CVE-2025-46722
Açıklama
vLLM, büyük dil modelleri (LLM'ler) için bir çıkarım ve sunum motorudur. 0.7.0 ile 0.9.0 öncesindeki sürümlerde, vllm/multimodal/hasher.py dosyasındaki MultiModalHasher sınıfının görüntü özetleme yönteminde bir güvenlik ve veri bütünlüğü sorunu bulunmaktadır. Mevcut durumda, PIL.Image.Image nesnelerini yalnızca görüntünün şekli (genişlik, yükseklik, mod) gibi meta verileri dahil etmeden sadece ham piksel verilerini döndüren obj.tobytes() kullanarak serileştirmektedir. Sonuç olarak, aynı piksel bayt dizisine sahip ancak farklı boyutlardaki iki görüntü (örneğin, 30x100 ve 100x30) aynı özet değerini üretebilir. Bu durum; özet çakışmalarına, hatalı önbellek hitlerine ve hatta veri sızıntısına veya güvenlik risklerine yol açabilir. Bu sorun 0.9.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- vllm vllm0.9.0 ya da sonraki bir sürüm
- vllm0.9.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vllm vllm | 0.7.0 ≤ v < 0.9.0 | 0.9.0 |
| vllmPyPI | 0.7.0 ≤ v < 0.9.0, v < 0.9.0 | 0.9.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.