注目★★★★★GitHub Advisory
vLLM、M-RoPE モデルへのプロンプト埋め込みで DoS 脆弱性
30秒で把握
- 1vLLM の M-RoPE モデルで `/v1/completions` へプロンプト埋め込みペイロード送信するとサーバクラッシュ
- 2型絞り込みアサートが `prompt=None` + `prompt_embeds` 組み合わせに対応していない設計の不備
- 3リモート認可ユーザによる簡単な DoS 誘発が可能・M-RoPE 利用チームはアップグレード と アクセス制御 強化を確認
要約
vLLM の M-RoPE 対応モデルに DoS 脆弱性が存在する。`/v1/completions` エンドポイントへプロンプト埋め込みペイロードを送信すると、EngineCore のアサーション失敗によってサーバが致命的にクラッシュする。認可されたリモートユーザは、単純なリクエストで整個サーバをダウンさせられる。
あなたへの影響
vLLM を M-RoPE モデルで本番運用するチームは。
推奨：当該脆弱性の修正版へのアップグレード予定を確認し、アクセス制御 (リモートから `/v1/completions` への無認可呼び出しを遮断) を再点検すべき。