vLLM - это вывод и движок для больших языковых моделей (LLM). Перед версией 0.11.0rc2 поддержка ключа API в vLLM выполняет проверку с испол…

vLLM - это вывод и движок для больших языковых моделей (LLM). Перед версией 0.11.0rc2 поддержка ключа API в vLLM выполняет проверку с использованием метода, который был уязвим для атаки синхронизации. Валида ключа API использует сравнение строк, которое занимает больше времени, чем больше символов обеспечивается ключ API. Анализ данных во многих попытках может позволить злоумышленнику определить, когда он находит следующий правильный символ в последовательности ключей. РАЗверты, основанные на встроенной валидации ключа API vLLM, уязвимы для обхода аутентификации с использованием этой техники. Версия 0.11.0rc2 исправляет проблему.