SGLang: Code-Injection über Debug-Dumper-Filter in /dumper/configure

Zusammenfassung

SGLang-Versionen 0.5.10 bis 0.5.22 enthalten eine Code-Injection-Schwachstelle in der Auswertung des Debug-Dumper-Filters (_evaluate_filter), die eval() mit einer umgehbaren Sandbox verwendet. Ist der Dumper-Server über DUMPER_SERVER_PORT aktiviert, kann ein entfernter Angreifer einen präparierten Filterausdruck an den Endpunkt /dumper/configure senden und beim nächsten Forward-Pass Python-Code im Scheduler-Prozess ausführen. Die CVE beschreibt den Endpunkt als nicht authentifiziert, die Recherche deutet jedoch darauf hin, dass ein gültiger API-Schlüssel genügen kann; dieser Punkt ist umstritten.

Betroffen

• SGLang 0.5.10 bis 0.5.22
• Nur Installationen mit aktiviertem Debug-Dumper-Server (DUMPER_SERVER_PORT gesetzt)
• Versionen vor 0.5.10: Unbekannt.

Behoben in

Unbekannt. Kein vom Hersteller bestätigtes Fix-Release gefunden. Die Fixes befinden sich in offenen Pull Requests (#45998, #44782); der Merge-Status ist unklar.

Umgehung

• Sicherstellen, dass DUMPER_SERVER_PORT in jeder Installation nicht gesetzt ist
• Netzwerkzugriff auf die SGLang-API auf vertrauenswürdige Hosts beschränken; nicht dem Internet aussetzen
• Die /dumper/-Routen auf einem Reverse Proxy oder einer Firewall blockieren, falls der Dumper aktiviert bleiben muss
• Vom Hersteller wurde keine Gegenmassnahme veröffentlicht.

Ausnutzung

• Öffentlicher Proof of Concept: ja, dokumentiert im GitHub-Issue #44188
• In freier Wildbahn: Keine Hinweise gefunden
• CISA SSVC: Exploitation PoC, automatisierbar: nein, technische Auswirkung: total
• EPSS ist niedrig (0.00452)
• Laut Recherche nicht in CISA KEV gelistet

Unsere Empfehlung

• Alle SGLang-Installationen inventarisieren, einschliesslich PyPI-sglang-Pakete
• Prüfen, ob DUMPER_SERVER_PORT gesetzt ist, und den Dumper deaktivieren, falls nicht benötigt
• Zugriff auf SGLang-Endpunkte sofort auf vertrauenswürdige Hosts beschränken
• GitHub-Issue und Pull Requests überwachen und nach Veröffentlichung eines Fix-Release aktualisieren
• Bei möglicher früherer Exposition den Scheduler-Host auf unerwartete Dateien oder Prozesse prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record: VulnCheck advisory www.vulncheck.com
• GitHub issue #44188 github.com
• dumper.py at v0.5.22 (vulnerable code) github.com
• SGLang repository github.com
• Pull request #45998 (eval replacement) github.com
• Pull request #44782 (hardening attempt) github.com
• VulDB entry 421267 vuldb.com
• SUSE CVE record via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:22.