[github.com]🔒 セキュリティ★★★★★2026年6月17日

vLLM OpenAI API認証バイパス脆弱性 CVE-2026-48746

編集部まとめ

CVE-2026-48746: vLLM OpenAI API認証バイパス・APIキー設定を無効化
HostヘッダーへのURL特殊文字挿入でASGI/Starlette経由のパス検証を回避
x41secのソースコード監査で発見・uvicorn等ASGIサーバー全般に影響

vLLMのOpenAI互換APIサーバーに認証バイパス脆弱性CVE-2026-48746が発見された。ASGIサーバーおよびStarletteがHTTPリクエストの`Host:`ヘッダーに含まれる`/`や`?`などの特殊文字をフィルタリングしないため、攻撃者が再構成されたURLの`.path`属性を操作し`AuthenticationMiddleware`を回避できる。結果として、`VLLM_API_KEY`または`--api-key`を設定していても認証なしでAPIを利用される恐れがある。

詳細を読む → 元記事へ

X で共有

※ 本文は元記事をご確認ください (asayomu は要約のみ提供)

編集部の影響度コメント

vLLMをOpenAI互換APIとして本番公開しているチームは、即座にvLLMのバージョンアップまたは公式パッチの適用を確認し、パッチ適用前は外部からのアクセスをネットワークレベルで制限すること。uvicornを含むASGI実装側のHostヘッダー検証も根本対策として必要になり得る。