Turms AI-Servingモジュール v0.10.0-SNAPSHOTおよびそれ以前のバージョンには、画像のデコンプレッションボムによるサービス拒否（DoS）脆弱性が存在します。ai/djl/opencv/ExtendedOpenCVImage.java内のExtendedOpenCVImageクラスでは、OpenCVのimread()関数を使用して画像をロードする際に、デコンプレッション前の画像寸法やピクセル数の検証を行っていません。攻撃者は、圧縮時には小さく、ロード時にはギガバイト級のメモリを消費するように細工された圧縮画像ファイル（例：PNG）をアップロードすることができます。この結果、即座にメモリが枯渇し、OutOfMemoryErrorが発生したりサービスがクラッシュしたりします。OCRサービスが公開されている場合は認証が不要となります。また、攻撃者が複数回リクエストを送信すると、サービスの利用が完全に妨害される可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。