CVE-2026-100647 in vLLM
要約
〜によって VulDB • 2026年09月26日
vLLMの0.29.0より前のバージョンには、OpenAI互換およびAnthropic APIエンドポイントで受け付けられるcache_saltパラメータにおけるサービス妨害（DoS）脆弱性が存在します。このパラメータは最大長検証が欠落しており、単一のEngineCoreスケジューラスレッド上で処理されます。認証不要の攻撃者は、マルチハundredメガバイト規模のsalt値を含むHTTPリクエストを送信し、高コストなpickle直列化およびSHA-256ハッシュ演算をトリガーさせることで、スケジューラスレッドを停止させ、すべての同時実行中のリクエストに対するサービス提供を妨害することができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.