CVE-2025-30202 in vllm
Sumário
de VulDB • 21/06/2026
O vLLM é um motor de inferência e serviço de alta taxa de transferência e eficiente em termos de memória para LLMs. As versões a partir da 0.5.2 e anteriores à 0.8.5 são vulneráveis a negação de serviço e exposição de dados via ZeroMQ em implantações de vLLM multi-nó. Em uma implantação de vLLM multi-nó, o vLLM utiliza o ZeroMQ para alguns propósitos de comunicação entre nós. O host principal do vLLM abre um socket XPUB do ZeroMQ e o vincula a TODAS as interfaces. Embora o socket esteja sempre aberto para uma implantação multi-nó, ele só é utilizado ao realizar paralelismo de tensores entre vários hosts. Qualquer cliente com acesso de rede a este host pode se conectar a este socket XPUB, a menos que sua porta esteja bloqueada por um firewall. Uma vez conectado, esses clientes arbitrários receberão todos os mesmos dados transmitidos para todos os hosts secundários do vLLM. Esses dados são informações de estado interno do vLLM que não são úteis para um atacante. Ao potencialmente conectar-se a este socket várias vezes e não ler os dados publicados para eles, um atacante também pode causar uma negação de serviço, retardando ou potencialmente bloqueando o publicador. Este problema foi corrigido na versão 0.8.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.