SGLang: Remote Code Execution durch unsichere Pickle-Deserialisierung im ZMQ-Decoder
Zusammenfassung
Der interne ZeroMQ-Nachrichtendecoder von SGLang übergibt PickleWrapper-Nutzlasten ohne Typ-Allowlist und ohne Authentifizierung an pickle.loads(). Die Schwachstelle besteht auch im MessagePack-Pfad, selbst wenn SGLANG_USE_PICKLE_IPC deaktiviert ist, sodass das Abschalten des Pickle-Transports sie nicht beseitigt. Ein nicht authentifizierter Angreifer, der den internen Empfänger erreichen kann, kann beliebigen Code mit den Rechten des SGLang-Prozesses ausführen; aus der Ferne ausnutzbar ist dies, wenn Data-Parallel-Attention aktiviert ist und --dist-init-addr nicht auf Loopback gebunden ist.
Betroffen
- SGLang-Versionen 0 bis 0.5.20 (gemäss CVE-Eintrag und CISA SSVC; genauer Bereich vom Hersteller nicht bestätigt)
- Die Ausnutzung aus der Ferne setzt aktivierte Data-Parallel-Attention und ein nicht auf Loopback gebundenes --dist-init-addr voraus
- Unbekannt, ob Standardeinstellungen betroffen sind
Behoben in
Unbekannt. Zum Zeitpunkt der Erstellung wurde keine korrigierte Version und kein Herstellerhinweis gefunden.
Umgehung
- --dist-init-addr auf Loopback gebunden belassen
- ZMQ-Sockets für Data-Parallel-Attention von nicht vertrauenswürdigen Netzwerken fernhalten
- MessagePack-Pfad vermeiden; das alleinige Deaktivieren von SGLANG_USE_PICKLE_IPC beseitigt die Exposition nicht
- Netzwerkzugriff auf die internen SGLang-Ports mit Firewall-Regeln einschränken, nur der lokale Host ist zugelassen
Ausnutzung
- CISA SSVC: Exploitation none, automatisierbar ja, totale technische Auswirkung
- Zum Zeitpunkt der Erstellung wurde keine Ausnutzung in freier Wildbahn gefunden
- Kein öffentlicher Proof of Concept bestätigt; eine technische Analyse beschreibt Codeausführung in einer Testumgebung
Unsere Empfehlung
- Alle SGLang-Installationen und deren Versionen inventarisieren
- Prüfen, ob Data-Parallel-Attention aktiviert ist und woran --dist-init-addr gebunden ist
- Netzwerkzugriff auf die internen SGLang-Ports umgehend einschränken
- Das Repository von sgl-project und NVD auf einen Hinweis und eine korrigierte Version überwachen und danach zügig aktualisieren
- Jede exponierte Installation aufgrund des CVSS-Werts von 9.8 als kritisch behandeln
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- SGLang GitHub repository github.com
- m00dy.sh: Disabling Pickle Did Not Remove Pickle m00dy.sh
- Forkast: SGLang CVSS 9.8 pickle deserialization RCE forkast.news
- Strix: CVE-2026-93034 www.strix.ai
- CERT/CC VU#665416 advisory kb.cert.org
- Vulners: CVE-2026-93034 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.