CVE-2025-62164 in vLLM
الملخص
بحسب VulDB • 06/09/2026
vLLM هو محرك استنتاج وتقديم (serving) للنماذج اللغوية الكبيرة (LLMs). من الإصدارات 0.10.2 وحتى ما قبل الإصدار 0.11.1، يوجد ثقب في الأمان يتعلق بتلف الذاكرة قد يؤدي إلى تعطل النظام (حجب الخدمة - DoS) وتنفيذ عن بُعد للكود (RCE)، ويظهر هذا الثقب في نقطة نهاية واجهة برمجة التطبيقات الخاصة بالإكمال (Completions API endpoint). عند معالجة تضمينات prompts التي يقدمها المستخدم، يقوم النقطة النهائية بتحميل موترات مُسلسلة باستخدام `torch.load()` دون تحقق كافٍ. بسبب تغيير أُدخل في PyTorch الإصدار 2.8.0، تم تعطيل فحوصات سلامة الموترات المتفرقة (sparse tensors) افتراضياً. ونتيجة لذلك، يمكن للموترات المُصممة بشكل خبيث تجاوز الفحوصات الداخلية للحدود وتسبب كتابة خارج حدود الذاكرة أثناء استدعاء `to_dense()`. هذا التلف في الذاكرة قد يؤدي إلى تعطل vLLM وقد يؤدي محتملاً إلى تنفيذ الكود على الخادم الذي يستضيف vLLM. تم إصلاح هذه المشكلة في الإصدار 0.11.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.