CVE-2025-30202

vLLM, LLM-lər üçün yüksək məhsuldarlığa və yaddaş səmərəliliyinə malik bir inferensiya və servis mühərrikidir. 0.5.2 versiyasından başlayaraq 0.8.5 versiyasına qədər olan versiyalar çoxdüzümlü (multi-node) vLLM tətbiqlərində ZeroMQ vasitəsilə xidmətdən imtina (DoS) və məlumat sızması zəifliyinə malikdir. Çoxdüzümlü vLLM tətbiqində vLLM bəzi çoxdüzümlü kommunikasiya məqsədləri üçün ZeroMQ-dan istifadə edir. Əsas vLLM hostu bir XPUB ZeroMQ soketi açır və onu BÜT interfeyslərə bağlayır. Soket çoxdüzümlü tətbiq üçün həmişə açıq olsa da, o, yalnız bir neçə host arasında tensor paralelliyi yerinə yetirilərkən istifadə olunur. Bu hosta şəbəkə girişi olan hər hansı müştəri, portu firewall tərəfindən bloklanmadığı təqdirdə bu XPUB soketinə qoşula bilər. Qoşulduqdan sonra bu ixtiyari müştərilər bütün ikincil vLLM hostlarına yayılmış eyni məlumatları alacaqlar. Bu məlumatlar hücumçu üçün faydalı olmayan daxili vLLM vəziyyət məlumatlarıdır. Hücumçu bu soketə dəfələrlə qoşularaq və onlara göndərilən məlumatları oxumayaraq, nəşri (publisher) yavaşladaraq və ya potensial olaraq bloklayaraq xidmətdən imtinaya səbəb ola bilər. Bu problem 0.8.5 versiyasında aradan qaldırılıb.