CVE-2025-30202 in vllmالمعلومات

الملخص

بحسب VulDB • 26/06/2026

vLLM هو محرك استنتاج وتقديم عالي الإنتاجية وفعال من حيث الذاكرة لنماذج اللغة الكبيرة (LLMs). الإصدارات بدءًا من 0.5.2 وحتى ما قبل 0.8.5 معرضة لخطر حجب الخدمة وكشف البيانات عبر ZeroMQ في نشر vLLM متعدد العقد. في النشر متعدد العقد لـ vLLM، يستخدم vLLM بروتوكول ZeroMQ لأغراض اتصال معينة بين العقد المختلفة. تفتح العقدة الرئيسية لـ vLLM منفذ XPUB من نوع ZeroMQ وتربطه بجميع الواجهات (ALL interfaces). بينما يُفتح هذا المنفذ دائمًا في النشر متعدد العقد، فإنه لا يتم استخدامه إلا عند تنفيذ توازي الأوزان (tensor parallelism) عبر مضيفين متعددين. يمكن لأي عميل لديه وصول شبكي إلى هذه العقدة الاتصال بهذا منفذ XPUB ما لم يكن منافذه محظورة بجدار حماية. بمجرد الاتصال، سيتلقى هؤلاء العملاء العشوائيون نفس البيانات التي تُبث لجميع عقد vLLM الثانوية. تتضمن هذه البيانات معلومات حالة داخلية لـ vLLم غير مفيدة للمهاجم. ومع ذلك، يمكن للمهاجم التسبب في حجب الخدمة عن طريق محاولة الاتصال بهذا المنفذ مرارًا وتكرارًا دون قراءة البيانات المنشورة له، مما يؤدي إلى إبطاء أو حتى حظر الناشر (publisher). تم إصلاح هذه المشكلة في الإصدار 0.8.5.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

مسؤول

GitHub M

حجز

18/03/2025

إفشاء

30/04/2025

الاعتدال

تمت الموافقة

إدخال

VDB-306585

EPSS

0.00569

KEV

لا

النشاطات

منخفض جدًا

المصادر

Do you know our Splunk app?

Download it now for free!