Le 7 octobre 2026, JFrog a publié un avis sur CVE-2026-105192 dans LMCache, bibliothèque de cache utilisée dans des systèmes d’inférence. Le défaut concerne le transport ZeroMQ du mode multiprocessus, distinct du mode in-process, et sa désérialisation pickle. Ce constat ne signifie pas que le port du service est automatiquement accessible depuis Internet : l’exposition dépend de la configuration réseau.
Le chemin vulnérable
L’avis décrit une désérialisation de données pickle sans authentification dans le transport multiprocessus ZeroMQ. Un message construit peut conduire à une exécution de code dans le processus LMCache. Le score de gravité est élevé, mais le risque concret dépend de la configuration et de la possibilité d’atteindre le port.
La portée réseau change le risque
Le binding local par défaut limite l’accès aux processus de la même machine; l’avis indique le port 5555 comme port par défaut. Une configuration routable, un transfert de port ou une exposition à un réseau non fiable élargit la surface d’attaque. L’analyse de PK Sharma souligne que des exemples de déploiement peuvent écouter sur toutes les interfaces : vérifiez la configuration effective plutôt que de supposer que le défaut est resté local.
Correctif et mesures immédiates
JFrog indique que les versions 0.5.5 et 0.5.6rc3 restent vulnérables et ne répertorie pas de version corrigée. Tant qu’un correctif n’est pas disponible, désactivez le transport vulnérable si possible, gardez le service sur loopback ou un réseau isolé et filtrez le port par pare-feu. Ne faites confiance qu’aux pairs explicitement autorisés.
Contrôler les conteneurs et processus
Examinez les journaux ZeroMQ, les connexions entrantes et les processus enfants inattendus. Les images conteneurisées doivent être considérées selon leurs privilèges et leur environnement, et non comme une frontière de sécurité suffisante. Suivez les avis du projet et de JFrog pour réévaluer le risque lors de la publication d’un correctif.
Le lien avec Soclyde
Séparez les accès humains d’administration des identifiants nécessaires à l’exécution. Conservez les mots de passe d’administration et d’orchestration dans un coffre chiffré distinct des hôtes LMCache; sur l’hôte, ne gardez que les identifiants d’exécution strictement nécessaires. Soclyde peut aider à stocker et partager les accès administratifs avec les personnes autorisées; il ne filtre pas le trafic ZeroMQ. Consultez notre guide de sécurité des mots de passe ou contactez-nous.
À retenir
Vérifiez si LMCache 0.3.9 ou une version ultérieure est utilisée, contrôlez l’adresse d’écoute et gardez le transport isolé jusqu’à publication d’un correctif. Pour les identifiants, voir notre guide de gestion des mots de passe.
