Danışma belgesi ne diyor
vLLM projesi, CVE-2026-22778 / GHSA-4r2x-xpjr-7cvv'nin kritik bir video işleme güvenlik açığı zinciri olduğunu ortaya çıkardı. İncelenen danışma belgesi, etkilenen bir dağıtımın, video özellikli bir model sunduğunda ve saldırgan tarafından kontrol edilen video girişini işlediğinde uzaktan kod yürütmeye ulaşabileceğini söylüyor. Video modeli sunmayan dağıtımlar bu danışma belgesinden etkilenmez. [S1] [S2]
Etkilenen sürümler
Etkilenen PyPI sürümleri vLLM 0.8.3'te başlıyor ve 0.14.1'den önce duruyor. PyPA ve OSV, 0.8.5.post1, 0.9.0.1 ve 0.10.1.1 gibi post ve dört bileşenli sürümler de dahil olmak üzere etkilenen yayınlanmış sürümleri listeler. vLLM 0.14.1 ilk sabit sürümdür. [S2] [S3] [S4] [S5]
Dağıtım bağlamı neden önemlidir?
Savunmasız bir bağımlılık önemli bir yama önceliklendirme kanıtıdır, ancak savunmasız bir canlı hizmetle aynı şey değildir. Pratik kullanım, dağıtılan paket sürümüne, çalışma zamanının video özellikli bir modele hizmet edip etmediğine, güvenilmeyen kullanıcıların video girişi sağlayıp sağlayamayacağına ve ilgili işlem yolunun erişilebilir olup olmadığına bağlıdır. [S1]
FixVibe bunu nasıl kapsıyor?
FixVibe kapsamındadır. GitHub repo taramaları, yetkili bir depodaki desteklenen Python bildirimlerinden ve kilit dosyalarından etkilenen vLLM bağımlılığı kanıtlarını raporlayabilir. Bulgu, bağımlılık kaynağını, sürümü veya izin verilen aralığı, sabit sürümü, güveni ve sürüme dayalı tavsiye niteliğindeki kanıt duruşunu tanımlar.
FixVibe, vLLM'yi çalıştırmaz, bir model sunucusu başlatmaz, yüklü model yeteneklerini denetlemez, video göndermez veya getirmez, çıkarım yollarını çalıştırmaz, kod çözücüleri kilitlenme testi yapmaz, bellek bozulmasını kanıtlamaz veya depo kanıtlarından uzaktan kod yürütülmesini talep etmez. Denetim kasıtlı olarak güvenli bağımlılık analiziyle sınırlıdır.
İyileştirme
Dağıtımı kontrol eden bağımlılık kaynağında vLLM'yi 0.14.1 veya daha yeni bir sürüme yükseltin. Etkin kilit dosyalarını yeniden oluşturun ve onu yükleyen her çıkarım sunucusunu, çalışanı, not defterini, CI görüntüsünü, model hizmet kapsayıcısını, sanal ortamı, tekerlek önbelleğini ve paket önbelleğini yeniden oluşturun. Yalnızca kaynak kontrolünde değil, çalışan yapıttaki sürümü doğrulayın. [S3] [S5]
Dağıtılan çalışma zamanlarının video özellikli modeller sunup sunmadığını veya video girişini kabul edip etmediğini inceleyin. Sabit yapı dağıtılana kadar güvenilmeyen video işlemeyi devre dışı bırakın veya yalıtın ve model sunma erişimini kısıtlayın. Bağımlılık ağacı kontrollerini, çalışma zamanı sürümü kontrollerini, model yeteneği incelemesini ve zararsız çıkarım duman testlerini kullanın; Doğrulama amacıyla hazırlanmış medyayı veya istismar girişimlerini kullanmayın. Yukarı akış tavsiyeleri ve bağlantılı düzeltmeler, yetkili iyileştirme bağlamını sağlar. [S1] [S6] [S7] [S8]