🇰🇷 한글 설명
LMCache 0.5.5 이하 버전의 멀티프로세스 모드 HTTP 서버에서 인증 누락 취약점이 발견되었습니다. 공격자는 인증 없이 관리 엔드포인트에 접근하여 환경 변수 및 설정 정보를 탈취하거나, 캐시를 삭제하고 테넌트 할당량을 수정하여 다른 사용자의 데이터를 삭제할 수 있습니다.
💡 쉬운 설명
인증 절차 없이 누구나 관리자 페이지에 접속할 수 있는 보안 구멍이 발견되었습니다. 이를 통해 해커가 중요한 정보를 훔치거나 시스템의 저장된 데이터를 마음대로 지울 수 있습니다.
🇺🇸 원문 (English)
LMCache through 0.5.5 contains a missing authentication vulnerability in the multiprocess mode HTTP server that allows remote unauthenticated attackers to access management endpoints listening on all interfaces by default. Attackers can read environment credentials via GET /env and configuration via GET /config, clear caches, delete cache objects, and modify tenant quotas to evict other tenants' cached data.
📍 영향받는 시스템
LMCache 0.5.5 및 그 이전 버전
⚔️ 공격 벡터
네트워크를 통해 인증 없이 관리용 HTTP 엔드포인트(GET /env, GET /config 등)에 직접 접근
🛡️ 대응 방법
LMCache를 최신 보안 패치가 적용된 버전으로 업데이트하고, 관리 엔드포인트의 접근 제어 및 인증 설정을 강화하십시오.
🔧 검증 코드
출력된 버전이 0.5.5 이하인지 확인하여 취약 여부를 판단합니다.
pip show lmcache | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H
💻 영향받는 소프트웨어
Multi-Domain Security Management Server