CVE-2026-112269
Vulnérabilité élevée dans sglang (sgl-project)
CVSS 7.1 · Élevée
sgl-project•sglang•Versions : <=0.5.22, 0
Description
SGLang through 0.5.22 with the Mooncake disaggregation backend accepts unauthenticated decode registration messages on the Prefill rank ZMQ PULL socket, allowing denial of service. Network-adjacent attackers can send many registrations with unique mooncake_session_id values and large nested-buffer frames to exhaust Prefill memory until the scheduler is OOM-killed.
Gravité et risque d'exploitation
CVE-2026-112269 obtient un score CVSS de 7.1/10, soit une gravité élevée.
Que faire ?
- Vérifiez si sglang (versions <=0.5.22, 0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/sgl-project/sglang/issues/45012
- https://github.com/sgl-project/sglang/blob/v0.5.22/python/sglang/srt/disaggregation/mooncake/conn.py#L2885-L2935
- https://github.com/sgl-project/sglang/blob/v0.5.22/python/sglang/srt/disaggregation/mooncake/conn.py#L889-L909
- https://github.com/sgl-project/sglang/blob/v0.5.22/python/sglang/srt/disaggregation/common/utils.py#L47-L69
- https://www.vulncheck.com/advisories/sglang-through-0.5.22-memory-exhaustion-via-unauthenticated-mooncake-decode-registrations