vLLM: Unzureichende Prüfung von Bildformaten ermöglicht Codeausführung und Denial of Service

Zusammenfassung

vLLM vor 0.32.0 übergibt nicht vertrauenswürdige Bilddaten ohne Einschränkung der akzeptierten Formate an die automatische Formaterkennung von Pillow, sodass eine EPS-Nutzlast (PostScript) an Ghostscript gelangen kann. Ist auf dem Host eine von CVE-2024-29510 betroffene Ghostscript-Version installiert, kann ein Aufrufer, der einen bildfähigen Anfragepfad erreicht, Befehle mit den Rechten des vLLM-Prozesses ausführen. Umgebungen mit Pillow 12.0.0 bis 12.2.0 sind zusätzlich für CVE-2026-59203 anfällig, was die Worker zum Laden von Medien ausschöpfen kann, ohne dass Codeausführung möglich ist.

Betroffen

• vLLM-Versionen vor 0.32.0 (der Hersteller bestätigt 0.30.0; die genaue untere Grenze ist nicht angegeben)
• Hosts mit einer von CVE-2024-29510 betroffenen Ghostscript-Version (nur für die Ausführungskette)
• Umgebungen mit Pillow 12.0.0 bis 12.2.0 (nur Denial of Service)

Behoben in

• vLLM 0.32.0 (beschränkt nicht vertrauenswürdige Bilder auf eine Liste von Rasterformaten, die EPS und WMF ausschliesst)
• Pillow 12.3.0 oder neuer wird empfohlen (Sekundärquelle; nicht vom Hersteller bestätigt)

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme. Nicht vom Hersteller verifizierte Zwischenmassnahmen:

• Netzwerkzugriff auf die vLLM-API einschränken und begrenzen, welche Clients Bildanfragen senden dürfen
• Prüfen, ob Ghostscript auf dem Host installiert ist, und es entfernen, falls es nicht benötigt wird
• Pillow auf eine gepatchte Version fixieren

Ausnutzung

• CISA SSVC: Exploitation none, nicht automatisierbar
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
• Der Hersteller hat die Codeausführung auf Loader-Ebene mit Debian Ghostscript 10.03.0 reproduziert; der vollständige HTTP-Pfad wurde nicht durchgehend getestet

Unsere Empfehlung

• Alle vLLM-Instanzen inventarisieren, einschliesslich Container-Images und Lockfiles, und deren Versionen erfassen
• vLLM auf 0.32.0 aktualisieren und Pillow auf 12.3.0 oder neuer fixieren
• Prüfen, ob Ghostscript auf den Hosts installiert ist, und es entfernen, falls es nicht benötigt wird
• Bis zum Patch den Kreis der Personen einschränken, die die API erreichen können
• Logs auf ungewöhnliche Bildanfragen und Worker-Timeouts überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-h3rc-j82p-2c3h github.com
• vLLM v0.32.0 release github.com
• Fix commit 710ac56 github.com
• Fix pull request #60022 github.com
• OSV record GHSA-h3rc-j82p-2c3h osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:32.