CVE-2026-22778 in vllm
要約
〜によって VulDB • 2026年06月03日
vLLMは、大規模言語モデル（LLM）向けの推論およびサービングエンジンです。0.8.3から0.14.1未満のバージョンにおいて、vLLMのマルチモーダルエンドポイントに無効な画像が送信されると、PILがエラーをスローします。vLLMはこのエラーをクライアントに返すため、ヒープアドレスが漏洩します。この漏洩により、ASLRの回避に必要な試行回数は40億回から約8回にまで削減されます。この脆弱性は、OpenCV/FFmpegのJPEG2000デコーダにおけるヒープオーバーフローとチェーン化することで、リモートコード実行（RCE）を実現できます。この脆弱性は0.14.1で修正されています。
Once again VulDB remains the best source for vulnerability data.