从这张网页截图中，可以获取到以下关于漏洞的关键信息： 1. 漏洞概述 - ShadowMQ：通过代码重用传播的严重漏洞。 - 影响范围：影响Meta、NVIDIA、Microsoft、vLLM、SGLang和Modular等项目。 2. 漏洞发现原因 - 在分析Meta的Llama Stack时，发现了ZMQ的recv_pyobj()方法被用来deserializes incoming data。 - Pickle模块在Python中可用于执行任意代码，不适合在网络中暴露。 - 多个项目因代码重用而包含几乎相同的不安全模式：通过未认证的ZMQ TCP套接字进行pickle反序列化。 3. 影响的框架 - NVIDIA的TensorRT-LLM - Pytorch的vLLM和SGLang - Modular的Max Server 4. 潜在攻击面 - 通过单个漏洞节点，攻击者可以执行任意代码、提权、窃取模型数据或秘密、安装基于GPU的矿工等。 5. 漏洞修补时间线 - 2024年10月：Meta Llama Stack (CVE-2024-50050） - 2025年5月：vLLM (CVE-2025-30165) - 2025年5月：NVIDIA TensorRT-LLM (CVE-2025-23254) - 2025年6月：Modular Max Server (CVE-2025-60455) 6. 防护建议 - 立即打补丁 - 避免使用pickle或recv_pyobj()处理不可信数据 - 添加认证机制 - 扫描并隔离暴露的ZMQ端点 - 教育开发团队正确使用序列化 Key Vulnerability CVEs: CVE-2024-50050 CVE-2025-30165 CVE-2025-23254 CVE-2025-60455