CVE-2026-63764: SSRF-sårbarhed i lmdeploys API-server

CVE-2026-63764 er en SSRF-sårbarhed (server-side request forgery), hvor en server kan snydes til at sende forespørgsler videre til adresser, den ikke burde kunne nå. Fejlen findes i den OpenAI-kompatible API-server i lmdeploy, et værktøj til at køre og betjene store sprogmodeller. Når en bruger sender et billede via parameteren image_url i et chat completions-kald, kan en angriber angive en adresse til en server, de selv kontrollerer. Den server svarer med en omdirigering (HTTP 302) til en intern adresse, for eksempel loopback-adressen 127.0.0.1 eller cloud-tjenesters metadata-endpoint, hvor adgangsnøgler og andre hemmeligheder ofte ligger. Fordi lmdeploy kun validerer den oprindelige URL og ikke tjekker hvert omdirigeringstrin, kommer angriberen forbi sikkerhedskontrollen og kan få serveren til at hente og videresende data fra interne systemer.

Sårbarheden rammer virksomheder og organisationer, der selv driver eller stiller lmdeploys OpenAI-kompatible API-server til rådighed, typisk for at køre egne sprogmodeller internt eller for kunder. Det gælder både server, der er tilgængelig fra internettet, og servere, der kun er tilgængelige internt, fordi angrebet udnytter serverens egen adgang til interne netværk. Er serveren hostet i en cloud-tjeneste som AWS, Azure eller GCP, er risikoen særligt stor, da metadata-endpointet der ofte indeholder cloud-adgangsnøgler. NVD-data angiver ingen specifik rettet version, så alle installationer med denne funktion bør betragtes som udsatte, indtil en opdatering er verificeret.

En angriber uden login kan bruge sårbarheden til at få serveren til at hente data fra systemer, der normalt er skjult bag netværkssegmentering, for eksempel interne administrationspaneler, databaser eller cloud-tjenesters metadata-endpoint. Herfra kan angriberen ofte udtrække midlertidige cloud-adgangsnøgler og bruge dem til at få adgang til lagerplads, andre servere eller data i cloud-miljøet. Fordi angrebet ikke kræver login eller brugerhandling, kan det ske automatisk og i stor skala, hvis serveren er tilgængelig fra internettet.

CVSS-score er 9,3 ud af 10, kritisk. Angrebet kræver ikke login (PR:N) og ingen handling fra en bruger (UI:N), og det kan udføres over netværket med lav kompleksitet (AC:L). Konsekvensen er høj påvirkning af fortrolighed (C:H), det vil sige udtræk af data, mens påvirkningen af dataintegritet er lav og der er ingen påvirkning af systemets tilgængelighed. Der er ikke oplyst om aktiv udnyttelse i naturen, men den detaljerede tekniske beskrivelse gør det forholdsvis enkelt for en angriber at bygge et angreb.

Følg punkterne i prioriteret orden for at lukke hullet og begrænse skaden, mens I afventer en officiel opdatering.

1. Opdatér lmdeploy til nyeste version, hvis en rettet udgave er udgivet. Er det ikke tilfældet, deaktivér eller begræns image_url-funktionen i API-serveren, indtil en rettelse findes.
2. Isolér API-serveren i eget netværkssegment uden adgang til interne tjenester, administrationspaneler og cloud metadata-endpoints.
3. Blokér udgående forbindelser fra serveren til metadata-adressen 169.254.169.254 og til loopback-adresser via firewallregler.
4. Gennemgå logfiler for usædvanlige udgående forbindelser fra chat completions-endpointet, især kald med billeder fra ukendte domæner.
5. Kræv autentificering til API-serveren, selv hvis den kun bruges internt, så adgangen ikke er helt åben.
6. Har I svært ved at verificere netværksisolationen eller mangler ressourcer til loganalyse, bør I kontakte en sikkerhedsspecialist for en hurtig gennemgang.