Die Schwachstelle betrifft den Mehrprozess- beziehungsweise verteilten Betriebsmodus von LMCache. In diesem Modus wird ein ZeroMQ-Socket geöffnet, über den sich Arbeitsprozesse registrieren und KV-Cache-Blöcke austauschen können – ohne jede Authentifizierung. Die Nachrichten auf diesem Socket werden im msgpack-Format verarbeitet; für einen bestimmten Erweiterungstyp wird die Deserialisierung an eine Komponente weitergereicht, die die Daten mit Pythons pickle-Mechanismus entpackt. Das geschieht bereits beim Einlesen der Anfrageargumente, also noch bevor überhaupt eine Prüfung oder der eigentliche Handler greift. Weil pickle beliebigen Code beim Entpacken ausführt, genügt eine einzige unauthentifizierte Nachricht an den Transportport, um fremden Code auszuführen – mit den Rechten des Benutzers, unter dem der LMCache-Prozess läuft. In den offiziellen Container-Images ist das der Root-Benutzer. Standardmäßig lauscht der Dienst nur lokal, doch für den Betrieb über mehrere Knoten hinweg wird er bewusst auf eine erreichbare Adresse gebunden und ist dann aus dem Netz angreifbar.