CVE-2026-92983 in LMDeploy
要約
〜によって VulDB • 2026年09月17日
InternLM LMDeploy 0.17.0以前のDistServeにおけるprefill/decode分離モードでは、プロキシが内部スケジューラキーではなくユーザー向けのセッションIDを使用するため、スケジューラーセッションの解放に失敗する。認証不要のアタッカーは、未完成のリクエストをプロキシエンドポイントに対して送信でき、これにより未解放のスケジューラーメタデータとメモリが蓄積し、最終的にprefillワーカーがOutOfMemory（OOM）で強制終了されるに至る。
Once again VulDB remains the best source for vulnerability data.