Jiapeng Li

Um problema de injeção de código existe na função ` evaluate filter()`. Atacantes remotos podem executar código Python ao escapar do sandbox `eval()` usando `re.search globals `. Isso é possível enviando uma expressão de filtro manipulada para o endpoint não autenticado '/dumper/configure' quando a variável `DUMPER SERVER PORT` está configurada, resultando na execução de código no processo do agendador na próxima passagem direta.

Um invasor não autenticado pode causar a negação de serviço enviando uma solicitação para o endpoint '/generate' contendo o campo `pd kv trans params`. Isso desencadeia uma falha na função `pickle.loads` dentro de `InferSamplingParams`, que interrompe a thread de inferência. Embora o endpoint '/health' permaneça operacional, todas as solicitações subsequentes ficarão travadas até que o sistema seja reiniciado.

Um problema de amplificação de descompressão existe na função `load audio()`. Atacantes remotos podem causar a negação de serviço enviando arquivos de áudio altamente compactados, como pequenos arquivos de silêncio codificados em FLAC, que são decodificados sem limites de duração ou de amostra. Esse processo expande os arquivos em buffers PCM (Pulse Code Modulation) massivos, esgotando a memória do worker e os recursos da CPU. O ataque pode ser executado por meio das entradas `audio url` ou `audio data`.

Existe um problema de alocação de memória ilimitada que permite que atacantes remotos não autenticados causem a negação de serviço. Ao fazer o upload de arquivos excessivamente grandes para o endpoint '/v1/audio/transcriptions', os atacantes podem enviar uploads multipart grandes e simultâneos que são lidos inteiramente na memória antes da validação, resultando no travamento do worker HTTP/tokenizer.

Um problema de alocação de memória ilimitada existe na função `preprocess video` dentro de `qwen vl.py`. O sistema decodifica quadros de vídeo na resolução total da fonte antes de aplicar os limites de `max pixels`. Atacantes remotos podem explorar isso enviando vídeos de alta resolução para o endpoint '/v1/chat/completions' em implantações do Qwen-VL. Solicitações simultâneas desse tipo podem esgotar a memória do worker, causando a negação de serviço.

Um bypass de orçamento de recursos permite que atacantes remotos ignorem os limites de processamento de vídeo do GLM-V. Ao fornecer valores específicos no objeto `video url`, os atacantes podem manipular as variáveis `fps`, `max frames`, `max tokens per frame` e `max image tokens`. Isso faz com que a função `glm4v.py` decodifique cada quadro de vídeo de alta resolução em tamanho total, resultando no esgotamento da memória do worker e na negação de serviço.

Existe um problema de negação de serviço onde o `NanoNemotronVLImageProcessor` desativa a proteção contra bombas de descompressão do Pillow em todo o processo ao definir `Image.MAX IMAGE PIXELS` como `None`. Isso permite que invasores remotos enviem imagens pequenas e altamente compactadas com dimensões enormes para o carregador de imagens genérico, esgotando a memória do worker durante o processo de decodificação. Uma bomba de descompressão é um arquivo de imagem ou arquivo compactado malicioso projetado para travar um sistema ao expandir para um tamanho enorme quando descompactado.

Endpoints multimodais falham ao validar os parâmetros `image url` e `audio url`, permitindo que atacantes não autenticados realizem server-side request forgery (SSRF). Isso ocorre quando atacantes fornecem URLs arbitrárias para buscar recursos internos, o que pode levar à divulgação de conteúdo via processamento de modelo de visão ou à revelação da topologia da rede interna por meio de respostas de erro.

O serviço de perfil do roteador contém uma falha que permite a execução remota de código quando a aplicação é iniciada com a flag `--enable profiling`. O serviço expõe um servidor RPyC não autenticado com a desserialização de pickle habilitada. Um invasor pode executar código arbitrário enviando objetos serializados manipulados para a fila de comandos do perfil. A desserialização de pickle é um processo onde um objeto Python é convertido de um fluxo de bytes de volta para um objeto, o que pode ser explorado para executar comandos maliciosos se a entrada não for confiável.

Um problema de exaustão de memória existe no canal de controle NCCL quando o software é iniciado com a configuração `--pd trans mode nccl`. Atacantes não autenticados podem explorar isso chamando o método `exposed set value()` para armazenar um número ilimitado de pares de chave-valor sem restrições de tamanho. Esta ação esgota a memória do worker de transferência KV, levando ao travamento do processo e à falha do nó.

Implantações multimodais expõem um serviço de cache RPyC não autenticado com a desserialização de pickle habilitada em todas as interfaces. Isso permite que invasores enviem objetos serializados manipulados para métodos de cache expostos para executar código arbitrário com privilégios de serviço. A desserialização de pickle é um processo onde um objeto Python é convertido de um fluxo de bytes de volta para um objeto, o que pode ser explorado se a entrada não for confiável.

Ao operar no modo de desagregação prefill/decode com o backend de transferência KV Mooncake, o software falha ao validar campos `bootstrap room` duplicados no endpoint '/generate'. Atacantes não autenticados podem enviar requisições simultâneas usando valores `bootstrap room` idênticos, o que pode levar ao travamento de processos do agendador ou fazer com que as requisições de outros usuários fiquem suspensas até que ocorra um tempo limite de transferência.

A execução remota de código é possível no worker de transferência de KV quando o serviço é iniciado com a configuração `--pd trans mode nccl`. Esta configuração expõe um canal de controle RPyC não autenticado via um RPyC ThreadedServer que desserializa dados fornecidos por um invasor. Um invasor pode enviar objetos pickled maliciosos — objetos Python serializados — para este canal para executar código arbitrário com os privilégios da conta de serviço do LightLLM.

O conector Mooncake falha ao gerenciar adequadamente a propriedade dos blocos de cache KV da GPU em implantações desagregadas de preenchimento/decodificação (prefill/decode) quando solicitações filhas simultâneas compartilham um único ID de transferência. Um invasor pode causar a exaustão da memória da GPU ao enviar solicitações de conclusão com múltiplos prompts. Essa ação leva ao acúmulo de blocos de cache KV órfãos—blocos de memória que não estão mais associados a uma solicitação ativa, mas não são liberados—que persistem até que o processo seja reiniciado, eventualmente impedindo a execução de solicitações legítimas.

Um problema de negação de serviço existe no tratamento de metadados do conector NIXL para implantações desagregadas de preenchimento/decodificação (prefill/decode). Um invasor pode enviar solicitações contendo entradas de dicionário `kv transfer params` incompletas, o que dispara um KeyError não capturado durante o agendamento do EngineCore. Isso resulta na terminação do mecanismo de decodificação, fazendo com que todas as solicitações roteadas falhem até que o sistema seja reiniciado manualmente.

Um problema de negação de serviço existe na implementação de cache de prefixo do conector NIXL em implantações desagregadas de preenchimento/decodificação (prefill/decode). O sistema falha ao validar adequadamente as contagens de blocos ao processar solicitações de conclusão de múltiplos prompts. Um invasor pode fazer com que o trabalhador de decodificação seja encerrado e permaneça indisponível até que seja reiniciado, enviando solicitações de conclusão com múltiplos prompts de comprimentos variados, o que dispara uma falha de asserção na função `NixlBaseConnectorWorker. apply prefix caching()`.

Um problema de negação de serviço existe no offloading de KV P2P quando o OffloadingConnector é configurado com TieringOffloadingSpec e um nível secundário peer-to-peer. Um invasor pode fornecer valores arbitrários de host remoto e porta através do parâmetro `kv transfer params` para criar sessões de pares inacessíveis. Essas sessões retêm sockets ZeroMQ até que a cota de contexto seja esgotada, resultando em um ZMQError não capturado que trava o EngineCore e interrompe todas as operações de inferência.

Um problema de exaustão de recursos existe no componente `MooncakeConnector`. Solicitações de preenchimento (prefill) rejeitadas geram espaços reservados de transferência (transfer placeholders) sem proprietário que não são recuperados pelo sistema. Um invasor pode explorar isso enviando solicitações rejeitadas para esgotar os pools de tarefas do remetente, resultando no atraso de solicitações válidas por até 480 segundos. Durante esse estado, as verificações de integridade (health checks) continuam a reportar sucesso, mascarando o problema.

Endpoints de conclusão compatíveis com OpenAI não validam o parâmetro `tp size` dentro de `kv transfer params`. Em implantações desagregadas de preenchimento/decodificação (prefill/decode), um invasor pode fornecer valores arbitrários para `tp size` para alocar memória ilimitada, o que pode esgotar os recursos do sistema e disparar um OOM-kill (Out-Of-Memory kill, um processo onde o sistema operacional encerra um processo para liberar memória) do kernel no processo de trabalho de decodificação.

Um problema de corrupção de memória existe na função ` bincount kernel` do Triton. O problema ocorre quando os IDs de tokens de prompt indexam o bitset de presença de prompt de penalidade sem realizar a verificação de limites em relação ao tamanho do vocabulário. Um invasor pode explorar isso enviando solicitações de áudio multimodais contendo tokens iguais ao tamanho do vocabulário, resultando em gravações fora dos limites (out-of-bounds writes). Esta ação corrompe o estado do amostrador (sampler state) de solicitações simultâneas e altera o comportamento da penalidade de repetição.