CVE-2025-46570

إصدارات vLLM الأقدم من 0.9.0

تنشأ المشكلة من آلية التخزين المؤقت للبادئة في vLLM، مما قد يعرض النظام لهجوم قناة جانبية عبر التوقيت. عند معالجة موجه جديد، إذا عثرت آلية PageAttention على جزء بادئة مطابق، يتم تسريع عملية التعبئة المسبقة، وهو ما ينعكس على «زمن الوصول إلى الرمز الأول» (TTFT). وتعد الاختلافات في التوقيت الناتجة عن الأجزاء المطابقة كبيرة بما يكفي ليتم تحديدها واستغلالها، مما قد يؤدي إلى تسرب المعلومات الخاصة. يمكن للمهاجم محاولة تخمين مدخلات الضحية عن طريق قياس TTFT استنادًا إلى تطابقات البادئة، مما يتيح له التحقق من صحة تخمينه.

بالنسبة للإصدارات الأقدم من 0.9.0، قم بالتحديث إلى الإصدار 0.9.0 لحل المشكلة. كحل مؤقت، ضع في اعتبارك ضبط المعلمة chunk size لتقليل مخاطر الاستغلال. قم بتقييد الوصول إلى المطالبات الحساسة والمطالبات القيمة في النظام لتقليل مخاطر تسرب المعلومات الخاصة. تجنب استخدام آلية PageAttention مع أطوال بادئة قصيرة، لأن ذلك قد يزيد من التعرض لهجمات القناة الجانبية للتوقيت.