PT-2025-18216
CVE-2025-32444
·
تاريخ النشر
2025-03-19
·
تاريخ التحديث
2026-01-11
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
vLLM الإصدارات من 0.6.5 حتى 0.8.4
الوصف
vLLM هو آلية استدلال وتقديم خدمات لنماذج اللغة الكبيرة (LLMs) عالية الإنتاجية وفعالة في استخدام الذاكرة. تتعلق المشكلة باستخدام التسلسل القائم على pickle عبر مآخذ ZeroMQ غير آمنة عند تكامل vLLM مع mooncake، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد. تم تكوين مآخذ الاتصال المعرضة للخطر للاستماع على جميع واجهات الشبكة، مما يزيد من احتمالية وقوع هجوم. لا تتعرض مثيلات vLLM غير المدمجة مع mooncake لهذه الثغرة. تم إصلاح هذه المشكلة في الإصدار 0.8.5.
التوصيات
لحل المشكلة، قم بالتحديث إلى الإصدار 0.8.5 أو أحدث. كإجراء مؤقت، ضع في اعتبارك تعطيل التكامل مع mooncake حتى يتم تطبيق تصحيح. قم بتقييد الوصول إلى مآخذ ZeroMQ المعرضة للخطر لتقليل مخاطر الاستغلال. تجنب استخدام التسلسل القائم على pickle عبر مآخذ غير آمنة في نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾