تتخلى vLLM قبل الإصدار 0.31.0 عن التحقق من min_tokens <= max_tokens لطلبات /inference/v1/generate مع قيمة max_tokens فارغة، بحيث يموت خيط إدخال EngineCore لاحقاً

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تتخلى vLLM قبل الإصدار 0.31.0 عن التحقق من min_tokens <= max_tokens لطلبات /inference/v1/generate مع قيمة max_tokens فارغة، بحيث يموت خيط إدخال EngineCore لاحقاً بسبب خطأ VLLMValidationError غير مُلتقط بينما يظل /health يعيد الرمز 200. يمكن لمهاجمين عن بُعد دون مصادقة إرسال طلب واحد بقيمة min_tokens مفرطة الحجم لتجميد جميع طلبات التوليد اللاحقة حتى يتم إجراء إعادة تشغيل يدوية.

المعالجة

1. أحصِ جميع نشرات Vllm Vllm، بما فيها بيئات الاختبار.
2. رقِّ Vllm Vllm إلى الإصدار 0.31.0.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/vllm-project/vllm/security/advisories/GHSA-4xqp-c3mv-qff7
• تحذيرhttps://www.vulncheck.com/advisories/vllm-before-0.31.0-denial-of-service-via-min-tokens-in-inference-v1-generate