CVE-2026-34755
Təsvir
vLLM böyük dil modelləri (LLM) üçün istifadə və təminat mühərrikidir. 0.7.0 versiyasından 0.19.0 versiyasına qədər olan dövrdə, vllm/multimodal/media/video.py faylındakı VideoMediaIO.load_base64() metodu fərdi JPEG kadrlarını çıxarmaq üçün video/jpeg məlumat URL-lərini vergüllə bölür, lakin kadr sayı limitini tətbiq etmir. load_bytes() kod yolu tərəfindən tətbiq edilən num_frames parametri (defolt: 32), video/jpeg base64 yolunda tamamilə yan keçilir. Hücumçu, minlərlə vergüllə ayrılmış base64 formatında kodlaşdırılmış JPEG kadrları ehtiva edən tək bir API sorğusu göndərərək bütün kadrların yaddaşa dekod olunmasına və serverin OOM səbəbindən çökməsinə səbəb ola bilər. Bu zəiflik 0.19.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- vllm vllm0.19.0 və ya daha yeni versiya
- vllm0.19.0 və ya daha yeni versiya
- access.redhat.com/errata/RHSA-2026:36005
- access.redhat.com/errata/RHSA-2026:36006
- access.redhat.com/errata/RHSA-2026:57380
- access.redhat.com/errata/RHSA-2026:57389
- access.redhat.com/errata/RHSA-2026:57390
- access.redhat.com/errata/RHSA-2026:57387
- access.redhat.com/errata/RHSA-2026:59151
- access.redhat.com/errata/RHSA-2026:59144
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vllm vllm | 0.7.0 ≤ v < 0.19.0 | 0.19.0 |
| vllmPyPI | 0.7.0 ≤ v < 0.19.0 | 0.19.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.