vLLM: Server-Side Request Forgery über X-Request-Id in P2pNcclConnector

Zusammenfassung

vLLM-Versionen ab 0.9.2 vor 0.24.0 enthalten im P2pNcclConnector eine Server-Side Request Forgery (SSRF) Schwachstelle. Ein API-Aufrufer kann eine Decode-Adresse im Header X-Request-Id einbetten und so erzwingen, dass ein Prefill-Worker eine Verbindung zu einem Host des Angreifers aufbaut. Dadurch können die NCCL unique_id und KV-Cache-Tensoren abfliessen, die Prompt-Daten enthalten können, oder der Worker kann blockiert werden. Voraussetzung ist ein konfigurierter P2pNcclConnector und Zugriff auf die API, wofür nur ein gültiger API-Schlüssel oder, falls keiner gesetzt ist, kein Schlüssel nötig ist.

Betroffen

• vLLM (PyPI-Paket vllm) ab 0.9.2 vor 0.24.0
• Nur Deployments mit dem P2pNcclConnector sind betroffen
• Red Hat AI Inference Server wird von einem Tracker als betroffen aufgeführt; nicht gegen die Red-Hat-Meldung verifiziert
• Unbekannt: ob Versionen vor 0.9.2 betroffen sind

Behoben in

• Auf vLLM 0.24.0 oder neuer aktualisieren
• Unbekannt: korrigierter Build von Red Hat AI Inference Server

Umgehung

• Kein offizieller Workaround gefunden.
• Der Advisory schlägt eine Quellcode-Änderung vor, die X-Request-Id entfernt oder ersetzt, wenn der P2pNcclConnector aktiv ist; dies ist nur praktikabel, wenn vLLM aus dem Quellcode gepflegt wird.

Ausnutzung

• Der CVSS-4.0-Vektor zeigt einen Netzwerkangriff mit niedriger Komplexität, ohne Berechtigungen und ohne Benutzerinteraktion.
• Known Exploited (KEV): Nein.
• Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies kann nicht vollständig ausgeschlossen werden.

Unsere Empfehlung

• Prüfen, ob ein vLLM-Deployment den P2pNcclConnector verwendet (KV-Transfer-Konfiguration); falls nicht, treffen die Voraussetzungen des Advisory nicht zu.
• Betroffene vLLM-Installationen auf 0.24.0 oder neuer aktualisieren, idealerweise auf die aktuelle Version, und das geänderte Verhalten nach dem Upgrade testen.
• Die vLLM-API nicht in unvertrauenswürdige Netze exponieren und hinter einen authentifizierenden Reverse Proxy stellen.
• Ausgehende Verbindungen von Prefill-Workern auf bekannte Hosts beschränken.
• Multi-Node- oder disaggregierte Deployments mit Internetzugriff oder Exposition gegenüber weniger vertrauenswürdigen Netzen haben hohe Priorität.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-vfp2-c8pq-v6h6 github.com
• VulnCheck advisory www.vulncheck.com
• OSV PYSEC-2026-4351 osv.dev
• VulDB CVE-2026-116176 vuldb.com
• NixOS nixpkgs issue 579137 (CVSS vector) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:36.