تحتوي vLLM من الإصدار 0.9.2 حتى قبل 0.24.0 على ثغرة تزوير الطلبات من جهة الخادم

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تحتوي منصة vLLM من الإصدار 0.9.2 حتى قبل 0.24.0 على ثغرة تزوير الطلبات من جهة الخادم (SSRF) والتي تتيح لمستدعي واجهة برمجة التطبيقات فرض اتصالات صادرة عن طريق تضمين عنوان فك ترميز في ترويسة X-Request-Id. يمكن للمهاجمين جعل عامل التمهيد P2pNcclConnector يتصل عبر ZMQ بمضيف خاص بالمهاجم، مما يؤدي إلى تسريب معرف NCCL الفريد وشرائح ذاكرة التخزين المؤقت KV أو حظر العامل.

المعالجة

1. أحصِ جميع نشرات Vllm Vllm، بما فيها بيئات الاختبار.
2. رقِّ Vllm Vllm إلى الإصدار 0.24.0.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/vllm-project/vllm/security/advisories/GHSA-vfp2-c8pq-v6h6
• تحذيرhttps://www.vulncheck.com/advisories/vllm-0.9.2-before-0.24.0-ssrf-via-x-request-id-in-p2pncclconnector