vLLM: Denial of Service durch Decompression-Bomb-Bild im Nemotron-VL-Processor

Zusammenfassung

vLLM, eine Inferenz-Engine für grosse Sprachmodelle, deaktiviert den Decompression-Bomb-Schutz von Pillow für den gesamten Prozess, sobald die Nemotron-VL-Processors importiert werden. Ein nicht authentifizierter Angreifer, der /v1/chat/completions erreichen kann, kann ein präpariertes Bild senden, das den Speicher erschöpft und den Worker per OOM-Kill beendet, wodurch andere Mandanten keinen Dienst mehr erhalten. Das Risiko betrifft Installationen, die Nemotron-VL-Processors bereitstellen oder importieren und die API exponieren.

Betroffen

• vLLM 0.10.2 bis vor 0.25.0 (CVE-Eintrag und VulnCheck)
• Die GHSA-Seite listet betroffene Versionen als <= 0.8.5; bis dies bestätigt ist, alle Versionen vor 0.25.0 als betroffen behandeln
• Red Hat AI Inference Server ist als betroffen aufgeführt; fixierte Version unbekannt

Behoben in

• vLLM 0.25.0 und neuer (empfohlen wird die neueste Version)
• Backports auf ältere Release-Linien: Unbekannt.

Umgehung

• Vom Hersteller nicht bekannt.
• Netzwerkzugriff auf den API-Endpunkt bis zur Behebung einschränken.
• Nemotron-VL-Modelle nicht bereitstellen, bis die Instanz aktualisiert ist.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes.
• Nicht im CISA-KEV-Katalog; seit dem 25. Okt. 2026 wurde keine Ausnutzung gemeldet.
• Kein öffentlicher Proof of Concept gefunden; dies ist keine Bestätigung, dass keiner existiert.

Unsere Empfehlung

• Alle vLLM-Instanzen inventarisieren, inklusive Container-Images und Red Hat AI Inference Server.
• Auf vLLM 0.25.0 oder neuer aktualisieren, vorzugsweise auf die neueste Version.
• Prüfen, ob Nemotron-VL-Modelle bereitgestellt werden, und den API-Zugriff bis zur Behebung einschränken.
• Auf Worker-Abstürze und Speicherverbrauch in KI-Diensten achten.
• Die Seite GHSA-mm38-5g96-7j6x direkt lesen, um den betroffenen Bereich zu bestätigen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-mm38-5g96-7j6x github.com
• VulnCheck advisory: vLLM 0.10.2 before 0.25.0 DoS via Nemotron-VL Processor www.vulncheck.com
• OSV: PYSEC-2026-4352 osv.dev
• OffSeq Radar: CVE-2026-116177 radar.offseq.com
• OpenCVE: CVE-2026-116177 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:17.