تستخدِم vLLM قبل الإصدار 0.31.0 معرّفاً فريداً للوسائط المتعددة (uuid) مقدماً من العميل حرفياً كمعرف لذاكرة التخزين المؤقت دون التحقق من التوافق عند الوصول إليها، مما يسمح بتعطل المحرك.

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تستخدِم vLLM قبل الإصدار 0.31.0 معرّفاً فريداً للوسائط المتعددة (uuid) مقدماً من العميل حرفياً كمعرف لذاكرة التخزين المؤقت دون التحقق من التوافق عند الوصول إليها، مما يسمح بتعطل المحرك. يمكن لمهاجمين دون مصادقة إحداث عدم تزامن في ذاكرات التخزين المؤقت للمعالج P0/P1 لتشغيل عدم تطابق قاتل بين الرمز والعنصر النائب، مما يؤدي إلى إنهاء مثيل الخادم بالكامل حتى يتم إعادة تشغيله.

المعالجة

1. أحصِ جميع نشرات Vllm Vllm، بما فيها بيئات الاختبار.
2. رقِّ Vllm Vllm إلى الإصدار 0.31.0.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/vllm-project/vllm/security/advisories/GHSA-p92p-rxj5-7p2x
• تحذيرhttps://www.vulncheck.com/advisories/vllm-before-0.31.0-remote-engine-crash-via-forged-multimodal-uuid