vLLM: Denial of Service durch nicht initialisierten Speicher in Prompt-Logprobs

Zusammenfassung

vLLM-Versionen ab 0.8.5 bis vor 0.31.0 lassen sich mit einer einzelnen, präparierten API-Anfrage zum Absturz bringen. Die Anfrage verwendet prompt_logprobs (oder echo mit logprobs) auf einem Präfix, das ein KV-Connector als bereits berechnet meldet, sodass Teile des Ausgabepuffers nicht initialisiert bleiben und die Tokenizer-Dekodierung fehlschlägt. Ein Angreifer benötigt nur Zugriff auf dieselbe vLLM-Engine wie andere Benutzer, und der Absturz verwirft alle laufenden Anfragen sämtlicher Mandanten. Die Schwachstelle betrifft nur die Verfügbarkeit.

Betroffen

• vLLM ab 0.8.5 bis vor 0.31.0
• Installationen mit einem KV-Connector (z. B. LMCache, NIXL, SharedStorage, P2pNccl, Offloading, MultiConnector oder ein eigener Connector)
• Red Hat AI Inference Server: in Drittquellen als betroffen aufgeführt; mit dem Advisory von Red Hat prüfen
• Unbekannt, ob Installationen ohne KV-Connector betroffen sind.

Behoben in

• vLLM 0.31.0 (laut Advisory; eine Drittquelle erwähnt eine nicht beschriebene Einschränkung, im Advisory prüfen)

Umgehung

Unbekannt. Ausser dem Upgrade ist keine Massnahme dokumentiert. Die Einschränkung des Netzwerkzugriffs auf vLLM reduziert die Exposition, behebt die Schwachstelle aber nicht.

Ausnutzung

• Keine bekannte Ausnutzung; nicht im CISA-KEV-Katalog gelistet.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.

Unsere Empfehlung

• Alle vLLM-Instanzen inventarisieren, inklusive Container-Images, fixierter Abhängigkeiten und Red Hat AI Inference Server.
• Auf vLLM 0.31.0 oder neuer aktualisieren und die Einschränkung im Advisory prüfen.
• Instanzen mit KV-Connector oder mit mehreren Teams bzw. Kunden priorisieren.
• vLLM nicht direkt aus dem Internet erreichbar machen; ein Gateway mit Authentifizierung vorschalten.
• Auf unerwartete Neustarts von EngineCore überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-rhcx-5729-88vg github.com
• VulnCheck advisory: vLLM Cross-Tenant DoS via Uninitialized LogprobsTensors www.vulncheck.com
• OpenCVE CVE-2026-116180 app.opencve.io
• VulDB CVE-2026-116180 vuldb.com
• Related upstream pull request #42245 github.com
• Security advisory summary (beri.net) www.beri.net

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:14.