login og kan give en angriber fuld kontrol over serveren. Det er ikke forsvarligt at vente til en officiel rettelse, fordi workaround med at slå profilering fra eller afskærme porten kan gennemføres med det samme. Har I ikke selv aktiveret –enable_profiling, er I ikke direkte ramt, men vi anbefaler alligevel at verificere konfigurationen og netværksadgangen til LLM-serveren.
Tidslinje
Konkrete eksempler
Selvhostet AI-chatbot hos en dansk kommune
En kommunes IT-afdeling har opsat LightLLM til at afvikle en intern chatbot til sagsbehandlere og har aktiveret profilering for at måle svartider. Serveren står tilgængelig på det interne netværk uden yderligere afskærmning. En medarbejder, der klikker på et ondsindet link, får sin computer brugt som springbræt til at sende et forberedt kald til profileringsporten, hvorefter angriberen får kodekørsel på LLM-serveren og adgang til data fra sagsbehandlingssystemet.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører LightLLM version 1.2.0 eller tidligere med flaget –enable_profiling aktiveret. Kør en LightLLM uden dette flag, er I ikke sårbare over for denne konkrete fejl.
Hvordan tjekker vi, om profilering er slået til?
Gennemgå opstartskommandoen eller konfigurationsfilerne for den kørende LightLLM-proces og se, om –enable_profiling indgår. Undersøg desuden, om RPyC-porten er åben og tilgængelig ved at scanne serverens netværksporte.
Kan vi vente til weekenden med at rette det?
Nej. Da angrebet ikke kræver login og kan udføres direkte over netværket, bør profileringstjenesten stoppes eller afskærmes samme dag, den opdages. Det er en simpel handling, der ikke kræver nedetid af hele systemet.
Er der en officiel rettelse fra LightLLM?
På offentliggørelsesdatoen er der ikke oplyst en konkret rettet version. Følg projektets udgivelser, og opdatér, så snart en rettelse foreligger. Indtil da er workaround at undlade at bruge –enable_profiling eller at afskærme porten netværksmæssigt.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Finder I tegn på, at nogen har udnyttet sårbarheden og fået adgang til personoplysninger eller andre følsomme data, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne og eventuelt underrette Datatilsynet inden for 72 timer.
Påvirker det også vores almindelige LLM-brugerflade?
Nej, sårbarheden sidder specifikt i profileringstjenesten, der aktiveres med –enable_profiling, og ikke i den almindelige inferens-grænseflade. Er profilering slået fra, er denne konkrete indgang lukket.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
LightLLM through 1.2.0 contains a remote code execution vulnerability in the router profiler service when started with –enable_profiling flag. The service exposes an unauthenticated RPyC server with pickle deserialization enabled, allowing attackers to execute arbitrary code by sending crafted serialized objects to the profiler command queue.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.