Jiadai Wang

Um problema de negação de serviço existe onde clientes de API podem abortar solicitações de geração em andamento pertencentes a outros usuários. Isso ocorre quando um invasor envia solicitações de streaming para o endpoint '/generate' usando um `rid` (identificador de solicitação) curto e controlado pelo cliente. Ao usar valores de `rid` de um único caractere hexadecimal e depois desconectar, o invasor aciona a lógica de aborto por correspondência de prefixo que encerra todas as outras solicitações de clientes ativos.

No modo de desagregação prefill/decode, existe um problema de server-side request forgery que permite que atacantes não autenticados desencadeiem solicitações externas. Ao enviar solicitações manipuladas para o endpoint '/generate' do Decode worker, os atacantes podem usar os campos `bootstrap host` e `bootstrap port` para sondar hosts e portas internos. Esta ação pode bloquear o loop do agendador compartilhado, resultando em atrasos para outras solicitações de inferência.

Existe uma falha de bypass de autorização que permite que detentores da chave de API do data-plane acessem rotas de gerenciamento de Alta Disponibilidade (HA) da malha. Isso ocorre porque os endpoints `/ha/*` ignoram as verificações de função de Administrador do control-plane. Um invasor pode ler a topologia do cluster, gravar configurações propagadas, alterar limites globais de taxa e utilizar o endpoint `POST /ha/shutdown` para dissolver silenciosamente a coordenação de HA.

O SGLang com o backend de desagregação Mooncake permite a negação de serviço ao aceitar mensagens de registro de decodificação não autenticadas no socket ZMQ PULL do rank Prefill. Atacantes adjacentes à rede podem esgotar a memória do Prefill, levando ao encerramento do agendador por OOM-killed (Out-Of-Memory killed, um processo onde o sistema operacional encerra um processo para liberar memória), enviando inúmeros registros contendo frames de buffer aninhados grandes e valores `mooncake session id` exclusivos.

Um problema de alocação de memória não controlada existe no backend de desagregação Mooncake, dentro da função `handle staging rsp()`. Atacantes adjacentes à rede não autenticados podem esgotar a memória de Prefill ao obter o endereço de rank através do endpoint '/route' e enviar mensagens STAGING RSP com valores de `chunk idx` excessivamente grandes sob novos IDs de sala. Esta ação pode levar ao encerramento do agendador por OOM-killed, que se refere a um estado de falta de memória (Out-Of-Memory) onde o sistema operacional encerra o processo para recuperar memória.

Um problema de injeção de código existe na função ` evaluate filter()`. Atacantes remotos podem executar código Python ao escapar do sandbox `eval()` usando `re.search globals `. Isso é possível enviando uma expressão de filtro manipulada para o endpoint não autenticado '/dumper/configure' quando a variável `DUMPER SERVER PORT` está configurada, resultando na execução de código no processo do agendador na próxima passagem direta.

O software confia em valores `mm hashes` fornecidos pelo chamador como a chave de cache de prefixo multimodal. Isso permite que atacantes remotos envenenem entradas de cache KV (Chave-Valor) entre requisições. Ao enviar uma imagem diferente sob um hash conhecido ou previsto através do endpoint '/generate', um atacante pode expor o conteúdo da imagem de outra requisição ou corromper as respostas recebidas pelas vítimas.

Existe um problema de alocação de memória ilimitada que permite que atacantes remotos não autenticados causem a negação de serviço. Ao fazer o upload de arquivos excessivamente grandes para o endpoint '/v1/audio/transcriptions', os atacantes podem enviar uploads multipart grandes e simultâneos que são lidos inteiramente na memória antes da validação, resultando no travamento do worker HTTP/tokenizer.

Um problema de amplificação de descompressão existe na função `load audio()`. Atacantes remotos podem causar a negação de serviço enviando arquivos de áudio altamente compactados, como pequenos arquivos de silêncio codificados em FLAC, que são decodificados sem limites de duração ou de amostra. Esse processo expande os arquivos em buffers PCM (Pulse Code Modulation) massivos, esgotando a memória do worker e os recursos da CPU. O ataque pode ser executado por meio das entradas `audio url` ou `audio data`.

Um problema de alocação de memória ilimitada existe na função `preprocess video` dentro de `qwen vl.py`. O sistema decodifica quadros de vídeo na resolução total da fonte antes de aplicar os limites de `max pixels`. Atacantes remotos podem explorar isso enviando vídeos de alta resolução para o endpoint '/v1/chat/completions' em implantações do Qwen-VL. Solicitações simultâneas desse tipo podem esgotar a memória do worker, causando a negação de serviço.

Um bypass de orçamento de recursos permite que atacantes remotos ignorem os limites de processamento de vídeo do GLM-V. Ao fornecer valores específicos no objeto `video url`, os atacantes podem manipular as variáveis `fps`, `max frames`, `max tokens per frame` e `max image tokens`. Isso faz com que a função `glm4v.py` decodifique cada quadro de vídeo de alta resolução em tamanho total, resultando no esgotamento da memória do worker e na negação de serviço.

Existe um problema de negação de serviço onde o `NanoNemotronVLImageProcessor` desativa a proteção contra bombas de descompressão do Pillow em todo o processo ao definir `Image.MAX IMAGE PIXELS` como `None`. Isso permite que invasores remotos enviem imagens pequenas e altamente compactadas com dimensões enormes para o carregador de imagens genérico, esgotando a memória do worker durante o processo de decodificação. Uma bomba de descompressão é um arquivo de imagem ou arquivo compactado malicioso projetado para travar um sistema ao expandir para um tamanho enorme quando descompactado.

O despachador de mensagens iApp contém uma asserção alcançável. O despachador utiliza a função `assert()` para validar mensagens E2AP recebidas contra uma lista branca de 9 entradas. Um atacante remoto não autenticado pode enviar uma PDU E2AP decodificável com um tipo de mensagem que não esteja na lista branca, disparando um SIGABRT (um sinal enviado a um processo para forçá-lo a abortar) e travando o processo iApp na porta 36422. Como o iApp e o RIC near-RT compartilham um único processo, esta ação encerra todo o serviço RIC, resultando na desconexão de todos os xApps e Nós E2.

O processo iApp na porta 36421 trava ao receber uma solicitação E2 SETUP REQUEST duplicada do mesmo Nodo E2 ou de um nodo suplantado. Isso ocorre porque o registro do iApp impõe a unicidade do ID do nodo através de uma função `assert()` em vez de realizar uma rejeição controlada. Um atacante remoto não autenticado pode desencadear um SIGABRT (um sinal enviado a um processo para forçá-lo a abortar) ao enviar duas solicitações E2 SETUP REQUEST com a mesma configuração de nodo E2.

Uma divergência de validação entre camadas permite que um atacante remoto não autenticado cause a interrupção do processo iApp na porta 36422 via SIGABRT. O problema ocorre quando o iApp recebe um 'E42 RIC SUBSCRIPTION REQUEST' contendo um campo `ricEventTriggerDefinition` vazio; enquanto o decodificador da camada E42 aceita o campo vazio como válido, o codificador E2AP impõe uma restrição de preenchimento obrigatório ao encaminhar a solicitação, resultando no travamento.

O near-RT RIC contém chamadas `assert(0)` alcançáveis em manipuladores de mensagens stub para tipos de mensagens E2AP que estão na lista branca, mas não foram implementados. Um atacante remoto não autenticado pode causar a interrupção do processo near-RT RIC na porta 36421 via SIGABRT ao enviar uma PDU E2AP decodificável de um tipo não implementado, como `E2nodeConfigurationUpdate`. A mensagem passa na validação da lista branca, mas aciona uma asserção incondicional no manipulador.

Uma asserção alcançável na função `e2ap create pdu()` é disparada quando a decodificação ASN.1 PER (Packed Encoding Rules, um formato de codificação binária para dados ASN.1) falha. Um invasor remoto não autenticado pode enviar uma sequência de bytes não-PER via SCTP para o near-RT RIC na porta 36421 ou para o iApp na porta 36422, causando a interrupção do processo via SIGABRT. Isso ocorre antes de qualquer validação de nível de protocolo e afeta as versões v1.01, v2.03 e v3.01 do protocolo E2AP.

Existe um problema onde um contador `uint16 t` é utilizado para a atribuição de `xapp id`, mas o valor é armazenado em campos de mensagem `uint32 t`. Após mais de 65.530 E42 SETUP REQUESTs, o contador de 16 bits sofre um wrap around, resultando em `xapp ids` duplicados. Isso causa a falha (crash) do iApp (porta 36422) ao tentar registrar um ID duplicado em sua estrutura de dados interna. Um invasor remoto pode desencadear essa falha conectando-se repetidamente e solicitando novos registros de xApp.

Existe um problema onde o software confia no campo `xapp id` de payloads de mensagens E42 sem vinculá-lo à associação SCTP do remetente. A função de validação `valid xapp id()` apenas verifica se o valor está dentro da faixa atribuída. Um invasor remoto não autenticado pode se passar por qualquer xApp especificando o `xapp id` em solicitações enviadas ao endpoint iApp na porta 36422. Isso faz com que as respostas sejam roteadas incorretamente para o xApp vítima, o que pode causar a falha do xApp vítima, do RIC ou do próprio iApp devido a inconsistências de estado na estrutura de dados de árvore rubro-negra, uma árvore de busca binária auto-balanceada usada para armazenamento e recuperação eficiente de dados.