何が起きたか
vLLMのnemotron_vl.pyとnano_nemotron_vl.pyはそれぞれ、モジュール読み込み時にImage.MAX_IMAGE_PIXELS = Noneを設定し、Pillowのプロセス全体に影響する展開爆弾防御を恒久的に無効化します。どちらかのNemotron-VLプロセッサをインポートしたインスタンスの/v1/chat/completionsに到達できる認証なしの呼び出し元は、大幅なメモリに展開される病理的な画像を送信でき、ワーカーをOOMで強制終了させる可能性があります。
なぜ重要か
この設定はプロセス全体に影響するため、そのプロセス内のすべての画像読み込みでガードが無効化され、攻撃は認証不要で単一リクエストで完了します。これにより、リモートの呼び出し元が共有vLLMサービスインスタンス上でメモリを枯渇させ、同一テナントへのサービス拒否を引き起こすことができます（CWE-400、CVSS 7.5）。
攻撃経路
展開爆弾画像を/v1/chat/completionsに送信してメモリを枯渇させ、ワーカーをOOM強制終了させます。
影響を受けるシステム
Nemotron-VLモデルをデプロイしているvLLM 0.10.2以上、0.25.0未満。
緩和策
vLLM 0.25.0にアップグレードしてください（PR #47010でモジュールレベルの代入が削除され、設定可能なVLLM_MAX_IMAGE_PIXELSデコードピクセル数制限が追加されました）。