تحتوي vLLM من الإصدار 0.7.3 قبل 0.31.0 على ثغرة استهلاك غير مسيطر عليه للموارد تسمح للعملاء عن بُعد بالتحكم في معلمات معالج الوسائط المتعددة

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تحتوي vLLM من الإصدار 0.7.3 قبل 0.31.0 على ثغرة استهلاك غير مسيطر عليه للموارد تسمح للعملاء عن بُعد بالتحكم في معلمات معالج الوسائط المتعددة من خلال توفير mm_processor_kwargs لكل طلب. يمكن للمهاجمين تعيين قيم كبيرة لحجم الصورة، أو عدد التصحيحات، أو عدد القص، أو عدد الإطارات في معالجات Isaac و InternVL و H2OVL وغيرها لاستنفاد الذاكرة وإنهاء الخادم المشترك.

المعالجة

1. أحصِ جميع نشرات Vllm Vllm، بما فيها بيئات الاختبار.
2. رقِّ Vllm Vllm إلى الإصدار 0.31.0.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/vllm-project/vllm/security/advisories/GHSA-gx7p-2j49-hfq4
• تحذيرhttps://www.vulncheck.com/advisories/vllm-0.7.3-before-0.31.0-dos-via-unvalidated-mm-processor-kwargs