vLLM RCE tanpa autentikasi via /tokenize — code_revision yang dipilih klien mengimpor kode prosesor berbahaya (CVE-2026-114053)

Diverifikasi terhadap advisory GitHub (diterbitkan 21 Oktober): vLLM memungkinkan klien mengontrol revisi mana dari kode prosesor dinamis model yang diimpor saat trust_remote_code aktif, dan endpoint /tokenize tanpa autentikasi adalah pemicunya — satu permintaan multimodal menjalankan Python arbitrer dalam proses serving. Deskripsi NVD seed dan advisory setuju tentang rentang terpengaruh 0.7.3–<0.31.0 dan CWE-94 injeksi kode.

Endpoint serving vLLM publik sering dapat dijangkau internet (kompatibel OpenAI /v1 dan /tokenize diekspos). Ini mengubah permintaan jarak jauh menjadi eksekusi kode penuh di host inferensi: pencurian bobot model, pencurian kunci API penyedia dari env/config, dan pergerakan lateral ke klaster GPU.

Penyerang tanpa autentikasi mengirim permintaan multimodal yang membawa mm_processor_kwargs.code_revision; vLLM meneruskan revisi yang disuplai permintaan itu ke Transformers AutoProcessor.from_pretrained. Jika trust_remote_code diaktifkan dan repositori model yang dilayani berisi revisi berbahaya, permintaan mengeksekusi Python arbitrer dalam proses API vLLM via endpoint /tokenize tanpa autentikasi.

vLLM 0.7.3 – <0.31.0 (diperbaiki di 0.31.0)

Tingkatkan vLLM ke 0.31.0 (0.32.0 direkomendasikan untuk gelombang multimodal yang lebih luas); jika memungkinkan nonaktifkan trust_remote_code atau batasi kode prosesor ke revisi yang disematkan dan ditinjau. Advisory: GHSA-f623-hjm8-5wg5.