PT-2025-12092
CVE-2024-11040
·
تاريخ النشر
2025-03-20
·
تاريخ التحديث
2025-03-21
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات vllm 0.5.2.2
الوصف
تتعلق المشكلة بهجمات «رفض الخدمة» (Denial of Service). وتحدث في نقاط النهاية ”POST /v1/completions“ و”POST /v1/embeddings“. بالنسبة لـ ”POST /v1/completions“، يؤدي تمكين
use beam search وتعيين best of على قيمة عالية إلى انتهاء مهلة اتصال HTTP، مما يؤدي إلى توقف vllm عن العمل الفعلي وبقاء الطلب في حالة ”معلقة“، مما يمنع وصول طلبات الإكمال الجديدة. بالنسبة لـ ”POST /v1/embeddings“، يؤدي توفير مدخلات غير صالحة إلى كائن JSON إلى حدوث مشكلة في الحلقة الخلفية، مما يؤدي إلى إرجاع جميع طلبات الإكمال اللاحقة لرمز خطأ HTTP 500 («خطأ داخلي في الخادم») حتى يتم إعادة تشغيل vllm.التوصيات
بالنسبة للإصدار 0.5.2.2، كحل مؤقت، يُنصح بتعطيل الدالة
use beam search وتقييد قيمة best of في نقطة النهاية ”POST /v1/completions“ حتى يتوفر تصحيح. قم بتقييد الوصول إلى نقطة النهاية ”POST /v1/embeddings“ لتقليل مخاطر الاستغلال عن طريق تزويد مدخلات JSON غير صالحة. تجنب استخدام المتغير best of بقيم عالية في نقطة النهاية المتأثرة من واجهة برمجة التطبيقات (API) حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾