Prosesor vLLM Nemotron-VL menonaktifkan pelindung decompression-bomb Pillow secara global, memungkinkan DoS kehabisan memori tanpa autentikasi

nemotron_vl.py dan nano_nemotron_vl.py milik vLLM masing-masing menyetel Image.MAX_IMAGE_PIXELS = None saat pemuatan modul, secara permanen menonaktifkan pertahanan decompression-bomb global Pillow. Pemanggil tanpa autentikasi yang dapat menjangkau /v1/chat/completions pada instance yang telah mengimpor salah satu prosesor Nemotron-VL dapat mengirimkan gambar patologis yang terdekompresi menjadi memori besar, berpotensi mematikan worker melalui OOM.

Karena pengaturan ini bersifat global-proses, pelindung dinonaktifkan untuk setiap pemuatan gambar dalam proses tersebut, dan serangan ini tanpa autentikasi dan satu request. Ini memungkinkan pemanggil jarak jauh menghabiskan memori dan menolak layanan ke penyewa bersama pada instance vLLM yang digunakan bersama (CWE-400, CVSS 7.5).

Kirim gambar decompression-bomb yang dibuat ke /v1/chat/completions untuk menghabiskan memori dan mematikan worker melalui OOM.

vLLM >= 0.10.2, < 0.25.0 yang menerapkan model Nemotron-VL.

Tingkatkan ke vLLM 0.25.0 (PR #47010 menghapus penetapan level modul dan menambahkan batas jumlah piksel terdekode yang dapat dikonfigurasi VLLM_MAX_IMAGE_PIXELS).