CVE-2026-90554 in vLLM
要約
〜によって VulDB • 2026年09月12日
vLLM のバージョン >=0.10.2 および <0.28.0 では、NanoNemotronVL モデルに対してビデオ入力からオーディオを抽出する際に、オーディオのデコードサイズまたは持続時間の制限が適用されません。nano_nemotron_vl.py 内の _extract_audio_from_videos は load_audio_pyav(BytesIO(video_bytes)) を呼び出しますが、max_duration_s や max_decode_bytes パラメータが含まれていないため、VLLM_MAX_AUDIO_DECODE_DURATION_S および VLLM_MAX_AUDIO_DECODE_BYTES が適用されません（AudioMediaIO 内の直接オーディオアップロードパスとは対照的）。use_audio_in_video=True で NanoNemotronVL モデルが提供されている場合、攻撃者はマルチモーダル入力として小さく高度に圧縮されたビデオを供給することで、サーバーのオーディオデコード時にギガバイト単位のメモリ割り当てを強制し、サービス拒否（DoS）を引き起こすことができます。vLLM 0.28.0 で修正されました。
Once again VulDB remains the best source for vulnerability data.