vLLM语音转录路径PyAV/FFmpeg IAMF堆溢出致DoS

漏洞概述 标题: Crafted IAMF audio upload reaches a PyAV/FFmpeg native heap overflow through the speech transcription path — denial of service 描述: 严重性: 中等 CVSS v3.1: 6.5 / 10 CWE: CWE-122 (Heap-based Buffer Overflow), CWE-787 (Out-of-bounds Write) 摘要: vLLM 的音频转录端点 ( ) 解码上传的音频字节，当 无法解析容器时，回退到 PyAV (FFmpeg) 通过 。唯一的守卫在解码前应用的是压缩文件大小的检查，因此原始攻击者字节到达原生 FFmpeg 解复用器未受保护。 一个恶意的 IAMF (Immersive Audio Model and Formats) 容器驱动 FFmpeg 的 解析器写入一个 32 字节的 堆分配。在确认的目标上 — PyAV 16.1.0 / FFmpeg 8.0.1 — 一个单字节突变的有效 IAMF 文件仍然打开并驱动越界写入。重复上传损坏分配器堆并杀死 API 进程，拒绝服务给该服务器的每个用户。 这是通过第三方解析器通过 vLLM 的普通请求路径到达的内存腐蚀问题，而不是请求控制的预处理放大问题。不需要在部署中需要特征，该部署服务语音端点并回退到 PyAV。 此发现不同于 GHSA-4r2x-7cqv-7GQV (CVE-2026-22773)，一个 JPEG2000 cder 堆溢出在 OpenCV 通过 中；该建议的修复不门控 PyAV/FFmpeg av.open() 路径在 IAMF 输入上，因此这个兄弟媒体接收器幸存下来，它仍然是一个开放的漏洞。 影响范围 生态系统/包: pip / vllm 受影响版本: vLLM ≤ 0.25.1 (确认在 0.25.1, commit 752a3d64485, 与 PyAV 16.1.0 链接对抗 FFmpeg 8.0.1)。触发器位于原生 构建一个安装链接固定 FFmpeg 不受影响。维护者可以确认确切的易受攻击的 版本在三角。 影响: 一个攻击者可以到达 在受影响的部署上通过上传一个精心制作的 IAMF 容器崩溃 vLLM API 进程。前提是音频路径回退到 PyAV (即 无效或无法解析容器) 和链接的 在易受攻击的 IAMF 范围内。不需要在普通请求访问之外进行身份验证。 效果: 请求控制的本地堆腐蚀在语音处理过程中，导致进程死亡和拒绝服务给该服务器的每个用户。证据表明分配器腐蚀和服务死亡（可用性）。它不证明控制流劫持、代码执行、或机密性/完整性后果，因此这是一个中等可用性发现，不应被提升为一个 RCE 漏洞。 修复方案 建议的修复: - 在 调用之前拒绝 PyAV 容器解析，当链接的 构建在易受攻击的 IAMF 范围内。 - 提高默认的 PyAV/FFmpeg 依赖地板到一个车轮线，捆绑固定 FFmpeg 发布（在易受攻击的 IAMF 范围）跨 CUDA、CPU、和 ROCm 要求集。 - 应用相同的预开门到请求选择的 PyAV 视频后端，所以一个调用者不能绕过音频路径通过一个兄弟媒体路由。 - 协调披露与 FFmpeg/PyAV 对于底层原生解析器 bug 的 CVE 不是已经分配；真正的根修复属于上游在 FFmpeg，与 vLLM 侧修复在补丁后不依赖漏洞的溢出。 - 核心变化添加一个版本门控，在 之前运行。一个新的 引发 ，除非链接的 携带 IAMF 可扩展层修复。 POC 代码 信用 报告者: Patch the Planet (Bits 的 Trail + OpenAI 合作) 发现者: 使用 GPT-5.5-Cyber 作为 Patch the Planet 安全倡议的一部分 提议的修复: 一个修复提议在公开拉取请求中: #51895

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

vLLM语音转录路径PyAV/FFmpeg IAMF堆溢出致DoS

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

vLLM语音转录路径PyAV/FFmpeg IAMF堆溢出致DoS

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！