SGLang: Denial of Service durch Decompression Bomb im Bildprozessor

Zusammenfassung

SGLang bis Version 0.5.21 deaktiviert beim Laden des NanoNemotron-Bildprozessors für Vision-Language-Modelle den Decompression-Bomb-Schutz von Pillow für den gesamten Prozess. Ein entfernter Angreifer, der Bilder an den Inferenz-Endpunkt senden kann, kann kleine, stark komprimierte Bilder mit sehr grossen Abmessungen einreichen. Beim Dekodieren kann der Arbeitsspeicher des Workers erschöpft werden, sodass der Prozess abstürzt oder blockiert.

Betroffen

• SGLang bis einschliesslich 0.5.21 (sgl-project sglang, Versionen 0 bis 0.5.21)
• Betroffene Komponente: NanoNemotron-Bildprozessor für Vision-Language-Modelle

Behoben in

• Unbekannt. Es wurde keine freigegebene Version mit dem Fix bestätigt.
• Fix-Vorschlag: Pull Request #43713 entfernt die globale Zuweisung Image.MAX_IMAGE_PIXELS; der Merge-Status ist nicht verifiziert.

Umgehung

• Es ist kein Workaround des Herstellers dokumentiert.
• NanoNemotron-basierte Modelle nicht auf Produktivsystemen betreiben, die Bilder von nicht vertrauenswürdigen Benutzern annehmen.
• Grösse der Anfragen und Arbeitsspeicher der Worker begrenzen, zum Beispiel mit Container-Speicherlimits und automatischen Neustarts.
• Inferenz-API nicht öffentlich erreichbar machen und nur mit Authentifizierung betreiben.

Ausnutzung

• CISA SSVC: Exploitation-Status ist Proof of Concept; automatisierbar: ja; technische Auswirkung: teilweise.
• Eine öffentliche Reproduktion ist im upstream Issue und im Fix-Pull-Request beschrieben.
• Nicht im Known-Exploited-Vulnerabilities-Katalog der CISA aufgeführt.
• Es wurden keine Berichte über Ausnutzung dieser CVE in freier Wildbahn gefunden.

Unsere Empfehlung

• Alle SGLang-Installationen erfassen und prüfen, ob sie aus dem Internet oder von nicht vertrauenswürdigen Benutzern erreichbar sind.
• SGLang-Instanzen hinter einer Authentifizierung betreiben und den Netzwerkzugriff einschränken.
• Speicherverbrauch und Neustarts der Inferenz-Worker überwachen.
• Auf eine korrigierte Version aktualisieren, sobald der Hersteller sie bestätigt; die Release-Seite von SGLang prüfen.
• Aus dem Internet erreichbare Instanzen als mittleres bis hohes Risiko, isolierte interne Instanzen als niedriges Risiko einstufen.
• Der NVD-CVSS-3.1-Wert ist 7.5; der CVSS-4.0-Wert ist 8.7. Der NVD-Status ist als Deferred angegeben.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• SGLang GitHub repository github.com
• SGLang issue 43707 github.com
• SGLang pull request 43713 github.com
• VulnCheck advisory www.vulncheck.com
• OSV record CVE-2026-109229 osv.dev
• OpenCVE record CVE-2026-109229 app.opencve.io
• PSIRT record CVE-2026-109229 psirt.com
• Snyk record SNYK-PYTHON-SGLANG-15470991 security.snyk.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:52.