🇰🇷 한글 설명
SGLang의 Decode 워커에서 AUX_DATA ZeroMQ 제어 메시지에 대한 입력 검증이 누락되어 DoS 취약점이 발생합니다. 네트워크를 통해 Decode 제어 PULL 소켓에 접근 가능한 인증되지 않은 원격 공격자가 Decode 제어 스레드를 종료시켜 대상 서버에 서비스 거부 상태를 유발할 수 있습니다.
💡 쉬운 설명
해커가 특수한 메시지를 보내 서버의 핵심 작업 스레드를 강제로 종료시킬 수 있는 문제입니다. 이로 인해 서버가 정상적인 서비스를 제공하지 못하고 멈추게 됩니다.
🇺🇸 원문 (English)
SGLang contains a DoS vulnerability caused by missing input validation for AUX_DATA ZeroMQ control messages in the Decode worker, which enables an unauthenticated remote attacker with network reachability to the Decode control PULL socket to terminate the Decode control thread and cause a denial of service against the target server.
📍 영향받는 시스템
SGLang (Decode worker 구성 요소 포함 버전)
⚔️ 공격 벡터
네트워크를 통해 Decode 제어 PULL 소켓으로 조작된 ZeroMQ AUX_DATA 메시지 전송
🛡️ 대응 방법
SGLang을 최신 보안 패치가 적용된 버전으로 업데이트하고, 제어 소켓에 대한 네트워크 접근 권한을 제한하십시오.
🔧 검증 코드
출력된 SGLang의 버전을 확인하여 취약점이 해결된 패치 버전인지 대조하십시오.
pip show sglang 2>/dev/null | grep -E 'Version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
Windows iSCSI Target Service