🇰🇷 한글 설명
ggml-org llama.cpp의 ggml-RPC 서버 구성 요소 내 deserialize_tensor 함수에서 취약점이 발견되었습니다. 공격자가 op/op_params 인자를 조작하여 원격에서 역직렬화를 수행할 수 있습니다. 이는 이전의 CVE-2026-34159와는 별개의 취약점입니다.
💡 쉬운 설명
llama.cpp의 원격 서버 기능을 사용할 때, 공격자가 특수하게 조작된 데이터를 보내 서버를 오작동하게 만들 수 있습니다. 이를 통해 원격에서 시스템에 영향을 줄 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in ggml-org llama.cpp bec4772f6. The impacted element is the function deserialize_tensor of the file ggml/src/ggml-rpc/ggml-rpc.cpp of the component ggml-RPC Server. Performing a manipulation of the argument op/op_params results in deserialization. The attack may be initiated remotely. This vulnerability is distinct from CVE-2026-34159 (GHSA-j8rj-fmpv-wcxw, PR #20908), which only added a buffer==nullptr rejection in create_node() and does not validate op or op_params. The reported GitHub issue was closed automatically due to inactivity.
📍 영향받는 시스템
ggml-org llama.cpp (commit bec4772f6 포함 버전)
⚔️ 공격 벡터
네트워크를 통한 원격 인자(op/op_params) 조작
🛡️ 대응 방법
llama.cpp를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 커밋 해시가 취약한 버전인 bec4772f6와 일치하거나 그 이전인지 확인하십시오.