vLLM AudioMediaIO展開爆弾DoS（max_duration_s制限のないload_audio）

vLLMのAudioMediaIOマルチモーダルパスは、max_duration_sデコード時間制限なしでload_audioを呼び出すため、認証された攻撃者は/v1/chat/completionsのinput_audioまたはaudio_urlを介して、過大なデコード時間に展開される小さな圧縮オーディオペイロードを送信でき、メモリ/CPUを枯渇させる可能性があります。

コンパクトなリクエストにより、マルチモーダルパスで不釣り合いなリソース消費が発生し、オーディオ対応のvLLMサービスインスタンスに対するリクエスト駆動型のサービス拒否が可能になります（CVSS 6.5、CWE-409）。

input_audio/audio_urlを介して小さな高圧縮オーディオペイロードを送信し、展開爆弾によるリソース枯渇を引き起こします。

vLLM 0.19.0以上、0.24.0未満（AudioMediaIOパス）。

vLLM 0.24.0にアップグレードしてください。修正により、load_audioパスにmax_duration_sデコード時間制限が適用されます。