PT-2025-11696
CVE-2025-29770
·
تاريخ النشر
2025-03-19
·
تاريخ التحديث
2025-07-31
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات vLLM الأقدم من 0.8.0
الوصف
تتعلق المشكلة بمكتبة outlines التي يستخدمها vLLM للإخراج المنظم، والتي تحتوي على ذاكرة تخزين مؤقتة اختيارية لقواعد النحو المُجمَّعة في نظام الملفات المحلي. هذه الذاكرة المؤقتة مُفعَّلة بشكل افتراضي. يمكن لمستخدم ضار استغلال ذلك عن طريق إرسال طلبات فك تشفير قصيرة متعددة ذات مخططات فريدة، مما يؤدي إلى تضخم ذاكرة التخزين المؤقتة ويؤدي محتملًا إلى حدوث حالة «رفض الخدمة» (DoS) إذا نفد المساحة المتاحة في نظام الملفات. يقع الكود المتأثر في الملف vllm/model executor/guided decoding/outlines logits processors.py، الذي يستخدم ذاكرة التخزين المؤقتة الخاصة بـ «outlines» دون شروط. تنطبق المشكلة فقط على المحرك V0.
التوصيات
بالنسبة للإصدارات الأقدم من 0.8.0، قم بالتحديث إلى الإصدار 0.8.0 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تعطيل استخدام مكتبة outlines أو تقييد الوصول إلى المفتاح guided decoding backend في الحقل extra body للطلب لتقليل مخاطر الاستغلال.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾