- Yama var
- Son 7 gün
- CWE-400
CVE-2026-114055
vLLM'de işlenmemiş mm_processor_kwargs parametreleri nedeniyle hizmet dışı bırakma açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
vLLM 0.7.3 ile 0.31.0 öncesi sürümler, kaynak tüketimini kontrol etmeden sınırlandırmayan bir zafiyet içerir. Bu zafiyet, uzak istemcilerin her istek için mm_processor_kwargs parametrelerini göndererek çok kipli işlemci parametrelerini kontrol etmesine olanak tanır. Saldırganlar, Isaac, InternVL, H2OVL ve diğer işlemcilerde büyük görüntü boyutu, yama (patch) sayısı, kırpma (crop) sayısı ya da kare (frame) sayısı değerleri ayarlayarak bellek tüketebilir ve paylaşılan sunucuyu sonlandırabilir.
Kaynaktaki açıklama (İngilizce)
vLLM from 0.7.3 before 0.31.0 contains an uncontrolled resource consumption vulnerability that allows remote clients to control multimodal processor parameters by supplying per-request mm_processor_kwargs. Attackers can set large image size, patch count, crop count, or frame count values in Isaac, InternVL, H2OVL, and other processors to exhaust memory and terminate the shared server.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vllm-project vllm | ≥ 0.7.3, < 0.31.0 | 0.31.0 |
| 0.31.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.