CVE-2026-22778
Kritik
Açıklama
vLLM, büyük dil modelleri (LLM) için bir çıkarım ve sunum motorudur. 0.8.3 sürümünden 0.14.1 öncesine kadar, vLLM'in multimodal uç noktasına geçersiz bir görüntü gönderildiğinde PIL bir hata fırlatır. vLLM bu hatayı istemciye döndürerek bir heap adresinin sızmasına neden olur. Bu sızıntı ile ASLR tahmini 4 milyardan yaklaşık 8 tahmine düşürülmektedir. Bu zafiyet, uzaktan kod çalıştırma sağlamak amacıyla OpenCV/FFmpeg içerisindeki JPEG2000 dekoderindeki bir heap overflow ile zincirlenebilir. Bu zafiyet 0.14.1 sürümünde düzeltilmiştir.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
ÜrünVllm
Yayın2 Şub 2026
İlk görülme2 Şub 2026
Zayıflık türüCWE-532CWE-532
Nasıl düzeltilir
Güncelleyin
- vllm vllm0.14.1 ya da sonraki bir sürüm
- vllm0.14.1 ya da sonraki bir sürüm
Üretici duyuruları
- access.redhat.com/errata/RHSA-2026:3461
- access.redhat.com/errata/RHSA-2026:3462
- access.redhat.com/errata/RHSA-2026:30089
- access.redhat.com/errata/RHSA-2026:30088
- access.redhat.com/errata/RHSA-2026:30087
- access.redhat.com/errata/RHSA-2026:3782
- access.redhat.com/errata/RHSA-2026:19712
- access.redhat.com/errata/RHSA-2026:3713
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vllm vllm | 0.8.3 ≤ v < 0.14.1 | 0.14.1 |
| vllmPyPI | 0.8.3 ≤ v < 0.14.1 | 0.14.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.