🇰🇷 한글 설명
sglang 0.5.21 버전 이하의 sgl-project에서 HTTP 엔드포인트의 server_info 함수 내 api_key 인자 조작을 통해 민감한 정보가 평문으로 전송되는 취약점이 발견되었습니다. 이 취약점은 원격에서 공격이 가능하지만 공격 난이도가 매우 높습니다.
💡 쉬운 설명
인증을 위한 비밀번호(API 키)가 암호화되지 않은 상태로 네트워크에 노출될 수 있는 문제입니다. 해커가 이 정보를 가로채면 시스템 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
A vulnerability has been found in sgl-project sglang up to 0.5.21. This issue affects the function server_info of the file python/sglang/srt/entrypoints/http_server.py of the component HTTP Endpoint. Such manipulation of the argument api_key leads to cleartext transmission of sensitive information. It is possible to launch the attack remotely. Attacks of this nature are highly complex. The exploitability is assessed as difficult. The exploit has been disclosed to the public and may be used. The pull request to fix this issue awaits acceptance.
📍 영향받는 시스템
sgl-project sglang version 0.5.21 및 그 이하 버전
⚔️ 공격 벡터
원격에서 HTTP 엔드포인트의 api_key 인자를 조작하여 민감 정보를 평문으로 탈취
🛡️ 대응 방법
sglang를 최신 보안 패치가 적용된 버전으로 업데이트하거나 관련 Pull Request를 적용하십시오.
🔧 검증 코드
출력된 버전이 0.5.21 이하인지 확인하여 취약 여부를 판단합니다.
pip show sglang | grep Version