CVE-2025-30202 in vllm
要約
〜によって VulDB • 2026年06月26日
vLLMは、大規模言語モデル（LLM）向けの高スループットかつメモリ効率的な推論およびサービングエンジンです。バージョン0.5.2以降で0.8.5より前のバージョンには、マルチノード環境でのvLLM展開においてZeroMQ経由でサービス妨害（DoS）およびデータ漏洩の脆弱性が存在します。マルチノード構成では、vLLMは一部のマルチノード間通信にZeroMQを使用しています。プライマリのvLLMホストはXPUB ZeroMQソケットを開き、すべてのインターフェースにバインドします。このソケットはマルチノード展開時には常に開かれていますが、複数のホスト間でテンソル並列処理を実行する場合のみ使用されます。ネットワーク経由でこのホストにアクセスできる任意のクライアントは、ファイアウォールによってポートがブロックされていない限り、このXPUBソケットに接続できます。一度接続すると、これらの不正なクライアントは、すべてのセカンダリvLLMホストへブロードキャストされるデータと同じデータをすべて受信します。これは攻撃者にとって有用ではない内部のvLLM状態情報ですが、攻撃者はこのソケットへの多数の接続を試みたり、公開されたデータの読み取りを行わないことで、パブリッシャーを低速化またはブロックさせることによりサービス妨害を引き起こす可能性があります。本問題はバージョン0.8.5で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.