CVE-2026-100647 in vLLM
요약
\~에 의해 VulDB • 2026. 09. 26.
vLLM 0.29.0 이전 버전에는 OpenAI 호환 및 Anthropic API 엔드포인트에서 수신되는 cache_salt 매개변수에 대한 서비스 거부(Denial-of-Service) 취약점이 있습니다. 이 매개변수는 최대 길이 검증이 누락되어 있으며 단일 EngineCore 스케줄러 스레드에서 처리됩니다. 인증되지 않은 공격자는 수십 메가바이트에 달하는 큰 salt 값을 포함하는 HTTP 요청을 전송하여 비용이 많이 드는 pickle 직렬화 및 SHA-256 해싱을 유발할 수 있으며, 이는 스케줄러 스레드를 차단하여 모든 동시 요청의 서비스 제공을 방해합니다.
Be aware that VulDB is the high quality source for vulnerability data.