Jperezdealgaba

Existe uma falha de negação de serviço onde a função `LogprobsTensors.empty cpu()` em vllm/v1/outputs.py aloca um tensor int32 não inicializado. Além disso, o executor de modelo V1 não escreve as posições de prompt relatadas como computadas por um conector KV. Um cliente que compartilha o mecanismo pode causar um `OverflowError` durante a decodificação do tokenizer ao enviar `prompt logprobs` (ou echo com logprobs) contra um prefixo em cache do conector. Isso resulta no travamento do EngineCore e na queda de todas as requisições de co-tenants.

Um problema de negação de serviço existe no frontend gRPC em Rust que permite que atacantes remotos terminem o EngineCore. Ao enviar solicitações Generate ou GenerateStream com `output logprobs` habilitado e fornecer mais de 128 `output candidates.token ids`, um atacante pode ignorar os limites e disparar uma exceção fatal do sampler, resultando no travamento do mecanismo.

A validação inadequada de entrada nos serviços Rust gRPC Generate e GenerateStream permite o encaminhamento de IDs de tokens de prompt não verificados para o EngineCore. Um invasor pode enviar solicitações contendo valores `prompt.token ids` fora do vocabulário, desencadeando uma falha fatal de busca de incorporação (embedding lookup). Essa falha encerra o EngineCore, deixando o servidor em estado instável.

Um problema de bomba de descompressão existe no caminho multimodal AudioMediaIO porque a função `load audio()` é chamada sem o limite de duração decodificada `max duration s`. Atacantes autenticados podem explorar isso enviando pequenos arquivos de áudio compactados através dos parâmetros `input audio` ou `audio url` no endpoint '/v1/chat/completions'. Esses arquivos expandem-se em PCM (Pulse Code Modulation, um formato de áudio bruto) enorme, esgotando a memória do servidor.

Um problema de server-side request forgery permite que chamadores de API forcem conexões externas ao incorporar um endereço de decodificação no cabeçalho `X-Request-Id`. Isso pode levar um worker de preenchimento P2pNcclConnector a realizar um ZMQ-connect a um host controlado por um invasor, resultando no vazamento do `unique id` do NCCL e tensores de KV-cache, ou causando o bloqueio do worker.

Atacantes não autenticados podem causar exaustão de memória porque os processadores Nemotron-VL definem globalmente `Image.MAX IMAGE PIXELS` como None. Ao enviar uma imagem de descompressão patológica (decompression-bomb) para o endpoint '/v1/chat/completions', um atacante pode disparar um OOM-kill do worker, resultando em negação de serviço para outros inquilinos.

Um problema de negação de serviço permite que atacantes remotos travem o mecanismo enviando metadados multimodais inconsistentes para o endpoint desagregado '/inference/v1/generate'. Isso ocorre quando um item multimodal válido é repetido com intervalos de `mm placeholders` repetidos ou sobrepostos, ou quando as listas `kwargs data` e `mm hashes` não coincidem. Essas ações resultam em um intervalo de texto negativo durante a construção de posição do Qwen2.5-VL, o que encerra o mecanismo.

Um problema de exaustão de recursos permite que clientes de API ignorem o limite de contagem de quadros de video/jpeg. Ao sobrescrever a variável `num frames` através de `media io kwargs`, um invasor pode definir `num frames` como -1 ao fornecer um vídeo inline grande. Isso faz com que a função `VideoMediaIO.load base64()` decodifique todos os quadros, resultando em exaustão de memória e no travamento do frontend da API.

A validação inadequada de entrada permite que atacantes remotos travem o mecanismo ou causem uma operação de gravação fora do buffer de logits do executor V2. Isso ocorre quando `stop token ids` fora do vocabulário são fornecidos via solicitações de chat, conclusão, geração ou lote da OpenAI.

A validação inadequada de entrada no conversor gRPC em Rust permite que atacantes remotos ignorem os limites de `max logprobs`. Ao enviar solicitações Generate ou GenerateStream com valores excessivos ou de inversão de inteiro na variável `CandidateTokens.top n`, um atacante pode causar falhas no `torch.topk()`, resultando na terminação do EngineCore.

Um problema de consumo descontrolado de recursos permite que clientes remotos manipulem parâmetros do processador multimodal ao fornecer `mm processor kwargs` por requisição. Atacantes podem especificar valores excessivos para tamanho de imagem, contagem de patches, contagem de cortes ou contagem de quadros em processadores como Isaac, InternVL e H2OVL para esgotar a memória do sistema e causar a terminação do servidor compartilhado.

Existe um vazamento de máscara entre requisições na função `condense()` da classe InputBatch. Este problema permite que atacantes remotos restrinjam as saídas de outros clientes ao deixar linhas de `allowed token ids` obsoletas. Ao enviar requisições de geração restritas simultâneas, inclusive através do endpoint não autenticado '/invocations', os atacantes podem fazer com que slots de lote reciclados apliquem sua lista de permissão de tokens às requisições irrestritas de outras vítimas.

O software utiliza um `uuid` multimodal fornecido pelo cliente literalmente como identidade de cache, sem realizar verificações de consistência em acertos de cache. Isso permite que atacantes não autenticados dessincronizem os caches dos processadores P0/P1, desencadeando uma incompatibilidade fatal de marcador de posição de token que derruba toda a instância de serviço, exigindo a reinicialização para recuperação.

Existe um problema onde o sistema falha ao validar se `min tokens` é menor ou igual a `max tokens` quando o endpoint `/inference/v1/generate` recebe um valor nulo para `max tokens`. Isso leva a um `VLLMValidationError` não capturado que causa a falha da thread de entrada do EngineCore. Consequentemente, embora o endpoint `/health` continue a reportar um status saudável, todas as solicitações de geração subsequentes ficam travadas. Atacantes remotos não autenticados podem desencadear esse estado enviando uma única solicitação com um valor `min tokens` excessivo.

Um problema de exaustão de memória ocorre no serviço de modelo MOSS-Audio, onde um processador é armazenado em cache para cada valor distinto de `mm processor kwargs` em um dicionário ilimitado. Atacantes não autenticados podem explorar isso enviando valores `mel config` superdimensionados ou distintos para o endpoint '/tokenize', que ignora a exigência de `--api-key`, resultando na exaustão da memória do host e no travamento do processo da API.

Quando `trust remote code` está habilitado, o software encaminha o `mm processor kwargs.code revision` fornecido na requisição para a função `AutoProcessor.from pretrained` do Transformers. Isso permite que clientes selecionem qual revisão do código do processador dinâmico de um modelo é importada. Um invasor que controle uma revisão no repositório de modelos servidos pode enviar uma requisição multimodal para o endpoint não autenticado '/tokenize' para executar código Python arbitrário no processo da API do vLLM.

Um problema de aliasing de cache permite que atacantes autenticados causem colisões em chaves de cache compartilhadas. Isso é feito fornecendo valores controlados pelo chamador, especificamente através do `EXIF ImageID` ou `cache salt`. Um atacante pode usar um `EXIF ImageID` UUID para acessar mídias processadas em cache de outra requisição ou alinhar o `cache salt` com um nome de LoRA para reutilizar o estado KV do primeiro bloco (estado Key-Value, que armazena informações de tokens processados).

O software passa áudios carregados para o fallback `av.open()` do PyAV/FFmpeg utilizando apenas uma verificação de tamanho de arquivo, o que expõe um estouro de heap (heap overflow) no analisador IAMF do FFmpeg. Atacantes remotos autenticados podem explorar isso carregando repetidamente containers IAMF malformados para o endpoint '/v1/audio/transcriptions', resultando na corrupção do heap e no travamento do processo da API.

O software não valida se os valores fornecidos em `stop token ids` estão dentro do vocabulário do modelo ou do intervalo de logits, verificando apenas se são números inteiros. Quando `min tokens` é maior que 0, esses IDs são usados como índices de logits para suprimir tokens de parada. Um ID fora do intervalo dispara uma operação de indexação CUDA (`index put `), resultando em uma asserção do lado do dispositivo. Um usuário de API autenticado pode explorar isso enviando uma requisição malformada para os endpoints 'POST /v1/completions' ou 'POST /v1/chat/completions', resultando em um Erro Interno do Servidor 500 e colocando o EngineCore em um estado fatal. Isso causa uma negação de serviço onde requisições subsequentes falham até que o serviço seja reiniciado. Incidentes reais de exploração deste problema foram relatados.

O software falha ao aplicar o limite `VLLM MAX AUDIO CLIP FILESIZE MB` durante a decodificação de áudio de chat multimodal. Isso permite que clientes não autenticados ignorem as restrições de tamanho de arquivo ao enviar arquivos de áudio excessivamente grandes através de endpoints de chat, resultando no consumo excessivo de memória e recursos de CPU durante o processo de decodificação.