PT-2025-23224
CVE-2025-48887
·
تاريخ النشر
2025-05-21
·
تاريخ التحديث
2025-05-30
الوصف من
CVSS 2.0
6.8
متوسطةالمقاييسAV:N/AC:L/Au:S/C:N/I:N/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات vLLM من 0.6.4 إلى 0.9.0
الوصف
توجد ثغرة أمنية من نوع «رفض الخدمة عبر التعبيرات العادية» (ReDoS) في مشروع vLLM، وتحديدًا في الملف
vllm/entrypoints/openai/tool parsers/pythonic tool parser.py. السبب الجذري هو استخدام تعبير منتظم شديد التعقيد ومتداخل للكشف عن استدعاء الأداة، والذي يمكن للمهاجم استغلاله لإحداث تدهور شديد في الأداء أو جعل الخدمة غير متاحة. يحتوي النمط على العديد من المحددات المتداخلة والمجموعات الاختيارية والتكرارات الداخلية، مما يجعله عرضة لظاهرة التراجع الكارثي. قد يؤدي ذلك إلى رفض الخدمة (DoS)، واستنفاد الموارد، واحتمال حدوث عدم استقرار أوسع نطاقًا في النظام.التوصيات
بالنسبة للإصدارات من 0.6.4 إلى 0.9.0، قم بالتحديث إلى الإصدار 0.9.0 أو أحدث، الذي يحتوي على تصحيح لهذه المشكلة. كحل مؤقت، يُنصح بتقييد الوصول إلى الملف المعرض للخطر
pythonic tool parser.py حتى يتم تطبيق التحديث. تجنب استخدام نمط التعبير العادي المعرض للخطر في الملف vllm/entrypoints/openai/tool parsers/pythonic tool parser.py حتى يتم حل المشكلة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾