Apa yang terjadi
Serangkaian perbaikan vLLM 0.32.0 menutup mode kegagalan yang dipicu oleh permintaan pada jalur multimodal dan token: template chat yang dikendalikan penyerang dikompilasi/dirender oleh tokenizer, kesalahan satu-off max_token_id yang memungkinkan ID prompt pra-tokenisasi yang sama dengan ukuran kosakata lolos validasi, encoder audio Phi-4 yang menggunakan eager attention secara default (satu klip audio panjang menghabiskannya), jalur DeepSeek-OCR yang membagi dengan agregat piksel ternormalisasi yang berjumlah nol, dan injeksi template /v1/responses.
Mengapa penting
Ini adalah jalur denial-of-service dan akses di luar batas yang mudah dieksploitasi pada mesin penyajian LLM yang banyak digunakan: masing-masing dipicu oleh satu permintaan API yang dirancang dan dapat menjatuhkan server inferensi bersama atau merusak akses tensor GPU, sehingga pemanggil jarak jauh (atau agen yang terinjeksi prompt) dapat mengganggu atau membuat lapisan penyajian tidak stabil.
Vektor serangan
Klien jarak jauh mengirimkan permintaan yang dirancang yang mencapai kompilasi/rendering template yang dikendalikan klien, token prompt pra-tokenisasi atau di luar kosakata, atau payload media multimodal yang patologis (klip audio panjang, gambar OCR dengan normalisasi jumlah nol, jumlah frame yang berlebihan), menyebabkan mesin crash, pekerjaan inferensi menghabiskan memori, atau akses kolom di luar batas pada GPU.
Sistem yang terdampak
vLLM dari ~0.11.1 / 0.16.0 / 0.19.0 hingga 0.32.0. Secara spesifik CVE-2026-115911 (injeksi template chat permintaan), CVE-2026-115913 (DoS eager-attention encoder audio Phi-4), CVE-2026-115914 (DoS DeepSeek-OCR/unlimited-OCR jumlah piksel ternormalisasi menjadi nol), CVE-2026-115916 (OOB max_token_id satu-off), CVE-2026-115918 (/v1/responses template chat yang dikendalikan penyerang).
Mitigasi
Tingkatkan ke vLLM 0.32.0 atau yang lebih baru. Jika peningkatan ditunda, pasang proksi di depan endpoint dan batasi input template chat/token-id/multimodal; konfigurasikan --chat-template di sisi server sehingga klien tidak dapat menyediakannya sendiri.