CVE-2025-62164 in vLLM
요약
\~에 의해 VulDB • 2026. 08. 04.
vLLM은 대규모 언어 모델(LLM)을 위한 추론 및 서빙 엔진입니다. 버전 0.10.2부터 0.11.1 미만까지의 vLLM에는 Completions API 엔드포인트에서 메모리 손상 취약점이 존재합니다. 이 취약점은 시스템 충돌(서비스 거부, DoS)과 잠재적 원격 코드 실행(RCE)을 초래할 수 있습니다. 사용자 제공 프롬프트 임베딩 처리 시 해당 엔드포인트는 torch.load()를 사용하여 직렬화된 텐서를 로드하는데, 이때 충분한 검증이 이루어지지 않습니다. PyTorch 2.8.0에서 도입된 변경 사항으로 인해 희소(sparsity) 텐서 무결성 검사가 기본적으로 비활성화되었습니다. 그 결과, 악의적으로 조작된 텐서가 내부 경계 검사(bound checks)를 우회하여 to_dense() 호출 중 메모리 바깥 영역(out-of-bounds)에 대한 쓰기를 유발할 수 있습니다. 이러한 메모리 손상은 vLLM을 충돌시킬 뿐만 아니라 vLLM이 호스팅되는 서버에서 코드 실행으로 이어질 가능성이 있습니다. 이 문제는 버전 0.11.1에서 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.