- Yama var
- Son 7 gün
- CWE-409
CVE-2026-116175
vLLM'de Chat Completions üzerinden ses sıkıştırma bombası ile hizmet dışı bırakma
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
vLLM 0.19.0 ile 0.24.0 öncesi sürümler, AudioMediaIO çok ortamlı (multimodal) yolunun load_audio işlevini max_duration_s çözülmüş süre sınırı olmadan çağırması nedeniyle bir sıkıştırma bombası (decompression bomb) açığı içerir. Kimlik doğrulaması yapılmış saldırganlar, /v1/chat/completions isteklerinde input_audio veya audio_url aracılığıyla küçük boyutlu sıkıştırılmış ses gönderebilir; bu ses çözüldüğünde çok büyük PCM verisine dönüşerek sunucu belleğini tüketir.
Kaynaktaki açıklama (İngilizce)
vLLM from 0.19.0 before 0.24.0 contains a decompression bomb vulnerability because the AudioMediaIO multimodal path calls load_audio without the max_duration_s decoded-duration limit. Authenticated attackers can send small compressed audio via input_audio or audio_url in /v1/chat/completions requests that expands to huge decoded PCM, exhausting server memory.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vllm-project vllm | ≥ 0.19.0, < 0.24.0 | 0.24.0 |
| 0.24.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.