CVE-2026-22807
Açıklama
vLLM, büyük dil modelleri (LLM'ler) için bir çıkarım ve sunum motorudur. Versiyon 0.10.1 ile başlayıp versiyon 0.14.0 öncesine kadar olan sürümlerde vLLM, model çözümleme sırasında Hugging Face `auto_map` dinamik modüllerini `trust_remote_code` kontrolü yapmadan yükleyerek, bir model deposunda veya yolunda bulunan saldırgan kontrollü Python kodunun sunucu başlangıcında çalışmasına izin verir. Model deposunu veya yolunu (yerel dizin veya uzak Hugging Face deposu) etkileyebilen bir saldırgan, model yüklemesi sırasında vLLM ana makinesinde rastgele kod çalıştırma sağlayabilir. Bu durum herhangi bir istek işleme sürecinden önce gerçekleşir ve API erişimi gerektirmez. Versiyon 0.14.0 bu sorunu düzeltmektedir.
Nasıl düzeltilir
- vllm vllm0.14.0 ya da sonraki bir sürüm
- vllm0.14.0 ya da sonraki bir sürüm
- access.redhat.com/errata/RHSA-2026:3461
- access.redhat.com/errata/RHSA-2026:3462
- access.redhat.com/errata/RHSA-2026:30089
- access.redhat.com/errata/RHSA-2026:30088
- access.redhat.com/errata/RHSA-2026:30087
- access.redhat.com/errata/RHSA-2026:10184
- access.redhat.com/errata/RHSA-2026:42644
- access.redhat.com/errata/RHSA-2026:3782
- access.redhat.com/errata/RHSA-2026:3713
- access.redhat.com/errata/RHSA-2026:5119
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vllm vllm | 0.10.1 ≤ v < 0.14.0 | 0.14.0 |
| vllmPyPI | 0.10.1 ≤ v < 0.14.0 | 0.14.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.