CVE-2025-48887
Təsvir
Böyük dil modelləri (LLM) üçün inferensiya və servis mühərriki olan vLLM-in 0.6.4 versiyasından 0.9.0 versiyasına qədər (0.9.0 daxil olmaqla) olan versiyalarında `vllm/entrypoints/openai/tool_parsers/pythonic_tool_parser.py` faylında Müntəzəm İfadələrlə Xidmətdən İmtina (ReDoS) zəifliyi mövcuddur. Problemin əsas səbəbi alət çağırışlarının aşkarlanması üçün çox mürəkkəb və iç-içə müntəzəm ifadələrin istifadə edilməsidir ki, bu da hücumçu tərəfindən performansın ciddi şəkildə aşağı salınmasına və ya xidmətin əlçatmaz hala gəlməsinə səbəb olmaq üçün istismar edilə bilər. Şablon, onu katastrofik geri qaytarmaya (catastrophic backtracking) qarşı həssas edən çox sayda iç-içə kvantifikatorlar, opsional qruplar və daxili təkrarlandırmalar ehtiva edir. 0.9.0 versiyasında bu problem üçün düzəliş tətbiq edilmişdir.
Necə düzəltmək olar
- vllm vllm0.9.0 və ya daha yeni versiya
- vllm0.9.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vllm vllm | 0.6.4 ≤ v < 0.9.0 | 0.9.0 |
| vllmPyPI | 0.6.4 ≤ v < 0.9.0 | 0.9.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.