- Yama var
- Son 7 gün
- CWE-908
CVE-2026-116180
vLLM'de başlatılmamış LogprobsTensors nedeniyle kiracılar arası hizmet dışı bırakma
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
0.8.5 sürümünden 0.31.0 sürümü öncesine kadar olan vLLM'de bir hizmet dışı bırakma (denial of service) kusuru bulunmaktadır. vllm/v1/outputs.py dosyasındaki LogprobsTensors.empty_cpu işlevi başlatılmamış bir int32 tensörü ayırmakta; V1 model çalıştırıcısı ise bir KV bağlayıcısı tarafından hesaplanmış olarak raporlanan prompt konumlarını yazılmamış bırakmaktadır. Motoru paylaşan bir istemci, bağlayıcı önbelleğindeki bir önek üzerine prompt_logprobs (ya da logprobs ile birlikte echo) gönderebilir; bu, tokenizer çözümlemesinde OverflowError oluşmasına neden olur ve EngineCore çöker, böylece aynı ortamdaki diğer tüm istekler düşer.
Kaynaktaki açıklama (İngilizce)
vLLM from 0.8.5 before 0.31.0 has a denial of service flaw. LogprobsTensors.empty_cpu() in vllm/v1/outputs.py allocates an uninitialized int32 tensor, and the V1 model runner leaves prompt positions reported as computed by a KV connector unwritten. A client sharing the engine can send prompt_logprobs (or echo with logprobs) against a connector-cached prefix, making tokenizer decode raise OverflowError, which crashes EngineCore and drops all co-tenant requests.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vllm-project vllm | ≥ 0.8.5, < 0.31.0 | 0.31.0 |
| 0.31.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.