- Yama var
- Son 7 gün
- CWE-400
CVE-2026-116177
vLLM'de Nemotron-VL işlemcilerinde dekompresyon bombası koruması atlatılarak hizmet dışı bırakma
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
vLLM 0.10.2 sürümünden 0.25.0 sürümünden önceki sürümlere kadar, Nemotron-VL işlemcilerinin Image.MAX_IMAGE_PIXELS değerini genel olarak None olarak ayarlaması nedeniyle kontrolsüz kaynak tüketimi zafiyeti içermektedir. Bu zafiyet, kimlik doğrulaması yapılmamış saldırganların belleği tüketmesine olanak tanır. Saldırganlar, /v1/chat/completions uç noktasına patolojik bir dekompresyon bombası görüntüsü göndererek çalışan işlemin bellek yetersizliği nedeniyle sonlandırılmasına (OOM-kill) neden olabilir ve aynı ortamı paylaşan diğer kiracıların hizmetini dışarıda bırakabilir.
Kaynaktaki açıklama (İngilizce)
vLLM from 0.10.2 before 0.25.0 contains an uncontrolled resource consumption vulnerability that allows unauthenticated attackers to exhaust memory because the Nemotron-VL processors globally set Image.MAX_IMAGE_PIXELS to None. Attackers can submit a pathological decompression-bomb image to /v1/chat/completions to OOM-kill the worker and deny service to co-tenants.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vllm-project vllm | ≥ 0.10.2, < 0.25.0 | 0.25.0 |
| 0.25.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.