- Yama var
- Son 7 gün
- CWE-20
CVE-2026-116173
vLLM gRPC ön ucunda logprob sınırlarının aşılması hizmet dışı bırakmaya yol açıyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
vLLM 0.22.0 ile 0.24.0 öncesi sürümlerde, Rust gRPC ön ucundaki logprob_token_ids sınırlarının aşılmasına izin veren bir hizmet dışı bırakma (DoS) zafiyeti bulunmaktadır. Bu zafiyet, uzaktan saldırganların EngineCore sürecini sonlandırmasına olanak tanır. Saldırganlar output_logprobs etkinleştirilmiş ve 128'den fazla output_candidates.token_ids içeren Generate veya GenerateStream istekleri göndererek ölümcül bir örnekleyici (sampler) istisnasını tetikleyebilir ve bu da motorun çökmesine neden olur.
Kaynaktaki açıklama (İngilizce)
vLLM from 0.22.0 before 0.24.0 contains a denial of service vulnerability that allows remote attackers to terminate EngineCore by bypassing logprob_token_ids limits in the Rust gRPC frontend. Attackers can send Generate or GenerateStream requests with output_logprobs enabled and more than 128 output_candidates.token_ids, triggering a fatal sampler exception that crashes the engine.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vllm-project vllm | ≥ 0.22.0, < 0.24.0 | 0.24.0 |
| 0.24.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.