Tehditin Önemi
Kritik bir güvenlik açığı, SGLang framework’ünde tespit edilmiş olup, başarılı bir saldırı durumunda uzaktan kod yürütülmesine yol açabilmektedir. Bu açık, CVE-2026-5760 olarak izlenmekte ve CVSS puanı 9.8/10.0 ile yüksek tehlike seviyesinde sınıflandırılmaktadır.
Saldırı Nasıl Çalışıyor?
Bu güvenlik açığı, saldırganların özel hazırlanmış bir GPT-Üretilmiş Birleşik Format (GGUF) model dosyası aracılığıyla /v1/rerank uç noktasında kod yürütmesine olanak tanımaktadır. Saldırgan, kötü niyetli bir GGUF model dosyası oluşturur ve bu dosya içerisinde Jinja2 sunucu tarafı şablon enjeksiyonu (SSTI) yükü ile bir tokenizer.chat_template parametresi tanımlar.
Saldırının aşamaları şu şekildedir:
- Saldırgan, kötü niyetli bir GGUF model dosyası oluşturur.
- Model dosyası, “entrypoints/openai/serving_rerank.py” dosyasındaki savunmasız kod yolunu etkinleştiren bir tetikleyici içerir.
- Kurban, modeli SGLang’a yükler.
- “/v1/rerank” uç noktasına gelen bir istek ile SGLang, chat_template parametresini okur ve Jinja2 ile render eder.
- SSTI yükü, sunucuda rastgele Python kodunu çalıştırır.
Etkilenen Sistemler
Bu güvenlik açığı, SGLang framework’ünü kullanan tüm sistemleri etkilemektedir. Özellikle, model yükleyen kullanıcılar ve bu modeli sunucuda işleyen sistemler, saldırıya açıktır. Bilim insanı Stuart Beck’in işaret ettiği gibi, jinja2.Environment() kullanımı, sandbox ile korunmadan yapıldığında kötü niyetli modellerin rastgele Python kodunu çalıştırmasına olanak tanımaktadır.
Çözüm ve Korunma
İlgili güvenlik zafiyetinden korunmak için aşağıdaki adımların takip edilmesi önerilmektedir:
- ImmutableSandboxedEnvironment kullanarak şablonları işleyin.
- Güvenlik güncellemelerini düzenli olarak takip edin ve uygulayın.
- Model yükleme işlemlerinde dikkatli olun ve yalnızca güvenilir kaynaklardan alın.
CVE-2026-5760 ayrıca CVE-2024-34359 (Llama Drama) ile benzer bir zafiyet sınıfına dahildir. Bu tür zafiyetlerin tekrar yaşanmaması için sistemlerinizi sürekli güncel tutmak son derece önemlidir.
Sonuç
Okuyucuların, SGLang kullanıcıları olarak mümkün olan en kısa sürede güncellemeleri kontrol etmeleri ve port kapatma gibi ilave güvenlik önlemleri alarak sistemlerini korumaları gerekmektedir. Bilgisayar sistemlerinizin güvenliği, sürekli bir özen ve güncellemeyle sağlanır.
