PT-2026-117414
CVE-2026-112270
·
تاريخ النشر
2026-10-19
·
تاريخ التحديث
2026-10-19
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:A/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
SGLang الإصدارات السابقة لـ 0.5.23
الوصف
توجد مشكلة في تخصيص الذاكرة غير المنضبط في نظام Mooncake disaggregation backend ضمن الدالة
handle staging rsp(). يمكن للمهاجمين غير المصرح لهم والمتواجدين على نفس الشبكة استنفاد ذاكرة Prefill عن طريق الحصول على عنوان الرتبة (rank address) من نقطة النهاية '/route' وإرسال رسائل STAGING RSP تحتوي على قيم chunk idx ضخمة تحت معرفات غرف جديدة. يؤدي هذا الإجراء إلى إنهاء المجدول بسبب حالة OOM-killed، وهي حالة نفاد الذاكرة (Out-Of-Memory) حيث يقوم نظام التشغيل بإنهاء العملية لاستعادة الذاكرة.التوصيات
تحديث SGLang إلى الإصدار 0.5.23 أو إصدار أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/route' لمنع المستخدمين غير المصرح لهم من الحصول على عناوين الرتبة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾