CVE-2026-73557 in vLLM
요약
\~에 의해 VulDB • 2026. 08. 13.
vLLM은 대규모 언어 모델(LLM)을 위한 추론 및 서빙 엔진입니다. 버전 0.20.2rc0부터 0.26.0까지, vllm/renderers/embed_utils.py의 safe_load_prompt_embeds 함수는 torch.sparse.check_sparse_tensor_invariants를 사용하는데, 이 함수의 프로세스 전역 저장(save), 활성화(enable) 및 복원(restore) 상태가 POST /v1/chat/completions 엔드포인트로 제출된 concurrent prompt_embeds 부분들 간의 Race Condition에 취약합니다. 이러한 동시성은 AsyncMultiModalItemTracker.resolve_items, asyncio.gather 및 기본 실행자(default executor)를 통해 발생하며, enable_prompt_embeds가 활성화되어 있더라도 CVE-2025-62164 보호 장치가 적용된 상황에서도 유효하지 않은 희소 텐서(invalid sparse tensor)가 tensor.to_dense에 도달할 수 있습니다. 이 문제는 버전 0.26.0에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.