Mooncake Store: Fehlende Autorisierung in EvictDiskReplica-RPC erlaubt Löschen von Disk-Replikaten

Zusammenfassung

Mooncake Store, eine verteilte KV-Cache-Komponente für KI-Inferenzumgebungen, prüft die Autorisierung für die RPC-Aufrufe EvictDiskReplica und BatchEvictDiskReplica nicht. Ein nicht authentifizierter Angreifer, der den coro_rpc-Master-Port erreichen kann, kann DISK-Replikate über alle Mandanten hinweg entfernen. Objekte, deren einziges verbleibendes Replikat auf dem Datenträger liegt, werden dadurch gelöscht, was zu Datenverlust führt.

Betroffen

• kvcache-ai Mooncake Store (Python-Paket mooncake-transfer-engine)
• Alle Versionen bis einschliesslich 0.3.13.post1 gemäss CNA-Angaben

Behoben in

Unbekannt. Es ist keine korrigierte Version bestätigt.

Umgehung

Vom Hersteller ist keine Workaround-Massnahme veröffentlicht.

• Netzwerkzugriff auf den coro_rpc-Master-Port auf vertrauenswürdige Mooncake-Clients und -Knoten beschränken.
• Den Master-Port nicht dem Internet aussetzen.

Ausnutzung

• CISA SSVC: Ausnutzung none, automatisierbar ja, technische Auswirkung partiell.
• Nicht als bekannt ausgenutzt gelistet (nur über Sekundärquellen geprüft).
• Kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.

Unsere Empfehlung

• Prüfen, ob Mooncake Store oder mooncake-transfer-engine eingesetzt wird, und die Version mit 0.3.13.post1 vergleichen.
• Zugriff auf den coro_rpc-Master-Port mit Firewall-Regeln oder Netzwerksegmentierung einschränken.
• Daten sichern, die von Disk-Replikaten abhängen, da verlorene Replikate nicht von Mooncake selbst wiederhergestellt werden können.
• Das GitHub-Issue und die Herstellerangaben auf eine Korrektur überwachen und diese sofort einspielen, sobald sie verfügbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory: Mooncake Store missing authorization via EvictDiskReplica RPC www.vulncheck.com
• GitHub issue kvcache-ai/Mooncake #4478 github.com
• Mooncake master_service.cpp (affected source lines) github.com
• Mooncake GitHub repository github.com
• CVE record CVE-2026-106040 (Vulners, CNA data) vulners.com
• OSV entry CVE-2026-106040 osv.dev
• Vulners CVE-2026-106040 vulners.com
• Strix CVE-2026-106040 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:18.