CVE-2025-30202
Açıklama
vLLM, LLM'ler için yüksek veri hacimli ve bellek verimliliğine sahip bir çıkarım ve sunum motorudur. 0.5.2 sürümünden başlayarak 0.8.5 öncesindeki sürümler, çok düğümlü vLLM dağıtımlarında ZeroMQ üzerinden hizmet reddi ve veri ifşasına karşı savunmasızdır. Çok düğümlü bir vLLM dağıtımında vLLM, bazı çok düğümlü iletişim amaçları için ZeroMQ kullanır. Birincil vLLM ana bilgisayarı bir XPUB ZeroMQ soketi açar ve bunu TÜM arayüzlere bağlar. Soket, çok düğümlü bir dağıtım için her zaman açık olsa da, yalnızca birden fazla ana bilgisayar arasında tensor paralelliği gerçekleştirilirken kullanılır. Bu ana bilgisayara ağ erişimi olan herhangi bir istemci, portu bir güvenlik duvarı tarafından engellenmediği sürece bu XPUB soketine bağlanabilir. Bağlandıklarında, bu rastgele istemciler tüm ikincil vLLM ana bilgisayarlarına yayınlanan aynı verilerin tamamını alacaktır. Bu veriler, bir saldırgan için yararlı olmayan dahili vLLM durum bilgileridir. Bir saldırgan, potansiyel olarak bu sokete birçok kez bağlanıp kendilerine yayınlanan verileri okumayarak, yayıncıyı yavaşlatıp potansiyel olarak engelleyerek bir hizmet reddine de neden olabilir. Bu sorun 0.8.5 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- vllm vllm0.8.5 ya da sonraki bir sürüm
- vllm0.8.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vllm vllm | 0.5.2 ≤ v < 0.8.5 | 0.8.5 |
| vllmPyPI | 0.5.2 ≤ v < 0.8.5 | 0.8.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.