CVE-2026-76850: Kritisk RCE-fejl i LMDeploy uden login

CVE-2026-76850 er en sårbarhed i LMDeploy, et open source-værktøj til at køre store sprogmodeller i produktion. Fejlen sidder i funktionen til disaggregeret servering (distserve), hvor en engine henter data fra en anden server via ZMQ, en beskedprotokol til hurtig kommunikation mellem processer. Modtagne data pakkes ud med pickle, et Python-format der kan indeholde kørbar kode, før programmet kontrollerer om dataene er gyldige. Endepunkterne der styrer denne forbindelse kræver ingen godkendelse, med mindre serveren er startet med en nøgle sat op, hvilket ikke sker som standard. En angriber kan derfor pege engine’en mod sin egen server og få den til at køre vilkårlig kode.

Sårbarheden rammer organisationer der kører LMDeploy med funktionen disaggregeret servering (distserve) aktiveret, typisk til at skalere store sprogmodeller over flere servere. Er distserve ikke aktiveret, er systemet ikke berørt, fordi modtagelsesløkken først starter når en forbindelse er accepteret. Rammer især danske virksomheder og institutioner der selv drifter AI-infrastruktur internt eller i skyen, hvor api_keys ikke er sat op.

En angriber uden adgangskode kan overtage den proces der kører sprogmodellen og køre sin egen kode på serveren. Herfra kan angriberen læse data, installere skadelig software eller bruge serveren som springbræl videre ind i virksomhedens netværk. For en virksomhed der bruger AI-tjenesten til at behandle kundedata eller interne dokumenter, betyder det risiko for datalæk og kompromitteret infrastruktur.

CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ingen login, ingen brugerhandling og kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen er fuld: angriberen kan læse data, ændre data og stoppe systemet. Der er ikke oplyst om aktiv udnyttelse i det åbne, men opskriften er velkendt og kræver ikke avancerede værktøjer.

Der er ikke oplyst en rettet version endnu, så I skal lukke hullet med konfiguration:

1. Start LMDeploy-serveren med api_keys sat, så p2p_initialize og p2p_connect kræver godkendelse.
2. Er distserve-funktionen ikke i brug, deaktivér den helt, så ZMQ-modtagelsen aldrig starter.
3. Bloker adgang til ZMQ-portene fra internettet og eksterne netværk med firewall, kun betroede engine-servere skal kunne nå dem.
4. Gennemgå logs for opkald til distserve-endepunkterne fra ukendte IP-adresser.
5. Følg LMDeploy-projektet for en fremtidig opdatering og opgradér så snart den er tilgængelig.
6. Er I i tvivl om jeres opsætning kører med distserve aktiveret, så få en ekstern gennemgang af jeres AI-infrastruktur.