CVE-2025-62164
Təsvir
vLLM böyük dil modelləri (LLM) üçün istifadə və təminat mühərrikidir. Versiya 0.10.2-dən 0.11.1 versiyasına qədər olan versiyalarda, Completions API son nöqtəsində yaddaşın korlanması zəifliyi sistemin çökməsinə (xidmətdən imtina) və potensial olaraq uzaqdan kodun icrasına (RCE) səbəb ola bilər. İstifadəçi tərəfindən təqdim edilən prompt embedding-ləri emal edərkən, son nöqtə kifayət qədər doğrulama aparmadan torch.load() vasitəsilə seriyalaşdırılmış tensorları yükləyir. PyTorch 2.8.0 versiyasında edilən dəyişikliyə görə, seyrək (sparse) tensor bütövlüyünün yoxlamaları standart olaraq söndürülüb. Nəticədə, bədniyyətli şəkildə hazırlanmış tensorlar daxili sərhəd yoxlamalarını yan keçə və to_dense() çağırışı zamanı sərhədlərdən kənar yaddaşa yazma əməliyyatını tetikləyə bilər. Bu yaddaş korlanması vLLM-i çökdürə və potensial olaraq vLLM-in yerləşdiyi serverdə kodun icrasına gətirib çıxara bilər. Bu problem 0.11.1 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- vllm vllm0.11.1 və ya daha yeni versiya
- vllm0.11.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vllm vllm | 0.10.2 ≤ v < 0.11.1, 0.11.1 | 0.11.1 |
| vllmPyPI | 0.10.2 ≤ v < 0.11.1 | 0.11.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.