vladimir-tokarev-cyera/llama-cpp-security-patchesअनपैच्ड llama.cpp कमज़ोरियों के लिए सुरक्षा पैच (CVE-2026-43626 से CVE-2026-43632 तक) — Cyera Research
llama.cpp में अनपैच्ड कमज़ोरियों के लिए सुरक्षा पैच, जिन्हें Cyera Research द्वारा खोजा गया था।
जुलाई 2025 और जून 2026 के बीच, हमने GitHub Security Advisories और MITRE के माध्यम से llama.cpp प्रोजेक्ट को 10 कमज़ोरियों की रिपोर्ट की। सभी advisories को मेंटेनर द्वारा बिना किसी फ़िक्स या CVE असाइनमेंट के बंद कर दिया गया। हमने जून 2026 में पैच के साथ एक सार्वजनिक PR सबमिट किया — उसे भी बिना मर्ज किए बंद कर दिया गया।
विक्रेता और MITRE दोनों के कार्रवाई करने में विफल रहने के बाद VulnCheck ने 10 CVE IDs आवंटित किए। मूल IDs में से तीन (CVE-2026-43623, CVE-2026-43624, CVE-2026-43626) को बाद में क्रमशः CVE-2026-70638, CVE-2026-70639, और CVE-2026-70640 द्वारा प्रतिस्थापित किया गया।
ये पैच इसलिए प्रदान किए गए हैं ताकि उपयोगकर्ता और डाउनस्ट्रीम प्रोजेक्ट स्वयं की सुरक्षा कर सकें।
| CVE | CVSS | कमज़ोरी | प्रभावित फ़ाइल(ें) | पैच |
|---|---|---|---|---|
| CVE-2026-70640 | 7.3 | Android JNI रेस कंडीशन (UAF) | ai_chat.cpp | CVE-2026-70640 |
| CVE-2026-43627 | 8.5 | llama_batch_init() पूर्णांक ओवरफ़्लो | llama-batch.cpp | CVE-2026-43627 |
| CVE-2026-43628 | 8.5 | DRY सैंपलर पूर्णांक अंडरफ़्लो | llama-sampler.cpp, arg.cpp, server-task.cpp | CVE-2026-43628 |
| CVE-2026-43629 | 9.2 | KV कैश स्टेट बफ़र ओवरफ़्लो | llama-kv-cache.cpp | CVE-2026-43629 |
| CVE-2026-43631 | 9.2 | सर्वर स्लीप-आइडल यूज़-आफ़्टर-फ़्री | server-context.cpp, server-queue.cpp, server-queue.h | CVE-2026-43631 |
| CVE-2026-43632 | 9.2 | सर्वर अनबाउंडेड टास्क निर्माण | server-task.cpp, server-queue.cpp | CVE-2026-43632 |
एकल फ़िक्स लागू करें:
cd /path/to/llama.cpp
git apply /path/to/patches/CVE-2026-43631-server-sleep-uaf.patch
सभी फ़िक्स एक साथ लागू करें:
cd /path/to/llama.cpp
git apply /path/to/patches/all-fixes.patch
यदि नए llama.cpp संस्करणों में कॉन्टेक्स्ट परिवर्तनों के कारण git apply विफल हो जाता है, तो --3way के साथ प्रयास करें:
git apply --3way /path/to/patches/all-fixes.patch
| तिथि | घटना |
|---|---|
| जुलाई 2025 | GitHub Security Advisory के माध्यम से पहली कमज़ोरी सबमिट की गई |
| अक्टूबर 2025 | CVE असाइनमेंट के लिए MITRE से संपर्क किया गया — 7 अनुरोध IDs प्राप्त हुए, कोई भी असाइन नहीं हुआ |
| जनवरी–मई 2026 | चार और advisories सबमिट किए गए — सभी बिना फ़िक्स के बंद कर दिए गए |
| मई 2026 | VulnCheck ने 10 CVEs आवंटित किए |
| जून 2026 | पैच के साथ सार्वजनिक PR सबमिट किया गया — PR बंद कर दिया गया |