CVE-2025-46560
Açıklama
vLLM, LLM'ler için yüksek throughput ve bellek verimliliğine sahip bir çıkarım ve sunum motorudur. 0.8.0 sürümünden başlayarak 0.8.5 öncesindeki sürümler, multimodal tokenizer'ın girdi ön işleme mantığındaki kritik bir performans zafiyetinden etkilenmektedir. Kod, yer tutucu token'ları (örneğin, <|audio_|>, <|image_|>) önceden hesaplanmış uzunluklara göre tekrarlanan token'lar ile dinamik olarak değiştirir. Verimsiz liste birleştirme işlemleri nedeniyle algoritma kuadratik zaman karmaşıklığı (O(n²)) sergilemekte ve kötü niyetli aktörlerin özel olarak hazırlanmış girdiler aracılığıyla kaynak tükenmesine yol açmasına izin vermektedir. Bu sorun 0.8.5 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- vllm vllm0.8.5 ya da sonraki bir sürüm
- vllm0.8.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vllm vllm | 0.8.0 ≤ v < 0.8.5 | 0.8.5 |
| vllmPyPI | 0.8.0 ≤ v < 0.8.5 | 0.8.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.