Avioligo

**Name of the Vulnerable Software and Affected Versions** vllm versions 0.5.2 through 0.8.5.post1 **Description** The issue exists in the V0 engine of vLLM, which uses ZeroMQ for multi-node communication. When data is received on the `SUB` ZeroMQ socket, it is deserialized with `pickle`, allowing for potential code execution on a remote machine. This vulnerability can be exploited to compromise hosts in a vLLM deployment, especially if the primary host is already compromised. Attackers could also use other means, such as ARP cache poisoning, to redirect traffic and deliver a payload with arbitrary code. The V1 engine is not affected by this issue. **Recommendations** For versions 0.5.2 through 0.8.5.post1, ensure the environment is on a secure network to minimize the risk of exploitation, as the maintainers have decided not to fix this issue due to its invasiveness and the V0 engine being off by default since v0.8.0. Consider using the V1 engine, which is not affected by this issue, for new deployments or migrations. As a temporary workaround, consider restricting access to the `SUB` ZeroMQ socket to prevent unauthorized connections.

**Nome do Software Vulnerável e Versões Afetadas** Docling Core versões 2.21.0 a 2.48.3 **Descrição** O Docling Core, uma biblioteca para processamento de documentos, contém um problema de Execução Remota de Código (RCE) relacionado ao PyYAML. Esse problema, identificado como CVE-2020-14343, ocorre quando o aplicativo utiliza versões do PyYAML anteriores a 5.4 e invoca a função `docling core.types.doc.DoclingDocument.load from yaml()` com dados YAML não confiáveis. A vulnerabilidade permite que um atacante execute código arbitrário no sistema explorando o construtor `python/object/new`. O problema decorre de uma correção incompleta para o CVE-2020-1747. O método de desserialização `FullLoader` do PyYAML é suscetível à execução de código ao processar arquivos YAML não confiáveis. **Recomendações** As versões 2.21.0 a 2.48.3 do Docling Core devem ser atualizadas para a versão 2.48.4. Se não for possível atualizar imediatamente o Docling Core, certifique-se de que a versão instalada do PyYAML seja 5.4 ou superior.