CVE-2026-43632

Nome do Software Vulnerável e Versões Afetadas llama.cpp versões b7492 through b9060

Description Um problema de use-after-free existe no llama-server. Isso ocorre quando seis endpoints de tokenização—'/tokenize', '/detokenize', '/infill', '/apply-template', '/rerank' e '/anthropic/count tokens'—ignoram a fila de tarefas para acessar ctx server.vocab diretamente em threads de trabalho HTTP. Uma condição de corrida de tempo de verificação e tempo de uso permite que a thread principal destrua e libere vocab após a liberação do bloqueio de sincronização, mas antes que o manipulador termine de usá-lo. Isso pode causar um travamento ou potencial execução de código quando --sleep-idle-seconds estiver configurado.

Recommendations Atualize o llama.cpp para uma versão posterior à b9060. Como mitigação temporária, evite configurar o parâmetro --sleep-idle-seconds.