تحتوي vLLM بعد الإصدار 0.24.0 وقبل 0.31.0 على ثغرة استنفاد الذاكرة في خدمة نموذج MOSS-Audio التي تخزن مؤقتاً معالجاً لكل قيمة مميزة لـ mm_processor_kwargs يتحكم بها الطلب

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تحتوي vLLM بعد الإصدار 0.24.0 وقبل 0.31.0 على ثغرة استنفاد الذاكرة في خدمة نموذج MOSS-Audio التي تخزن مؤقتاً معالجاً لكل قيمة مميزة لـ mm_processor_kwargs يتحكم بها الطلب في قاموس غير محدود. يمكن لمهاجمين دون مصادقة إرسال قيم mel_config مميزة أو مفرطة الحجم إلى نقطة النهاية /tokenize، مما يتجاوز --api-key، لاستنفاد ذاكرة المضيف وتَعطُّل عملية واجهة برمجة التطبيقات.

المعالجة

1. أحصِ جميع نشرات Vllm Vllm، بما فيها بيئات الاختبار.
2. رقِّ Vllm Vllm إلى الإصدار 0.31.0.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/vllm-project/vllm/security/advisories/GHSA-823j-m4cj-hmjf
• تحذيرhttps://www.vulncheck.com/advisories/vllm-0.25.0-before-0.31.0-moss-audio-memory-exhaustion-via-tokenize-mm-processor-kwargs