vLLM: Remote Code Execution über anfragegesteuerten code_revision-Parameter

Zusammenfassung

vLLM ab 0.7.3 vor 0.31.0 übergibt den vom Client gesendeten Parameter mm_processor_kwargs.code_revision an den Transformers-AutoProcessor-Loader. Ist trust_remote_code aktiviert und wird ein multimodales Modell mit dynamischem Processor-Code betrieben, kann ein Angreifer, der eine Revision des Modell-Repositorys kontrolliert, beliebigen Python-Code im vLLM-API-Prozess ausführen. Dafür kann der nicht authentifizierte Endpunkt /tokenize genutzt werden, auch wenn ein API-Key konfiguriert ist.

Betroffen

• vLLM ab 0.7.3 vor 0.31.0
• Nur wenn trust_remote_code aktiviert ist und das bereitgestellte Modell dynamischen AutoProcessor-Code verwendet
• Standardkonfiguration (trust_remote_code=False) ist nicht betroffen

Behoben in

• Behoben in vLLM 0.31.0 (Upstream-Fix-Commit 570735520942b6428ae98f1eb442c6d88adae55e)
• Hinweis: Eine separate RCE, GHSA-h3rc-j82p-2c3h (CVE-2026-115915), ist erst in 0.32.0 behoben

Umgehung

• trust_remote_code deaktiviert lassen
• vLLM-API nicht aus ungesicherten Netzwerken erreichbar machen
• Zugriff auf /tokenize über einen authentifizierenden Reverse Proxy oder eine Firewall einschränken
• Unbekannt: Keine vom Hersteller dokumentierte Workaround-Massnahme für ungepatchte Systeme über diese hinaus

Ausnutzung

• Keine bestätigte Ausnutzung bekannt (nicht als known exploited gelistet)
• Kein öffentlicher Proof of Concept in den Recherchen gefunden; dies schliesst einen solchen nicht aus
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total

Unsere Empfehlung

• vLLM auf 0.31.0 oder neuer aktualisieren, für CVE-2026-115915 auf 0.32.0 oder neuer
• Prüfen, ob trust_remote_code aktiviert ist und ob multimodale Modelle betrieben werden
• Sicherstellen, dass der Endpunkt /tokenize nicht aus dem Internet erreichbar ist
• Nach dem Update prüfen, ob die anfragebezogene Nutzung von mm_processor_kwargs noch funktioniert, da 0.31.0 sie ohne Konfiguration ablehnen kann
• Logs auf ungewöhnliche Anfragen an /tokenize überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-h3rc-6mm3-gc2m github.com
• Fix commit 570735520942b6428ae98f1eb442c6d88adae55e github.com
• VulnCheck advisory www.vulncheck.com
• OSV GHSA-h3rc-6mm3-gc2m osv.dev
• OffSeq threat radar entry radar.offseq.com
• Hol.org CVE summary hol.org
• LinuxSecurity news linuxsecurity.com
• OpenCVE CVE-2026-114053 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:11.