Mooncake Transfer Engine: Out-of-bounds-Read im P2P-Handshake erlaubt Absturz aus der Ferne

Zusammenfassung

Mooncake Transfer Engine vor 0.3.12 enthält einen Out-of-bounds-Read in der Funktion readString, der durch einen Handshake-Frame mit der Länge null ausgelöst wird. Ein nicht authentifizierter Angreifer aus dem Netzwerk, der den Handshake-Port erreicht, der auf allen Schnittstellen lauscht, kann den hostenden Prozess zum Absturz bringen, zum Beispiel einen SGLang-Inferenzserver. Die Auswirkung ist eine Denial-of-Service-Situation, nicht die Ausführung von Code oder ein Datendiebstahl.

Betroffen

• Mooncake Transfer Engine (mooncake-transfer-engine) Versionen vor 0.3.12
• Laut Hersteller betroffener Bereich gemäss GitHub-Issue #4452: bis einschliesslich 0.3.11.post1
• Hinweis: Die Quellen widersprechen sich bei der genauen Spanne; neuere Builds wie 0.3.12.post1 sollten anhand aktueller Advisories geprüft werden

Behoben in

• Behoben in 0.3.12 (Commit c142b40590259360196d8e504b2193382529e7b4 ergänzt eine Prüfung auf Länge null in readString)
• Kein Sicherheitsadvisory des Herstellers gefunden; aktuelle Version prüfen

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme gefunden.
• Den P2P-Handshake-Portbereich (Standard 15000-17000 laut Issue) mit einer Host- oder Netzwerk-Firewall auf vertrauenswürdige Hosts beschränken. Nicht dem Internet aussetzen.

Ausnutzung

• Nicht authentifiziert, über das Netzwerk erreichbar (AV:N, PR:N), geringe Komplexität; ein einziger Frame mit acht Bytes genügt, um den Prozess zum Absturz zu bringen.
• CISA SSVC: Exploitation-Status PoC, automatisierbar: ja, technische Auswirkung: teilweise.
• Kein öffentlicher PoC in den Quellen bestätigt; nicht als aktiv ausgenutzt gelistet; EPSS 0.00366.

Unsere Empfehlung

• Alle Hosts und Container-Images inventarisieren, auf denen mooncake-transfer-engine läuft (pip-Lockfiles prüfen).
• Auf die aktuelle Version aktualisieren, nicht nur auf 0.3.12.
• Den Handshake-Portbereich jetzt einschränken, auch in internen Netzwerken.
• Auf unerwartete Neustarts von Inferenzdiensten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Mooncake GitHub issue #4452 github.com
• Fix commit c142b40 github.com
• VulnCheck advisory www.vulncheck.com
• OSV entry CVE-2026-104433 osv.dev
• Mooncake project repository github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:43.