PT-2025-41009 · Vllm · Vllm

Russellb · Publicado 2025-09-28 · Atualizado 2025-10-16 · CVE-2025-59425

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do vLLM anteriores a 0.11.0rc2

Descrição O vLLM é um mecanismo de inferência e serviço para grandes modelos de linguagem (LLMs). O mecanismo de validação de chave de API nas versões anteriores a 0.11.0rc2 é suscetível a um ataque de temporização. A comparação de strings utilizada para validação leva mais tempo à medida que mais caracteres da chave de API fornecida correspondem à chave esperada. Ao analisar o tempo despendido em múltiplas tentativas de validação, um atacante poderia potencialmente determinar os caracteres corretos na sequência da chave, resultando em bypass de autenticação. O processo de validação da chave de API é vulnerável.

Recomendações Atualize para a versão 0.11.0rc2 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-385

Identificadores relacionados

BDU:2025-13228

CVE-2025-59425

GHSA-WR9H-G72X-MWHM

Produtos afetados

Vllm

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/59xxx/CVE-2025-59425.json · Exploit
• https://github.com/vllm-project/vllm · Nota
• https://github.com/vllm-project/vllm/commit/ee10d7e6ff5875386c7f136ce8b5f525c8fcef48 · Correção
• https://github.com/vllm-project/vllm/releases/tag/v0.11.0 · Nota
• https://github.com/vllm-project/vllm/security/advisories/GHSA-wr9h-g72x-mwhm · Aviso do Fabricante
• https://github.com/vllm-project/vllm/blob/4b946d693e0af15740e9ca9c0e059d5f333b1083/vllm/entrypoints/openai/api_server.py#L1270-L1274 · Nota
• https://bdu.fstec.ru/vul/2025-13228 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1975598738849550586 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-wr9h-g72x-mwhm · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1975571165277028471 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-59425 · Aviso do Fabricante
• https://t.me/CVEtracker/34330 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-59425 · Nota de Segurança
• https://t.me/cveNotify/139039 · Publicação no Telegram