vLLM: مدخلات EPS غير الموثوقة قد تؤدي إلى حجب الخدمة أو تنفيذ أوامر عن بُعد عبر Ghostscript

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يُعد vLLM محرك استنتاج وخدمة لنماذج اللغات الكبيرة. قبل الإصدار 0.32.0، يقوم ImageMediaIO تمرير بايتات الصور التي يتحكم بها المهاجم إلى Pillow من خلال Image.open(BytesIO(data)) دون تقييد اختيار فئة فك التشفير، ولا تقيد تسمية MIME التنسيق المحدد. وعليه، يمكن لمسارات الطلبات القادرة على معالجة الصور من خلال parse_image() وfetch_image() إرسال حمولة EPS إلى مكونات المضيف. يمكن للمضيف الذي يحتوي على Ghostscript المتأثر بـ CVE-2024-29510 تنفيذ أوامر بصلاحيات عملية vLLM، بينما تستطيع البيئات التي تستخدم Pillow من الإصدار 12.0.0 إلى 12.2.0 تفعيل CVE-2026-59203 وإرهاق عمال تحميل الوسائط. عمليات نشر النظم التي لا تحتوي على التبعية المتأثرة لا تتأثر بذلك التأثير المقابل. تم إصلاح هذه المشكلة في الإصدار 0.32.0.

المعالجة

1. أحصِ جميع نشرات Vllm Vllm، بما فيها بيئات الاختبار.
2. رقِّ Vllm Vllm إلى الإصدار 0.32.0.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/vllm-project/vllm/commit/710ac56e691d4713feca50a43e6c440f07d373fd
• تصحيحhttps://github.com/vllm-project/vllm/pull/60022
• تصحيحhttps://github.com/vllm-project/vllm/security/advisories/GHSA-h3rc-j82p-2c3h
• تحذيرhttps://github.com/advisories/GHSA-h3rc-j82p-2c3h
• مرجعhttps://github.com/vllm-project/vllm/releases/tag/v0.32.0
• مرجعhttps://nvd.nist.gov/vuln/detail/CVE-2026-115915