- Yama var
- Son 7 gün
- CWE-129
CVE-2026-116181
vLLM'de stop_token_ids üzerinden hizmet dışı bırakma ve GPU bellek taşması
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
vLLM 0.20.1 ile 0.29.0 öncesi sürümlerde, uygun olmayan girdi doğrulaması (improper input validation) güvenlik açığı bulunmaktadır. Bu açık, uzak saldırganların sözlük dışı (out-of-vocabulary) stop_token_ids değerleri göndererek motoru çökertmesine izin vermektedir. Saldırganlar, geçersiz kimliklerle OpenAI chat, completion, generate veya batch isteklerini göndererek motoru sonlandırabilir ya da V2 runner'ın logits tamponunun dışına yazma yapabilir.
Kaynaktaki açıklama (İngilizce)
vLLM from 0.20.1 before 0.29.0 contains an improper input validation vulnerability that allows remote attackers to crash the engine by supplying out-of-vocabulary stop_token_ids. Attackers can send OpenAI chat, completion, generate, or batch requests with invalid IDs to terminate the engine or write outside the V2 runner's logits buffer.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vllm-project vllm | ≥ 0.20.1, < 0.29.0 | 0.29.0 |
| 0.29.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.