L2Yyd5

توجد مشكلة حيث يقوم تعيين Guice الخاص بـ `MediaFilter` في `WebModule.java` و `ResourceServlet` الخاص بـ Jetty في `WebServer.java` بتفسير معاملات المسار بشكل مختلف عند نقطة النهاية '/api/media/*'. يمكن لمهاجم غير مصرح له تجاوز فحوصات تفويض الجلسة والجهاز عن طريق إدراج فاصلة منقوطة عند حدود Servlet إذا كان يعرف أو يخمن المعرف الفريد للجهاز واسم ملف الوسائط. يحدث هذا لأن Jetty يرسل المسار غير القياسي إلى `ResourceServlet` مما يسمح بالكشف للقراءة فقط عن ملفات الوسائط المحمية مثل الصور أو الصوت أو الفيديو. قد تقوم الوكلاء العكسيون الذين يرفضون أو يعيدون كتابة معاملات المسار التي تحتوي على فاصلة منقوطة بحظر هذه الطلبات.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات vLLM من 0.16.0 إلى 0.18.99 الوصف يحتوي vLLM، وهو محرك استدلال وتقديم للنماذج اللغوية الضخمة، على ثغرة تتعلق بتزوير الطلبات من جانب الخادم (SSRF) في الدالة `download bytes from url`. وهذا يسمح للمهاجم القادر على التحكم في مدخلات JSON للدُفعات بجعل مشغل الدُفعات في vLLM يصدر طلبات HTTP/HTTPS تعسفية من الخادم، دون أي تحقق من صحة عناوين URL أو قيود على النطاقات. تكمن الثغرة الأمنية في ملف `run batch.py`، وتحديدًا داخل الدالة `download bytes from url`، التي تستدعي مباشرةً `session.get(url)` على عنوان URL مقدم في مدخلات JSON للدُفعات. تعتبر المعلمة `file url` الموجودة داخل `BatchTranscriptionRequest` و`BatchTranslationRequest` عرضة للخطر، حيث تفتقر إلى قيود على النطاق أو عنوان IP أو المنفذ. ويمكن استغلال ذلك لاستهداف الخدمات الداخلية التي يمكن الوصول إليها من مضيف vLLM. التوصيات قم بالتحديث إلى إصدار vLLM 0.19.0 أو أحدث.

DataEase هي أداة تحليل وتصور البيانات مفتوحة المصدر. تعاني الإصدارات 2.10.19 وما دونها من عدم اتساق في معالجة الإعدادات الإقليمية بين منطق التحقق من صحة عناوين URL في JDBC والتحليل الداخلي لمحرك H2 JDBC. تستخدم DataEase الدالة `String.toUpperCase()` دون تحديد إعدادات إقليمية صريحة، معتمدةً على الإعدادات الإقليمية الافتراضية لوقت التشغيل في JVM لإجراء الفحوصات الأمنية، بينما يقوم محرك H2 JDBC بتوحيد عناوين URL باستخدام `Locale.ENGLISH`. في بيئات الإعدادات الإقليمية التركية (tr TR)، تقوم Java بتحويل الحرف الصغير «i» إلى «İ» (حرف I كبير منقط) بدلاً من «I»، مما يسمح لمعلمة خبيثة مثل `iNIT` بتجاوز القائمة السوداء لـ DataEase بينما يفسرها H2 بشكل صحيح على أنها `INIT`. يتيح هذا التباين للمهاجمين تهريب معلمات JDBC خطيرة متجاوزةً التحقق الأمني لـ DataEase. تم التأكد من أن هذه المشكلة قابلة للاستغلال في عمليات نشر DataEase الفعلية التي تعمل ضمن الإعدادات الإقليمية المتأثرة.